Data Security Center:Gunakan fitur manajemen multi-akun

Istilah

Sebelum menggunakan DSC untuk mengelola aset data dari beberapa akun Alibaba Cloud secara terpusat, Anda harus memahami istilah-istilah berikut.

Batasan

Hanya edisi berbayar DSC yang mendukung fitur manajemen multi-akun.

Contoh

Anda dapat merujuk pada proses berikut untuk membangun sistem multi-akun dan menggunakan akun administrator yang didelegasikan DSC untuk mengelola aset data dari beberapa akun Alibaba Cloud.

Skenario: Akun Alibaba Cloud A, B, C, D, dan E termasuk dalam direktori sumber daya yang sama. Akun Alibaba Cloud A adalah akun manajemen direktori sumber daya, dan akun lainnya adalah anggota direktori sumber daya. Akun Alibaba Cloud A menentukan Akun Alibaba Cloud B sebagai akun administrator yang didelegasikan DSC. Akun Alibaba Cloud B dapat mengelola aset data Akun Alibaba Cloud B, C, D, dan E secara terpusat dan menggunakan fitur-fitur DSC seperti perlindungan data sensitif, pemeriksaan baseline, audit data, dan masking data. Anda dapat menggunakan pengguna RAM Akun Alibaba Cloud B untuk mengelola aset data hanya dari Akun Alibaba Cloud D dan E yang berwenang dalam DSC.

Catatan penggunaan

Prasyarat

• Direktori sumber daya diaktifkan. Untuk informasi lebih lanjut, lihat Aktifkan Direktori Sumber Daya.

• Anggota dibuat dalam direktori sumber daya, atau akun Alibaba Cloud yang ada diundang untuk bergabung dengan direktori sumber daya. Untuk informasi lebih lanjut, lihat Buat Anggota dan Undang Akun Alibaba Cloud untuk Bergabung dengan Direktori Sumber Daya.

  Jika Anda ingin menggunakan pengguna RAM untuk mengelola anggota berdasarkan folder sumber daya, Anda harus terlebih dahulu membuat folder sumber daya dan kemudian membuat akun Alibaba Cloud di folder sumber daya atau mengundang akun Alibaba Cloud untuk bergabung dengan folder sumber daya. Untuk informasi lebih lanjut, lihat Buat Folder.

• Akun administrator yang didelegasikan telah membeli edisi berbayar DSC. Untuk informasi lebih lanjut, lihat Beli DSC.

Langkah 1: Konfigurasikan akun administrator yang didelegasikan DSC

Akun manajemen direktori sumber daya dapat digunakan untuk menentukan anggota dalam direktori sumber daya sebagai akun administrator yang didelegasikan layanan tepercaya. Setelah anggota ditentukan sebagai akun administrator yang didelegasikan layanan tepercaya, anggota tersebut dapat digunakan untuk mengakses informasi tentang direktori sumber daya dalam layanan tepercaya. Informasi tersebut mencakup struktur dan anggota direktori sumber daya. Anggota tersebut juga dapat digunakan untuk mengelola bisnis dalam direktori sumber daya.

1. Masuk ke Konsol Manajemen Sumber Daya menggunakan akun manajemen direktori sumber daya.

2. Di panel navigasi kiri, pilih Resource Directory > Trusted Services.

3. Di halaman Trusted Services, temukan Data Security Center (DSC) dan klik Manage di kolom Actions.

4. Di bagian Delegated Administrator Accounts dari halaman yang muncul, klik Add.

5. Di bagian Akun Administrator yang Didelegasikan, klik Tambah. Di panel Add Delegated Administrator Account, tentukan akun Alibaba Cloud yang digunakan untuk membeli DSC sebagai akun administrator yang didelegasikan dan klik OK.

   Setelah akun administrator yang didelegasikan ditentukan, Anda dapat menggunakan fitur manajemen multi-akun DSC menggunakan akun administrator yang didelegasikan.

Langkah 2: Tambahkan anggota dalam DSC

Otorisasi pengguna RAM untuk mengelola anggota tertentu

1. Masuk ke Konsol RAM menggunakan akun administrator yang didelegasikan dan buat pengguna RAM. Untuk informasi lebih lanjut, lihat Buat Pengguna RAM.

2. Buat kebijakan kustom untuk mengotorisasi pengguna RAM mengelola anggota tertentu.

   1. Di panel navigasi kiri Konsol RAM, pilih Permissions > Policies.

   2. Di halaman Policies, klik Create Policy.

   3. Di halaman Create Policy, klik tab JSON.

   4. Masukkan konten kebijakan kustom Anda.

      Salin konten kebijakan berikut dan konfigurasikan elemen Condition. Pengguna RAM dapat menambahkan (yundun-sddp:AddMultiAccountMembers) atau menghapus (yundun-sddp:DeleteMultiAccountMembers) anggota di halaman Manajemen Multi-Akun di konsol DSC.

      Untuk informasi lebih lanjut tentang sintaks dan struktur kebijakan RAM, lihat Struktur dan Sintaks Kebijakan.

      Otorisasi pengguna RAM untuk mengelola anggota tertentu

      Tetapkan parameter acs:RDManageScope dari StringNotEquals dalam Condition ke jalur direktori sumber daya (RDPath) folder yang diperlukan dalam direktori sumber daya di halaman Direktori Sumber Daya ditambah UID anggota.

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "yundun-sddp:AddMultiAccountMembers",
                      "yundun-sddp:DeleteMultiAccountMembers"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringNotEquals": {
                          "acs:RDManageScope": [
                              "rd-BXXXXs/r-cXXXX6/163XXXXXX1494597"
                          ]
                      }
                  }
              }
          ]
      }

      Otorisasi pengguna RAM untuk mengelola anggota folder tertentu

      Tetapkan parameter acs:RDManageScope dari StringNotLike dalam Condition ke jalur direktori sumber daya (RDPath) folder yang diperlukan dalam direktori sumber daya di halaman Direktori Sumber Daya ditambah /*.

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "yundun-sddp:AddMultiAccountMembers",
                      "yundun-sddp:DeleteMultiAccountMembers"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringNotLike": {
                          "acs:RDManageScope": [
                              "rd-BXXXXs/r-cXXXX6/fd-BrXXXXXXM4/*"
                          ]
                      }
                  }
              }
          ]
      }

   5. Klik OK.

   6. Di kotak dialog Create Policy, konfigurasikan parameter Name dan Description dan klik OK.

   7. Klik Grant Permission.

   8. Di halaman Grant Permission, cari dan pilih pengguna RAM, pilih kebijakan kustom yang Anda buat untuk pengguna RAM tersebut, lalu klik Grant permissions. Lalu, klik Close.

Tambahkan anggota

1. Masuk ke Konsol DSC menggunakan akun administrator yang didelegasikan atau pengguna RAM yang diberi otorisasi oleh akun administrator yang didelegasikan.

2. Di panel navigasi kiri, klik Multi-account Management.

3. Pertama kali Anda menggunakan fitur manajemen multi-akun, klik Enable Multi-account Management.

   Operasi ini memperbarui status layanan tepercaya DSC menjadi Aktif.

4. Klik Add Member.

5. Di kotak dialog Add Member, pilih anggota yang ingin Anda kelola dan klik OK.

   Jika anggota berada di luar cakupan kebijakan pengguna RAM, sistem akan mengembalikan pesan tidak ada izin.

Langkah 3: Kelola aset anggota

Akun administrator yang didelegasikan atau pengguna RAM yang diberi otorisasi oleh akun administrator yang didelegasikan dapat mengelola aset data akun dan anggota akun setelah anggota ditambahkan di konsol DSC. Bagian berikut menjelaskan cara mengelola aset anggota di halaman Otorisasi Aset.

1. Masuk ke Konsol DSC.

2. Di panel navigasi kiri, pilih Overview.

3. Di tab Authorization Management, kelola aset dalam akun Alibaba Cloud menggunakan UID.

   

Hapus anggota dalam DSC

Jika Anda tidak lagi perlu mengelola semua aset anggota, Anda dapat menghapus anggota tersebut. Setelah Anda menghapus anggota, semua data anggota di konsol DSC akan otomatis dihapus.

1. Masuk ke Konsol DSC.

2. Di panel navigasi kiri, pilih Overview.

3. Cabut izin dari anggota yang ingin Anda hapus. Untuk informasi lebih lanjut, lihat Cabut Izin dari Aset.

5. Di halaman Multi-account Management, temukan anggota yang ingin Anda hapus dan klik Delete di kolom Tindakan.

   Jika Anda menggunakan pengguna RAM yang diberi otorisasi oleh akun administrator yang didelegasikan untuk menghapus anggota yang berada di luar cakupan kebijakan pengguna RAM, sistem akan merespons dengan pesan tidak ada izin.

6. Di pesan Hapus, klik Delete.

Tanya Jawab Umum

Jika DSC dibeli untuk beberapa akun Alibaba Cloud dalam perusahaan saya, bagaimana cara menggunakan satu akun untuk manajemen terpusat?

Anda tidak dapat mengelola anggota yang telah membeli DSC menggunakan akun yang berbeda. Jika Anda ingin mengelola sumber daya anggota dari akun yang berbeda, Anda harus berhenti berlangganan DSC untuk anggota tersebut dan menggunakan akun manajemen atau akun administrator yang didelegasikan untuk menambahkan anggota sebagai anggota DSC.

Untuk informasi lebih lanjut, lihat Kebijakan Pengembalian Dana.

Apa yang harus saya lakukan jika DSC tidak dapat diaktifkan untuk akun saat ini?

Jika Anda menerima pesan yang menunjukkan bahwa akun saat ini tidak dapat digunakan untuk mengaktifkan DSC saat Anda mengakses konsol DSC, Anda tidakdapat menggunakan akun tersebut untuk menggunakan DSC karena akun manajemen atau akun administrator yang didelegasikan telah menambahkan akun ini sebagai anggota DSC. Dalam hal ini, Anda dapat menggunakan salah satu metode berikut untuk menggunakan DSC:

• Metode 1: Masuk ke konsol DSC menggunakan akun manajemen atau akun administrator yang didelegasikan direktori sumber daya dan gunakan fitur manajemen multi-akun untuk menambahkan sumber daya akun saat ini ke DSC.

• Metode 2: Hubungi akun manajemen atau akun administrator yang didelegasikan direktori sumber daya untuk menghapus akun saat ini di halaman Manajemen Multi-Akun konsol DSC. Kemudian, gunakan akun saat ini untuk membeli dan menggunakan DSC.

Referensi

• Kelola Akun Administrator yang Didelegasikan

• Lakukan Manajemen Hirarkis Sumber Daya dalam Direktori Sumber Daya