Enterprise Distributed Application Service：Kebijakan RAM

Variabel sumber daya dalam kebijakan

Dalam sebuah kebijakan, variabel berikut digunakan untuk mendefinisikan suatu sumber daya:

• $regionid: ID wilayah tempat sumber daya diterapkan, seperti cn-shanghai. Untuk informasi lebih lanjut, lihat Wilayah dan Zona.

• $namespace: ID namespace mikroservis. Gambar berikut menunjukkan ID dari sebuah namespace mikroservis.

  Untuk melihat ID namespace mikroservis, masuk ke Konsol EDAS. Di panel navigasi kiri, pilih Resource Management > Microservice Namespaces. Pada halaman Microservices Namespace, Anda dapat melihat ID setiap namespace mikroservis.

  

• $clusterId: ID kluster. Contoh: 8c349f69-505c-436f-8dc7-**********. Gambar berikut menunjukkan ID sebuah kluster.

  Untuk melihat ID kluster, masuk ke Konsol EDAS. Di panel navigasi kiri, pilih Resource Management > ECS Clusters. Pada halaman Kluster ECS, klik ID kluster yang diinginkan di kolom Cluster ID/Name untuk pergi ke halaman Cluster Details dan melihat ID kluster tersebut.

  

• $applicationId: ID aplikasi. Contoh: ec8e38a3-3dca-47a7-b6f9-5**********. Gambar berikut menunjukkan ID sebuah aplikasi.

  Untuk melihat ID aplikasi, masuk ke Konsol EDAS. Di panel navigasi kiri, pilih Application Management > Applications. Pada halaman Aplikasi, klik nama aplikasi yang diinginkan di kolom Application Name untuk pergi ke halaman detail aplikasi. Pada tab Basic Information halaman detail aplikasi, Anda dapat melihat ID aplikasi tersebut.

  

Detail tentang kebijakan

Berikut ini menjelaskan bagaimana izin yang ditentukan EDAS sesuai dengan kebijakan RAM.

Manajemen namespace mikroservis

Manajemen kluster

Skenario berikut menggambarkan izin yang diperlukan untuk mengelola kluster:

Membuat kluster

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:CreateCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/*"],
       "Effect": "Allow"
      }
   ]
 }

Menampilkan detail kluster

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

Mengelola kluster

Memungkinkan pengguna RAM untuk membuat kluster, menambahkan instance ke kluster, memodifikasi kluster, dan menghapus kluster.

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

Menghapus kluster

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadCluster","edas:DeleteCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

Manajemen namespace mikroservis

Skenario berikut menggambarkan izin yang diperlukan untuk mengelola namespace mikroservis:

Membuat namespace mikroservis

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:CreateNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/*"],
       "Effect": "Allow"
      }
   ]
 }

Menampilkan namespace mikroservis

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

Mengelola namespace mikroservis

Untuk mengizinkan pengguna RAM memodifikasi atau mengganti nama namespace mikroservis, Anda harus memberikan izin kepada pengguna RAM untuk mengelola namespace mikroservis tersebut.

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

Menghapus namespace mikroservis

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadNamespace","edas:DeleteNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

Pembelian sumber daya

Untuk meningkatkan kemampuan manajemen izin bagi pengguna perusahaan, EDAS memungkinkan pengguna perusahaan memberikan izin untuk membeli sumber daya. Sumber daya meliputi ECS, SLB, dan Log Service.

Skenario berikut menggambarkan izin yang diperlukan untuk membeli sumber daya:

Membeli sumber daya ECS

• Ruang Lingkup Aplikasi:

  • Beli sumber daya ECS dalam kluster ECS.

  • Beli sumber daya ECS saat membuat aplikasi dalam kluster ECS.

  • Beli sumber daya ECS saat melakukan penskalaan keluar aplikasi dalam kluster ECS.

• Kebijakan Contoh:

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:ECSPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

Membeli sumber daya SLB

• Ruang Lingkup Aplikasi: Beli sumber daya SLB saat mengikat instance SLB ke aplikasi.

• Kebijakan Contoh:

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:SLBPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

Membeli sumber daya Simple Log Service

• Ruang Lingkup Aplikasi: Beli sumber daya Log Service untuk aplikasi.

• Kebijakan Contoh:

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:SLSPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

Manajemen aplikasi

Skenario berikut menggambarkan izin yang diperlukan untuk mengelola aplikasi:

Izin pada aplikasi individu

• Manage an application: Memungkinkan pengguna RAM untuk melihat informasi tentang aplikasi dan mengelola konfigurasi serta log aplikasi, tetapi tidak mengizinkan pengguna RAM untuk membuat atau menghapus aplikasi.

  {
      "Statement": [
        {
          "Action": [
            "edas:*Application"
          ],
          "Effect": "Allow",
          "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
        },
        {
          "Action": [
            "edas:DeleteApplication"
          ],
          "Resource":["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"],
          "Effect": "Deny"
        },
        {
          "Action": [
            "edas:CreateApplication"
          ],
          "Resource":["acs:edas:$regionid:*:namespace/$namespace/application/*"],
          "Effect": "Deny"
        }
      ],
      "Version": "1"
  }

• Create an application

  Penting

  Untuk membuat aplikasi, pengguna memerlukan instance dalam kluster. Oleh karena itu, Anda harus memberikan izin kepada pengguna RAM untuk melihat kluster.

  {
    "Statement": [
      {
        "Action": [
          "edas:CreateApplication",
          "edas:ReadCluster"
        ],
        "Effect": "Allow",
        "Resource": [
                "acs:edas:$regionid:*:namespace/$namespace/application/*",
            "acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"
        ]
      }
    ],
    "Version": "1"
  }

• Delete an application

  Penting

  Untuk mengizinkan pengguna RAM menghapus aplikasi, Anda harus memberikan izin kepada pengguna RAM untuk melihat aplikasi. Jika tidak, pengguna RAM tidak dapat menemukan aplikasi tersebut.

  {
    "Statement": [
      {
        "Action": [
          "edas:DeleteApplication",
          "edas:ReadApplication"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      }
    ],
    "Version": "1"
  }

• Manage logs

  Penting

  Untuk mengizinkan pengguna RAM mengelola log aplikasi, Anda harus memberikan izin kepada pengguna RAM untuk melihat aplikasi. Jika tidak, pengguna RAM tidak dapat menemukan aplikasi tersebut.

  {
    "Statement": [
      {
        "Action": [
          "edas:ReadApplication",
          "edas:ManageAppLog"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      }
    ],
    "Version": "1"
  }

• Configure an application: Memungkinkan pengguna RAM untuk mengatur port aplikasi, konteks Tomcat, parameter load balancing, parameter pemeriksaan kesehatan, parameter Java Virtual Machine (JVM), dan fitur Intra-zone Provider First.

  Penting

  Untuk mengizinkan pengguna RAM mengonfigurasi aplikasi, Anda harus memberikan izin kepada pengguna RAM untuk melihat aplikasi.

  {
    "Statement": [
      {
        "Action": [
          "edas:ReadApplication",
          "edas:ConfigApplication"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      },
    ],
    "Version": "1"
  }

Izin pada beberapa aplikasi

• Query applications: Memungkinkan pengguna RAM untuk mengkueri aplikasi di wilayah tertentu.

  Catatan

  Wilayah mungkin berisi satu atau lebih namespace mikroservis. Izin ini memungkinkan pengguna RAM untuk mengkueri aplikasi di semua namespace mikroservis dalam wilayah tertentu.

  {
      "Statement": [
        {
          "Action": [
            "edas:ReadApplication"
          ],
          "Effect": "Allow",
          "Resource": ["acs:edas:$regionid:*:namespace/*/application/*"]
        }
      ],
      "Version": "1"
  }

• View applications: Memungkinkan pengguna RAM untuk melihat aplikasi dalam namespace mikroservis tertentu.

  {
      "Statement": [
        {
          "Action": [
            "edas:*Application",
            "edas:ReadCluster"
          ],
          "Effect": "Allow",
          "Resource": [
              "acs:edas:$regionid:*:namespace/$namespace/application/*",
            "acs:edas:$regionid:*:namespace/$namespace/cluster/*"
           ]
        }
      ],
      "Version": "1"
  }

Manajemen mikroservis

Skenario berikut menggambarkan izin yang diperlukan untuk mengelola mikroservis:

Menampilkan mikroservis

{
    "Statement": [
      {
        "Action": [
          "edas:ReadService"
        ],
        "Effect": "Allow",
        "Resource": [    
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
            ]
      }
    ],
    "Version": "1"
}

Menguji mikroservis

{
    "Statement": [
      {
        "Action": [
          "edas:TestService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
            ]
      }
    ],
    "Version": "1"
}

Mengelola mikroservis

{
    "Statement": [
      {
        "Action": [
          "edas:ManageService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
        ]
      }
    ],
    "Version": "1"
}

Menghapus instance outlier

{
    "Statement": [
      {
        "Action": [
          "edas:ManageService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace"
        ]
      }
    ],
    "Version": "1"
}

Manajemen sistem

Termasuk izin untuk mengelola pengguna RAM, melihat penggunaan sumber daya, dan melihat log operasi.

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageSystem"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }

Melakukan operasi pemeliharaan sistem

Memungkinkan pengguna RAM untuk melihat log operasi, melakukan satu atau lebih tugas pemeliharaan sekaligus, dan mengelola grup sumber daya.

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageOperation"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }

Menampilkan log operasi

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadOperationLog"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }