Gunakan kebijakan RAM untuk memberikan izin untuk SchedulerX-Microservices Engine-Alibaba Cloud

SchedulerX memungkinkan Anda menggunakan Resource Access Management (RAM) untuk memberikan izin kepada beberapa pengguna dan grup pengguna sekaligus. RAM menyediakan manajemen izin yang mendetail berdasarkan prinsip hak istimewa minimal, menghilangkan kebutuhan untuk berbagi pasangan AccessKey dari akun Alibaba Cloud Anda dengan pengguna lain, serta secara efektif mengurangi risiko keamanan. Topik ini menjelaskan cara memberikan izin kepada pengguna RAM untuk melakukan operasi tertentu.

Informasi latar belakang

Anda dapat melampirkan dua jenis kebijakan RAM yang mendefinisikan izin pada SchedulerX kepada pengguna RAM untuk otorisasi izin cepat. Ruang lingkup efektif dari kedua jenis kebijakan tersebut berbeda, sehingga Anda dapat melampirkannya sesuai kebutuhan bisnis Anda. Untuk pemberian izin yang lebih rinci, Anda dapat membuat kebijakan RAM kustom. Informasi lebih lanjut tersedia di bagian "Contoh Kebijakan Kustom" dalam topik ini.

Berikan izin kepada pengguna RAM untuk membuat sumber daya

Secara default, pengguna RAM tidak memiliki izin untuk membuat, melihat, atau mengelola sumber daya di SchedulerX. Anda dapat memberikan izin kepada pengguna RAM untuk membuat sumber daya. Semua sumber daya yang dibuat oleh pengguna RAM tersebut dapat dibaca dan ditulis olehnya.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Informasi lebih lanjut dapat ditemukan di Buat Kebijakan Kustom. Contoh kode berikut menunjukkan contoh kebijakan RAM kustom. Anda dapat menjalankan kode ini untuk memberikan izin kepada pengguna RAM atau grup pengguna dalam menciptakan namespace dan grup instans di dalam namespace. Pengguna RAM hanya memiliki izin akses ke grup instans yang mereka buat. Jika pengguna RAM memerlukan akses ke grup instans dan sumber daya yang dibuat oleh pengguna RAM lain, Anda harus membuat dan melampirkan kebijakan kustom. Informasi lebih lanjut tersedia di bagian "Contoh Kebijakan Kustom".
```
{
    "Version": "1",
    "Statement": [
        {
            "Action": ["edas:CreateSchedulerxNamespace*",
                       "edas:CreateSchedulerxAppGroup*"],
            "Effect": "Allow",
            "Resource": "acs:edas:*:*:*"
        }
    ]
}
```
Opsional. Buat pengguna RAM atau grup pengguna. Informasi lebih lanjut dapat ditemukan di Buat Pengguna RAM atau Buat Grup Pengguna RAM. Jika pengguna RAM atau grup pengguna sudah ada, Anda dapat melewati langkah ini.
Lampirkan kebijakan kustom yang dibuat di Langkah 2 ke pengguna RAM tunggal. Informasi lebih lanjut dapat ditemukan di Berikan Izin kepada Pengguna RAM.
Lampirkan kebijakan kustom yang dibuat di Langkah 2 ke grup pengguna dan tambahkan pengguna RAM ke grup pengguna tersebut.
1. Lampirkan kebijakan ke grup pengguna. Informasi lebih lanjut dapat ditemukan di Berikan Izin kepada Grup Pengguna RAM.
2. Tambahkan pengguna RAM ke grup pengguna. Informasi lebih lanjut dapat ditemukan di bagian "Metode 2: Tambahkan Pengguna RAM ke Grup Pengguna RAM di Halaman Grup" dari topik Tambahkan Pengguna RAM ke Grup Pengguna RAM.

Buat sumber daya sebagai administrator dan berikan izin kepada pengguna RAM

Dalam banyak kasus, hanya personel O&M proyek perangkat lunak yang memiliki izin untuk membuat sumber daya. Personel pengembangan biasanya hanya memiliki izin baca dan kelola. Anda dapat membuat peran administrator untuk personel O&M untuk memberikan mereka izin mengelola semua sumber daya di SchedulerX. Kemudian, administrator dapat membuat namespace dan grup instans. Jika pengguna RAM ingin mengakses namespace dan grup instans, administrator dapat membuat kebijakan yang mendefinisikan izin akses ke namespace dan grup instans, lalu melampirkannya ke pengguna RAM.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Informasi lebih lanjut dapat ditemukan di Buat Kebijakan Kustom. Contoh kode berikut menunjukkan contoh kebijakan RAM kustom. Anda dapat menjalankan kode ini untuk memberikan izin administrator pada SchedulerX kepada pengguna RAM atau grup pengguna. Setelah itu, pengguna RAM atau grup pengguna tersebut dapat mengelola semua sumber daya di SchedulerX.
```
{
  "Statement": [
    {
      "Action": "edas:*Schedulerx*",
      "Effect": "Allow",
      "Resource": [
                "acs:edas:*:*:*"
            ]
    }
  ],
  "Version": "1"
}
```
Opsional. Buat pengguna RAM atau grup pengguna. Informasi lebih lanjut dapat ditemukan di Buat Pengguna RAM atau Buat Grup Pengguna RAM. Jika pengguna RAM atau grup pengguna sudah ada, Anda dapat melewati langkah ini.
Lampirkan kebijakan kustom yang dibuat di Langkah 2 ke pengguna RAM tunggal. Informasi lebih lanjut dapat ditemukan di Berikan Izin kepada Pengguna RAM.
Lampirkan kebijakan kustom yang dibuat di Langkah 2 ke grup pengguna dan tambahkan pengguna RAM ke grup pengguna tersebut.
1. Lampirkan kebijakan ke grup pengguna. Informasi lebih lanjut dapat ditemukan di Berikan Izin kepada Grup Pengguna RAM.
2. Tambahkan pengguna RAM ke grup pengguna. Informasi lebih lanjut dapat ditemukan di bagian "Metode 2: Tambahkan Pengguna RAM ke Grup Pengguna RAM di Halaman Grup" dari topik Tambahkan Pengguna RAM ke Grup Pengguna RAM.

Izin SchedulerX

Secara default, akun Alibaba Cloud memiliki izin untuk mengelola semua sumber daya dalam akun tersebut. Kami menyarankan Anda menggunakan RAM untuk memberikan izin spesifik kepada pengguna yang berbeda. SchedulerX memungkinkan Anda melampirkan kebijakan ke beberapa pengguna RAM atau grup pengguna sekaligus, sehingga Anda tidak perlu memberikan izin satu per satu. Tabel berikut menjelaskan kebijakan sistem bersama yang didukung oleh SchedulerX.

Kebijakan sistem	Deskripsi
AliyunEDASFullAccess	Menyediakan izin untuk mengelola sumber daya Enterprise Distributed Application Service (EDAS).

Contoh kode berikut menunjukkan contoh kebijakan RAM kustom yang berisi elemen Action dan Resource. Anda dapat membuat kebijakan kustom berdasarkan aturan yang didefinisikan oleh SchedulerX.

Struktur Principal

{
  "Statement": [
    { 
      "Action": "edas:*", // Tindakan yang diizinkan. Untuk informasi tentang cara mengonfigurasi elemen Action, lihat bagian "Action" dari topik ini.
      "Effect": "Allow",
      "Resource": "*"     // Sumber daya yang dapat diakses. Untuk informasi tentang cara mengonfigurasi elemen Resource, lihat bagian "Resource" dari topik ini.
    }
  ],
  "Version": "1",
}

Action

SchedulerX mendefinisikan elemen Action dalam struktur berikut:

edas:${type}Schedulerx*

${type}: Nilai valid dari parameter ${type} adalah Create, Manage, Delete, dan Read. Tabel berikut mencantumkan nilai valid dan menjelaskan operasi terkait dengan setiap nilai.

Nilai valid	Operasi
Create	Buat namespace, aplikasi, pekerjaan, dan alur kerja.
Manage	Modifikasi namespace. Impor pekerjaan, ekspor pekerjaan, modifikasi pekerjaan, aktifkan pekerjaan, nonaktifkan pekerjaan, jalankan pekerjaan secara manual, jalankan ulang pekerjaan, dan tentukan mesin. Hentikan instans pekerjaan, jalankan ulang instans pekerjaan, atur status instans pekerjaan menjadi berhasil, atur status instans alur kerja menjadi berhasil, dan jalankan ulang tugas. Modifikasi alur kerja, impor konfigurasi pekerjaan ke alur kerja, jalankan alur kerja secara manual, jalankan ulang alur kerja, aktifkan alur kerja, dan nonaktifkan alur kerja. Modifikasi grup instans.
Delete	Hapus namespace, grup instans, pekerjaan, dan alur kerja.
Read	Kueri grup instans, pekerjaan, instans pekerjaan, alur kerja, dan instans online.

Resource

SchedulerX mendefinisikan elemen Resource dalam struktur berikut:

acs:edas:${regionid}:${accountid}:namespace/${namespace_id}/${resourceType}/${resourceId}

Parameter	Deskripsi
`${regionid}`	Wilayah tempat sumber daya yang ingin Anda akses ditempatkan. Jika Anda ingin menggunakan pengaturan default, masukkan tanda bintang (`*`).
`${accountid}`	Akun Alibaba Cloud tempat sumber daya yang ingin Anda akses dimiliki. Jika Anda ingin menggunakan pengaturan default, masukkan tanda bintang (`*`).
`${namespace_id}`	ID namespace tempat sumber daya yang ingin Anda akses dimiliki. Pengguna SchedulerX Masuk ke Konsol SchedulerX. Di panel navigasi kiri, klik Namespace. Di halaman yang muncul, arahkan pointer ke ID namespace yang ingin Anda akses di kolom NamespaceID, klik ikon yang muncul di sebelah kanan untuk menyalin ID namespace, dan ganti `${namespace_id}` dengan ID namespace. Pengguna EDAS Masuk ke Konsol EDAS. Di panel navigasi kiri, pilih Resource Management > Microservice Namespaces. Di halaman Microservices Namespace, arahkan pointer ke ID namespace yang ingin Anda akses di kolom Microservices Namespace Name/ID/TID, klik ikon yang muncul di sebelah kanan untuk menyalin ID namespace, dan ganti `${namespace_id}` dengan ID namespace.
`${resourceType}`	Jenis sumber daya yang ingin Anda akses. Nilai JobGroup menentukan grup pekerjaan di SchedulerX. Pekerjaan dikelompokkan berdasarkan aplikasi.
`${resourceId}`	ID sumber daya yang ingin Anda akses. Jika Anda mengatur parameter `${resourceType}` ke JobGroup, parameter ${resourceId} menentukan ID aplikasi di modul Manajemen Aplikasi SchedulerX. Untuk mendapatkan nilai parameter `${resourceId}`, lakukan langkah-langkah berikut: Masuk ke Konsol SchedulerX. Di panel navigasi kiri, klik Application Management. Di halaman Manajemen Aplikasi, arahkan pointer ke ID aplikasi yang ingin Anda akses di kolom Application ID/Application key, klik ikon yang muncul di sebelah kanan untuk menyalin ID aplikasi, dan ganti `${resourceId}` dengan ID aplikasi.

Contoh kebijakan kustom

Berikan izin kepada pengguna RAM untuk mengelola semua sumber daya

Pengguna RAM yang memiliki izin pengelolaan pada SchedulerX dapat melakukan semua operasi pada semua sumber daya di SchedulerX. Contoh kebijakan:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin kepada pengguna RAM untuk membaca saja pada semua sumber daya

Pengguna RAM yang memiliki izin baca saja pada SchedulerX dapat menanyakan semua sumber daya di SchedulerX. Contoh kebijakan:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:ReadSchedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin kepada pengguna RAM untuk mengelola namespace tertentu

Contoh kode berikut menunjukkan contoh kebijakan RAM kustom yang mendefinisikan izin pengelolaan pada sumber daya aplikasi dan pekerjaan di namespace tertentu. ID namespace yang ditentukan harus diperoleh dari halaman Namespace Mikroservis di Konsol EDAS. Dalam contoh ini, namespace yang ditentukan adalah ID-01 dan ID-02. Pengguna RAM yang memiliki kebijakan kustom ini dapat mengelola dan menjadwalkan semua sumber daya di namespace yang ditentukan. Anda juga dapat memodifikasi pengaturan elemen Action untuk membatasi izin akses ke sumber daya di atas. Misalnya, jika Anda mengatur elemen Action ke edas:ReadSchedulerx, pengguna RAM yang dilampirkan kebijakan kustom ini hanya dapat menanyakan sumber daya di namespace yang ditentukan.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/Namespace ID-01/*",
              	"acs:edas:*:*:namespace/Namespace ID-02/*"
            ]
        }
    ]
}

Berikan izin kepada pengguna RAM untuk mengelola aplikasi tertentu

Contoh kode berikut menunjukkan contoh kebijakan RAM kustom yang mendefinisikan izin pengelolaan pada aplikasi tertentu. Elemen Resource menentukan ID aplikasi yang ingin Anda berikan izin pengelolaannya kepada pengguna RAM. Anda juga dapat menyertakan tanda bintang (*) di elemen Resource untuk memberikan izin pengelolaan pada beberapa aplikasi kepada pengguna RAM sekaligus. Misalnya, jika Anda menyertakan TestGroup* di elemen Resource dari kebijakan kustom, kebijakan kustom tersebut mendefinisikan izin pengelolaan pada semua aplikasi yang diawali dengan TestGroup di namespace yang ditentukan.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/Namespace ID-01/JobGroup/TestGroup*",
              	"acs:edas:*:*:namespace/Namespace ID-02/JobGroup/AppGroup"
            ]
        }
    ]
}