Otorisasi SchedulerX - Microservices Engine - Alibaba Cloud Documentation Center

SchedulerX mendukung penyetelan kebijakan izin untuk beberapa pengguna sekaligus melalui pengguna dan grup pengguna Resource Access Management (RAM). RAM memungkinkan Anda menghindari berbagi kredensial Akun Alibaba Cloud serta memberikan izin minimum yang diperlukan, sehingga mengurangi risiko keamanan. Topik ini menjelaskan cara memberikan izin kepada pengguna RAM untuk operasi tertentu.

Konfigurasi cepat

RAM menyediakan dua cara untuk memberikan izin SchedulerX kepada pengguna RAM secara cepat. Kedua kebijakan izin tersebut menawarkan tingkat kontrol yang berbeda. Anda dapat memilih kebijakan yang sesuai dengan kebutuhan Anda. Untuk informasi lebih lanjut mengenai konfigurasi izin kustom secara detail, lihat Contoh konfigurasi kebijakan kustom.

Buat resource dengan memberikan izin kepada pengguna RAM

Secara default, pengguna RAM tidak memiliki izin untuk membuat, melihat, atau mengelola resource SchedulerX apa pun. Anda dapat memberikan izin kepada pengguna RAM untuk membuat resource. Pengguna RAM tersebut akan memiliki izin baca dan tulis pada semua resource yang mereka buat.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom. Anda dapat menggunakan skrip kebijakan berikut untuk memberikan izin kepada pengguna RAM guna membuat namespace dan kelompok aplikasi di semua namespace. Pengguna RAM hanya memiliki izin pada kelompok aplikasi yang mereka buat. Untuk memberikan izin pada kelompok aplikasi dan resource yang dibuat oleh pengguna RAM lainnya, lihat bagian Konfigurasi kebijakan kustom dalam topik ini.
```
{
    "Version": "1",
    "Statement": [
        {
            "Action": ["edas:CreateSchedulerxNamespace*",
                       "edas:CreateSchedulerxAppGroup*"],
            "Effect": "Allow",
            "Resource": "acs:edas:*:*:*"
        }
    ]
}
```
(Opsional) Buat pengguna atau grup pengguna. Untuk informasi lebih lanjut, lihat Buat pengguna RAM atau Buat grup pengguna RAM. Lewati langkah ini jika pengguna atau grup pengguna sudah ada.
Sambungkan kebijakan izin yang dikonfigurasi pada Langkah 2 ke satu pengguna. Untuk informasi lebih lanjut, lihat Kelola izin pengguna RAM.
Sambungkan kebijakan izin yang dikonfigurasi pada Langkah 2 ke grup pengguna dan tambahkan pengguna ke grup pengguna tersebut.
1. Sambungkan kebijakan izin ke grup pengguna. Untuk informasi lebih lanjut, lihat Berikan izin kepada grup pengguna RAM. Pada kolom Actions dari grup pengguna target, klik Add Permissions untuk menyambungkan kebijakan. Klik Add Group Members untuk menambahkan pengguna RAM ke grup tersebut.
2. Tambahkan pengguna ke grup pengguna yang memiliki kebijakan izin yang diperlukan. Untuk informasi lebih lanjut, lihat Metode 2: Tambahkan pengguna RAM ke grup pengguna RAM pada halaman grup pengguna RAM. Pada kotak dialog Add Group Members, atur User Group menjadi schedulerx_admin. Pilih pengguna target dari daftar pengguna di sebelah kiri. Pastikan pengguna yang dipilih muncul di area Selected di sebelah kanan, lalu klik OK.

Buat resource sebagai administrator, lalu berikan izin kepada pengguna RAM

Dalam manajemen proyek perangkat lunak, biasanya hanya personel O&M yang dapat membuat resource. Pengembang umumnya hanya memiliki izin baca dan operasional. Anda dapat membuat peran administrator untuk personel O&M yang memberikan izin untuk mengelola semua resource di platform Penjadwalan Tugas Terdistribusi. Administrator tersebut kemudian dapat membuat namespace dan kelompok aplikasi, serta membuat kebijakan izin untuk memberikan akses pengguna RAM lainnya ke resource tersebut.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom. Anda dapat menggunakan skrip kebijakan berikut untuk memberikan izin administrator SchedulerX kepada pengguna RAM. Hal ini memberikan izin pengelolaan atas semua resource SchedulerX di bawah Akun Alibaba Cloud.
```
{
  "Statement": [
    {
      "Action": "edas:*Schedulerx*",
      "Effect": "Allow",
      "Resource": [
                "acs:edas:*:*:*"
            ]
    }
  ],
  "Version": "1"
}
```
(Opsional) Buat pengguna atau grup pengguna. Untuk informasi lebih lanjut, lihat Buat pengguna RAM atau Buat grup pengguna RAM. Lewati langkah ini jika pengguna atau grup pengguna sudah ada.
Sambungkan kebijakan izin yang dikonfigurasi pada Langkah 2 ke satu pengguna. Untuk informasi lebih lanjut, lihat Kelola izin pengguna RAM.
Sambungkan kebijakan izin yang dikonfigurasi pada Langkah 2 ke grup pengguna dan tambahkan pengguna ke grup pengguna tersebut.
1. Sambungkan kebijakan izin ke grup pengguna. Untuk informasi lebih lanjut, lihat Berikan izin kepada grup pengguna RAM.
2. Tambahkan pengguna ke grup pengguna yang memiliki kebijakan izin yang diperlukan. Untuk informasi lebih lanjut, lihat Metode 2: Tambahkan pengguna RAM ke grup pengguna RAM pada halaman grup pengguna RAM.

Detail izin SchedulerX

Akun Alibaba Cloud secara default memiliki izin pengelolaan atas semua resource di bawahnya. Untuk kontrol izin lebih lanjut, gunakan kontrol akses RAM untuk menetapkan kebijakan izin. SchedulerX menggunakan pengguna dan grup pengguna RAM untuk menyederhanakan penyetelan kebijakan izin secara batch, sehingga Anda tidak perlu memberikan izin satu per satu kepada pengguna individu. Kebijakan izin SchedulerX mendukung kebijakan izin sistem bersama.

Kebijakan sistem	Deskripsi
AliyunEDASFullAccess	Izin untuk mengelola Enterprise Distributed Application Service (EDAS).

Bagian-bagian berikut menjelaskan detail kebijakan izin kustom untuk SchedulerX. Di RAM, kebijakan izin terutama mencakup Action dan Resource. Anda dapat membuat kebijakan izin berdasarkan aturan yang ditetapkan oleh SchedulerX.

Struktur kebijakan kustom

{
  "Statement": [
    { 
      "Action": "edas:*", // Item konfigurasi Action. Untuk informasi lebih lanjut, lihat bagian berikutnya, "Action".
      "Effect": "Allow",
      "Resource": "*"     // Item konfigurasi Resource. Untuk informasi lebih lanjut, lihat bagian berikutnya, "Resource".
    }
  ],
  "Version": "1",
}

Action

Struktur Action SchedulerX didefinisikan sebagai berikut:

edas:${type}Schedulerx*

${type} dapat berupa salah satu dari empat tipe: Read, Manage, Delete, atau Create. Tipe-tipe ini mencakup operasi berikut:

Tipe	Operasi terkait
Create	Buat namespace, aplikasi, pekerjaan, dan alur kerja.
Manage	Ubah namespace. Impor pekerjaan, ekspor pekerjaan, ubah pekerjaan, aktifkan pekerjaan, nonaktifkan pekerjaan, jalankan pekerjaan secara manual, jalankan ulang pekerjaan, dan tentukan mesin. Hentikan instans pekerjaan, jalankan ulang instans pekerjaan, tetapkan instans pekerjaan sebagai berhasil, tetapkan instans alur kerja sebagai berhasil, dan jalankan ulang sub-pekerjaan. Ubah alur kerja, impor pekerjaan ke alur kerja, jalankan alur kerja secara manual, jalankan ulang alur kerja, aktifkan alur kerja, dan nonaktifkan alur kerja. Ubah kelompok aplikasi.
Delete	Hapus namespace, kelompok aplikasi, pekerjaan, dan alur kerja.
Read	Kueri kelompok aplikasi, pekerjaan, instans pekerjaan, alur kerja, dan instans online.

Resource

Struktur Resource SchedulerX didefinisikan sebagai berikut:

acs:edas:${regionid}:${accountid}:namespace/${namespace_id}/${resourceType}/${resourceId}

Parameter	Deskripsi
`${regionid}`	Wilayah. Parameter ini menentukan akses ke resource di wilayah tertentu. Anda dapat mengatur nilai ini ke `*` secara default.
`${accountid}`	Akun. Parameter ini menentukan akses ke resource dari akun tertentu. Anda dapat mengatur nilai ini ke `*` secara default.
`${namespace_id}`	ID namespace. Parameter ini menentukan namespace. Untuk pengguna non-EDAS: Masuk ke Konsol MSE SchedulerX. Pada panel navigasi di sebelah kiri, klik Namespaces. Arahkan kursor ke sisi kanan Namespace ID target, lalu klik ikon untuk menyalin ID tersebut. Ganti parameter `${namespace_id}` dengan ID yang telah disalin. Untuk pengguna EDAS: Masuk ke Konsol EDAS. Pada panel navigasi di sebelah kiri, pilih Resource Management > Microservice space. Pada halaman Microservice space, arahkan kursor ke sisi kanan Microservices Namespace Name/ID/namespace target, lalu klik ikon untuk menyalin ID tersebut. Ganti parameter `${namespace_id}` dengan ID yang telah disalin.
`${resourceType}`	Jenis resource. Nilainya dapat berupa JobGroup, yang merepresentasikan kelompok aplikasi untuk pekerjaan di SchedulerX.
`${resourceId}`	ID spesifik dari `${resourceType}`. Jika jenis resource adalah JobGroup, parameter ini adalah GroupId di Application Management. Untuk mendapatkan `${resourceId}`: Masuk ke Konsol MSE SchedulerX. Pada panel navigasi di sebelah kiri, klik Application Management. Arahkan kursor ke sisi kanan Application ID, lalu klik ikon untuk menyalin ID tersebut. Ganti parameter `${resourceId}` dengan ID yang telah disalin.

Contoh konfigurasi kebijakan kustom

Berikan izin pengelolaan kepada pengguna RAM untuk semua resource

Kebijakan yang memberikan semua izin pengelolaan untuk SchedulerX. Kebijakan ini memungkinkan akses ke semua operasi dan resource di SchedulerX.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin read-only kepada pengguna RAM untuk semua resource

Kebijakan yang memberikan izin kueri read-only untuk semua resource di SchedulerX. Kebijakan ini memungkinkan melihat informasi tentang semua resource di SchedulerX.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:ReadSchedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin kepada pengguna RAM untuk semua aksi dalam namespace tertentu

Kebijakan yang memberikan izin pengelolaan untuk semua resource aplikasi dan pekerjaan dalam satu atau beberapa namespace tertentu. Anda harus mendapatkan ID namespace dari namespace mikroservis EDAS dan mengonfigurasikannya dalam kebijakan. Contoh berikut memberikan izin pengelolaan untuk resource di dua namespace (namespace-id-01 dan namespace-id-02). Anda juga dapat mengubah Action untuk membatasi operasi pada resource tersebut. Misalnya, jika Anda mengatur Action menjadi "edas:ReadSchedulerx*", kebijakan tersebut memberikan izin kueri read-only untuk kedua namespace tersebut.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/namespace-id-01/*",
              	"acs:edas:*:*:namespace/namespace-id-02/*"
            ]
        }
    ]
}

Pada panel navigasi di sebelah kiri Konsol SchedulerX, klik Namespace. Pada kolom Namespace ID dalam daftar namespace, dapatkan ID namespace target. Ganti namespace-id-01 dan namespace-id-02 dalam kebijakan dengan ID yang telah didapatkan.

Berikan izin kepada pengguna RAM untuk semua aksi dalam aplikasi tertentu

Kebijakan yang memberikan izin pengelolaan akses untuk resource di bawah aplikasi tertentu dalam Penjadwalan Tugas Terdistribusi. Dalam elemen Resource, tentukan ID aplikasi dari JobGroup di namespace yang sesuai untuk memberikan izin akses ke aplikasi tersebut. Anda juga dapat menggunakan awalan dengan wildcard asterisk (*), seperti "TestGroup*", untuk memberikan izin secara cepat ke semua kelompok aplikasi yang memiliki awalan "TestGroup".

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/namespace-id-01/JobGroup/TestGroup*",
              	"acs:edas:*:*:namespace/namespace-id-02/JobGroup/AppGroup"
            ]
        }
    ]
}

Pada panel navigasi di sebelah kiri Konsol Penjadwalan Tugas Terdistribusi, klik Application Management. Pada kolom Application ID/Application key dalam daftar aplikasi, dapatkan ID aplikasi target.