Konfigurasi autentikasi detail halus untuk pusat konfigurasi Nacos pada MSE - Microservices Engine

Pusat konfigurasi Nacos dalam Microservices Engine (MSE) memungkinkan Anda menetapkan izin akses berdasarkan instans, namespace, group, dan data ID guna mengurangi risiko akses atau modifikasi konfigurasi yang tidak sah.

Prasyarat

Catatan penggunaan

Prosedur berikut mengonfigurasi izin akses untuk jalur direct engine connection yang ditunjukkan pada gambar, yang memungkinkan klien Nacos mengakses MSE Nacos sebagai RAM user.

幻灯片1.JPG

Catatan

Untuk mengonfigurasi dan menggunakan autentikasi akses untuk engine control path (yaitu, memberikan izin kepada RAM user untuk menggunakan Konsol MSE), lihat Otorisasi registry dan pusat konfigurasi.

Langkah 1: Buat kebijakan detail halus

Gunakan Akun Alibaba Cloud (akun root) atau RAM user dengan izin AliyunRAMFullAccess untuk login ke Konsol RAM.
Di panel navigasi kiri, pilih Permissions > Policies.
Pada halaman Policies, klik Create Policy.
Catatan
Editor visual di Konsol Resource Access Management (RAM) tidak mendukung aksi kustom MSE Nacos seperti mse:QueryNacosConfig dan mse:UpdateNacosConfig. Jika Anda memilih Microservices Engine (MSE) sebagai layanan di editor visual, tidak ada hasil yang dikembalikan saat mencari aksi tersebut. Buat kebijakan pada tab Script Editor, seperti yang dijelaskan pada langkah berikutnya.
Pada halaman Create Policy, klik tab JSON Editor.
Halaman ini menampilkan editor JSON. Templat kebijakan default mencakup elemen Version (diatur ke "1") dan array Statement. Setiap pernyataan mencakup elemen Effect (default "Allow"), Action, Resource, dan Condition. Anda harus mengisi elemen Action dan Resource.

Masukkan isi kebijakan.

Tabel berikut menjelaskan aksi untuk autentikasi detail halus pada pusat konfigurasi.

Action	Description
mse:QueryNacosConfig	Memberikan izin baca untuk konfigurasi di pusat konfigurasi MSE Nacos, memungkinkan Anda mendapatkan dan mendengarkan konfigurasi menggunakan SDK.
mse:UpdateNacosConfig	Memberikan izin pembaruan untuk konfigurasi di pusat konfigurasi MSE Nacos, memungkinkan Anda menerbitkan dan memodifikasi konfigurasi menggunakan SDK.

Resource untuk autentikasi detail halus di pusat konfigurasi harus menggunakan format berikut:
```
acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}
```
Anda juga dapat merujuk ke bagian Contoh untuk memodifikasi isi kebijakan.
Untuk informasi lebih lanjut tentang sintaks dan struktur kebijakan, lihat Struktur dan sintaks kebijakan.

Di bagian atas halaman, klik Optimize, lalu klik Perform untuk melakukan optimasi lanjutan pada kebijakan.
Fitur optimasi kebijakan lanjutan melakukan tugas-tugas berikut:
- Memisahkan resource atau kondisi untuk aksi yang tidak kompatibel.
- Mempersempit cakupan resource.
- Menghapus pernyataan duplikat atau menggabungkan pernyataan.
Pada halaman Create Policy, klik OK.
Pada kotak dialog Create Policy, masukkan policy name dan Description, lalu klik OK.

Langkah 2: Berikan izin

Berikan izin kepada RAM user

Di panel navigasi kiri, pilih Identities > Users.
Pada halaman Users, temukan RAM user tersebut dan klik Add Permissions di kolom Actions.

Anda juga dapat memilih beberapa RAM user sekaligus dan klik Add Permissions di bagian bawah daftar pengguna untuk memberikan izin secara batch.
Pada panel Grant Permission, di bagian Policies, klik daftar drop-down All Policy Types dan pilih Custom Policy. Di kotak pencarian, masukkan nama kebijakan yang telah Anda buat di Langkah 1, klik kebijakan yang muncul dalam hasil pencarian, lalu klik OK.
Pada panel Grant Permission, pastikan otorisasi berhasil dan klik Close.

Berikan izin kepada RAM role

Pada bagian Policies dari panel Grant Permission, klik daftar drop-down All Policy Types dan pilih Custom Policy. Di kotak teks, masukkan nama kebijakan izin yang telah Anda buat di Langkah 1, klik nama kebijakan izin dari hasil pencarian, lalu klik Confirm Add Permission.
Pada panel Grant Permission, pastikan otorisasi berhasil dan klik Close.

Contoh

Memberikan izin read-only untuk konfigurasi pada instans tertentu.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "mse:QueryNacosConfig"
            ],
            "Resource": [
                "acs:mse:*:*:instance/${instanceId1}",
                "acs:mse:*:*:instance/${instanceId2}"
            ],
            "Effect": "Allow"
        }
    ]
}

Memberikan izin untuk membaca dan memodifikasi konfigurasi pada instans tertentu.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "mse:QueryNacosConfig",
                "mse:UpdateNacosConfig"
            ],
            "Resource": [
                "acs:mse:*:*:instance/${instanceId1}",
                "acs:mse:*:*:instance/${instanceId2}"
            ],
            "Effect": "Allow"
        }
    ]
}

Catatan

${instance_id_1} dan ${instance_id_2} adalah placeholder untuk ID instans pusat konfigurasi Anda.

Memberikan izin read-only untuk konfigurasi dalam namespace tertentu dari instans.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "mse:QueryNacosConfig",
            "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}"
        }
    ],
    "Version": "1"
}

Memberikan izin untuk membaca dan memodifikasi konfigurasi dalam group tertentu di dalam namespace instans.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "mse:QueryNacosConfig",
                "mse:UpdateNacosConfig"
            ],
            "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}"
        }
    ],
    "Version": "1"
}

Memberikan izin read-only untuk konfigurasi yang ditentukan oleh data ID dalam group tertentu.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "mse:QueryNacosConfig",
            "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}"
        }
    ],
    "Version": "1"
}

Memberikan izin untuk membaca dan memodifikasi konfigurasi yang ditentukan oleh data ID dalam group tertentu.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "mse:QueryNacosConfig",
                "mse:UpdateNacosConfig"
            ],
            "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}"
        }
    ],
    "Version": "1"
}

Dokumentasi terkait

Untuk informasi tentang autentikasi tingkat instans untuk pusat konfigurasi, lihat Autentikasi klien Nacos.