CloudOps Orchestration Service (OOS) memerlukan izin API yang berbeda untuk menjalankan templat yang berbeda. Gunakan operasi API OOS GenerateExecutionPolicy untuk mengambil izin yang dibutuhkan setiap templat, menerapkan prinsip hak istimewa minimal. Sebagai alternatif, berikan peran layanan OOS izin FullAccess terhadap layanan cloud lainnya. Langkah-langkah berikut memberikan akses OOS ke layanan cloud lainnya.
Latar Belakang
Untuk memberikan izin kepada pengguna RAM (sub-akun) agar dapat mengakses OOS, lihat Kontrol akses akun.
OOS menggunakan token sementara Security Token Service (STS) untuk mengakses API layanan cloud lainnya. Otorisasi OOS untuk mengakses sumber daya Anda dengan mengasumsikan RAM role.
Jika tidak ada RAM role yang ditentukan, OOS menggunakan izin yang dimiliki oleh akun yang menjalankan templat.
Jika RAM role ditentukan, OOS mengasumsikan role yang Anda tentukan.
Prosedur
Langkah 1: Buat RAM role yang diasumsikan oleh OOS
Pada kotak dialog yang muncul, tentukan nama role dan klik OK.
Langkah 2: Berikan izin kepada RAM role
RAM role yang baru dibuat tidak memiliki izin apa pun. Berikan izin kepada RAM role.
Buka halaman RAM console>Identities>Roles.
Pada daftar role, temukan RAM role yang telah Anda buat untuk OOS (misalnya, OOSServiceRole). Pada kolom Actions, klik Attach Policy.
Pada panel Attach Policy, atur parameter untuk menyambungkan kebijakan izin ke RAM role tersebut, lalu klik Grant permissions. Bagian berikut menjelaskan parameter utama:
Principal: Secara otomatis diatur ke RAM role saat ini, yaitu peran layanan OOS.
Policies: Pilih kebijakan yang dibutuhkan oleh templat CloudOps Orchestration Service. Dapatkan kebijakan RAM yang diperlukan untuk mengeksekusi templat. Misalnya, AliyunECSFullAccess memberikan akses ke semua API ECS.
Setelah memberikan izin, klik close.