Berikan izin minimum yang diperlukan kepada pengguna RAM untuk menggunakan AI Search Open Platform. - OpenSearch

Jika beberapa pengguna di perusahaan Anda perlu mengakses layanan yang sama, buat pengguna RAM dan berikan hanya izin minimum yang diperlukan. Hal ini mencegah pembagian kata sandi atau AccessKey akun Alibaba Cloud Anda.

Use cases

Buat pengguna RAM dan berikan izin minimum yang diperlukan dalam skenario berikut:

Pengguna RAM memanggil layanan AI Search Open Platform melalui API atau SDK dengan melakukan autentikasi menggunakan AccessKey.
Pengguna RAM menggunakan konsol AI Search Open Platform. Skenario umum meliputi:
- Membuat ruang kerja dan mengaktifkan AI Search Open Platform.
- Mengelola API keys.
  
  Penting
  Di AI Search Open Platform, API keys memiliki cakupan pada ruang kerja tertentu. Pengguna RAM dengan API key yang valid untuk suatu ruang kerja dapat memanggil semua layanan di ruang kerja tersebut melalui API atau SDK tanpa memerlukan otorisasi RAM terpisah.
- Menggunakan Experience Center untuk mencoba layanan seperti document parsing dan document chunking.
- Menjalankan evaluation pada rantai RAG.

Permission policies

System policies

Alibaba Cloud menyediakan dan memelihara dua kebijakan sistem untuk AI Search Open Platform. Anda dapat menggunakannya tetapi tidak dapat mengubahnya:

AliyunOpenSearchFullAccess: Memberikan akses penuh ke layanan OpenSearch. Mencakup semua izin dalam daftar izin. Tetapkan dengan hati-hati.
AliyunOpenSearchReadOnlyAccess: Memberikan akses read-only ke layanan OpenSearch. Mencakup semua izin API kontrol List dan Describe, serta semua izin API traffic dalam daftar izin.

Custom policies

Buat kebijakan kustom untuk memberikan izin detail halus.

Permission list

Control API permissions

Category	API	RAM action	Resource	Description
Workspace	`CreateWorkspace`	`searchplat:WriteWorkspace`	`workspaces/*`	Membuat ruang kerja dan mengaktifkan AI Search Open Platform. Catatan AI Search Open Platform gratis untuk diaktifkan. Anda tidak dikenai biaya hingga mulai menggunakan layanan.
	`UpdateWorkspace`	`searchplat:WriteWorkspace`	`workspaces/{workspaceName}`	Memodifikasi ruang kerja.
	`GetWorkspace`	`searchplat:DescribeWorkspace`	`workspaces/{workspaceName}`	Mendapatkan detail ruang kerja.
	`ListWorkspaces`	`searchplat:ListWorkspaces`	`workspaces/*`	Menampilkan daftar ruang kerja.
	`ListServices`	`searchplat:ListServices`	`workspaces/{workspaceName}`	Menampilkan daftar layanan.
Access credential	`CreateCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Membuat kredensial akses.
	`DeleteCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Menghapus kredensial akses.
	`UpdateCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Memodifikasi kredensial akses.
	`GetCredentials`	`searchplat:DescribeCredentials`	`workspaces/{workspaceName}`	Mendapatkan detail kredensial akses.
	`ListCredentials`	`searchplat:DescribeCredentials`	`workspaces/{workspaceName}`	Menampilkan daftar kredensial akses.
Remaining free quota	`GetMeasure`	`searchplat:DescribeMeasure`	`workspaces/{workspaceName}`	Mendapatkan sisa kuota gratis untuk ruang kerja. Catatan Setelah diaktifkan, setiap akun Alibaba Cloud menerima 10 panggilan layanan gratis. Kuota gratis ini dibagi antara akun Alibaba Cloud dan pengguna RAM-nya. Klik Activate Now untuk mencoba layanan model. Setelah 10 panggilan gratis digunakan, biaya akan dikenakan berdasarkan penggunaan layanan model.
Experience data	`CreateExperienceData`	`searchplat:WriteExperienceData`	`workspaces/{workspaceName}`	Menambahkan data pengalaman.
	`DeleteExperienceData`	`searchplat:WriteExperienceData`	`workspaces/{workspaceName}`	Menghapus data experience.
	`GetExperienceData`	`searchplat:DescribeExperienceData`	`workspaces/{workspaceName}`	Mendapatkan detail data experience.
	`ListExperienceData`	`searchplat:DescribeExperienceData`	`workspaces/{workspaceName}`	Menampilkan daftar data experience.
Asynchronous task	`CreateAsyncTask`	`searchplat:WriteAsyncTask`	`workspaces/{workspaceName}`	Membuat tugas parsing dokumen asinkron.
	`GetAsyncTask`	`searchplat:DescribeAsyncTask`	`workspaces/{workspaceName}`	Mendapatkan detail tugas parsing dokumen asinkron.
	`ListAsyncTasks`	`searchplat:DescribeAsyncTask`	`workspaces/{workspaceName}`	Menampilkan daftar tugas parsing dokumen asinkron.
Evaluation	`CreateRagEvaluatorTask`	`searchplat:WriteEvaluation`	`workspaces/{workspaceName}`	Membuat tugas evaluasi.
	`GetRagEvaluatorTask`	`searchplat:DescribeEvaluation`	`workspaces/{workspaceName}`	Mendapatkan detail tugas evaluasi.
	`ListRagEvaluatorTasks`	`searchplat:DescribeEvaluation`	`workspaces/{workspaceName}`	Menampilkan daftar tugas evaluasi.
	`DeleteRagEvaluatorTask`	`searchplat:WriteEvaluation`	`workspaces/{workspaceName}`	Menghapus tugas evaluation.
Model service	`CreateFunctionInstance`	`searchplat:WriteFunction`	`workspaces/{workspaceName}`	Membuat layanan atau model.
	`CreateFunctionTask`		`workspaces/{workspaceName}`	Mengaktifkan konfigurasi layanan segera.
	`UpdateFunctionInstance`		`workspaces/{workspaceName}`	Memodifikasi konfigurasi layanan atau model.
	`DeleteFunctionInstance`		`workspaces/{workspaceName}`	Menghapus konfigurasi layanan atau model.
	`ListFunctionInstances`	`searchplat:DescribeFunction`	`workspaces/{workspaceName}`	Menampilkan daftar konfigurasi layanan atau model.
	`GetFunctionInstance`	`searchplat:DescribeFunction`	`workspaces/{workspaceName}`	Mendapatkan detail konfigurasi layanan atau model.
	`GetTableFields`	`searchplat:GetTableFields`	`workspaces/{workspaceName}`	Mendapatkan skema tabel MaxCompute.
	`CeaseFunctionInstance`	`searchplat:CeaseFunctionInstance`	`workspaces/{workspaceName}`	Menghentikan layanan.
	`ResumeFunctionInstance`	`searchplat:ResumeFunctionInstance`	`workspaces/{workspaceName}`	Menjalankan kembali layanan.
Model service - Service deployment	`ListFunctionRestrictions`	`searchplat:ListFunctionRestrictions`	`workspaces/{workspaceName}`	Mendapatkan batasan fungsi: wilayah penerapan yang tersedia, kategori model, jenis model, dan model.

Traffic API permissions

API	RAM action	Resource	Description
`GetTextEmbedding`	`searchplat:GetTextEmbedding`	`workspaces/{workspaceName}`	Layanan penyematan teks.
`GetTextSparseEmbedding`	`searchplat:GetTextSparseEmbedding`	`workspaces/{workspaceName}`	Layanan penyematan teks sparse.
`CreateDocumentAnalyzeTask`	`searchplat:CreateDocumentAnalyzeTask`	`workspaces/{workspaceName}`	Membuat permintaan analisis dokumen asinkron.
`DescribeDocumentAnalyzeTask`	`searchplat:DescribeDocumentAnalyzeTask`	`workspaces/{workspaceName}`	Mendapatkan hasil permintaan analisis dokumen asinkron.
`GetDocumentAnalysis`	`searchplat:GetDocumentAnalysis`	`workspaces/{workspaceName}`	Mendapatkan hasil permintaan analisis dokumen sinkron.
`CreateImageAnalyzeTask`	`searchplat:CreateImageAnalyzeTask`	`workspaces/{workspaceName}`	Membuat permintaan analisis gambar asinkron.
`DescribeImageAnalyzeTask`	`searchplat:DescribeImageAnalyzeTask`	`workspaces/{workspaceName}`	Mendapatkan hasil permintaan analisis gambar asinkron.
`GetImageAnalysis`	`searchplat:GetImageAnalysis`	`workspaces/{workspaceName}`	Mendapatkan hasil permintaan analisis gambar sinkron.
`GetDocumentSplit`	`searchplat:GetDocumentSplit`	`workspaces/{workspaceName}`	Layanan document chunking.
`GetDocumentRank`	`searchplat:GetDocumentRank`	`workspaces/{workspaceName}`	Layanan re-ranking.
`GetTextGeneration`	`searchplat:GetTextGeneration`	`workspaces/{workspaceName}`	Layanan generasi konten (LLM).
`GetQueryAnalysis`	`searchplat:GetQueryAnalysis`	`workspaces/{workspaceName}`	Layanan analisis query.
`GetEmbeddingTuning`	`searchplat:GetEmbeddingTuning`	`workspaces/{workspaceName}`	Layanan fine-tuning penyematan.
`GetWebSearch`	`searchplat:SearchWeb`	`workspaces/{workspaceName}`	Layanan pencarian web.
`GetMultiModalEmbedding`	`searchplat:GetMultiModalEmbedding`	`workspaces/{workspaceName}`	Layanan penyematan multimodal.
`CreateVideoSnapshotTask`	`searchplat:CreateVideoSnapshotTask`	`workspaces/{workspaceName}`	Membuat tugas ekstraksi frame video asinkron.
`GetVideoSnapshotTaskStatus`	`searchplat:DescribeVideoSnapshotTask`	`workspaces/{workspaceName}`	Mendapatkan status tugas ekstraksi frame video.
`CreateAudioAsrTask`	`searchplat:CreateAudioAsrTask`	`workspaces/{workspaceName}`	Membuat tugas transkripsi audio asinkron.
`GetAudioAsrTaskStatus`	`searchplat:DescribeAudioAsrTask`	`workspaces/{workspaceName}`	Mendapatkan status tugas transkripsi audio asinkron.
`GetImageObjectDetection`	`searchplat:GetImageObjectDetection`	`workspaces/{workspaceName}`	Layanan deteksi objek gambar.
`GetMultiModalReranker`	`searchplat:GetMultiModalReranker`	`workspaces/{workspaceName}`	Layanan re-ranking multimodal.
`CreateVideoSummarizationTask`	`searchplat:CreateVideoSummarizationTask`	`workspaces/{workspaceName}`	Membuat tugas ringkasan video asinkron.
`GetVideoSummarizationTaskStatus`	`searchplat:DescribeVideoSummarizationTask`	`workspaces/{workspaceName}`	Mendapatkan status tugas ringkasan video.
`CreateVideoSegmentationTask`	`searchplat:CreateVideoSegmentationTask`	`workspaces/{workspaceName}`	Membuat tugas segmentasi video asinkron.
`GetVideoSegmentationTaskStatus`	`searchplat:DescribeVideoSegmentationTask`	`workspaces/{workspaceName}`	Mendapatkan status tugas segmentasi video.

Procedure

Step 1: Create a RAM user

Pengguna RAM adalah identitas fisik yang memiliki ID tetap dan informasi kredensial. Pengguna RAM merepresentasikan seseorang atau aplikasi. Pengguna RAM memiliki karakteristik berikut:

Pengguna RAM dapat dibuat oleh akun Alibaba Cloud. Dalam kasus ini, pengguna RAM dimiliki oleh akun Alibaba Cloud tersebut. Pengguna RAM juga dapat dibuat oleh pengguna RAM atau role RAM yang memiliki hak administratif. Dalam kasus ini, pengguna RAM tetap dimiliki oleh akun Alibaba Cloud yang membuat pengguna RAM atau role RAM tersebut.
Pengguna RAM tidak memiliki resource. Biaya penggunaan resource oleh pengguna RAM ditagihkan ke akun Alibaba Cloud yang menjadi pemilik pengguna RAM tersebut. Pengguna RAM tidak menerima tagihan individual dan tidak dapat melakukan pembayaran.
Sebelum pengguna RAM dapat login ke Konsol Manajemen Alibaba Cloud atau memanggil operasi, mereka harus diotorisasi oleh akun Alibaba Cloud. Setelah diotorisasi, pengguna RAM dapat mengakses resource yang dimiliki oleh akun Alibaba Cloud tersebut.
Pengguna RAM memiliki password atau pasangan AccessKey yang independen untuk login.
Akun Alibaba Cloud dapat membuat beberapa pengguna RAM. Pengguna RAM dapat digunakan untuk merepresentasikan karyawan, sistem, dan aplikasi dalam suatu perusahaan.

Untuk petunjuknya, lihat Create a RAM user.

Step 2: Create a custom permission policy

Lihat Examples of minimum required permissions, pilih izin yang diperlukan dari Permission list, lalu gabungkan menjadi kebijakan kustom. Untuk petunjuknya, lihat Create a custom policy.

Step 3: Authorize the RAM user

Tetapkan kebijakan sistem atau kebijakan kustom kepada pengguna RAM. Berikan hanya izin yang diperlukan untuk tugas pengguna tersebut. Untuk petunjuknya, lihat Grant permissions to a RAM user.

Catatan

Perubahan izin berlaku dalam waktu sekitar 5 menit.

Examples of minimum required permissions

Contoh 1: Mengizinkan pengguna RAM untuk menampilkan daftar ruang kerja, memeriksa sisa kuota gratis, dan memanggil layanan document chunking di ruang kerja default.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "searchplat:ListWorkspaces",
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}

Contoh 2: Mengizinkan pengguna RAM untuk menampilkan daftar ruang kerja, memeriksa sisa kuota gratis, mengelola API keys, dan memanggil layanan document chunking di ruang kerja default.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:ListWorkspaces"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
           "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:WriteCredentials",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeCredentials",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}