OpenSearch：Buat Pengguna RAM dan Berikan Izin

Skenario

Berikut adalah skenario yang memerlukan pembuatan Pengguna RAM dan pemberian izin minimum untuk operasi bisnis:

• Ketika Pengguna RAM memanggil Platform Pencarian AI Terbuka melalui API/SDK, gunakan AccessKey untuk otentikasi identitas.

• Ketika Pengguna RAM menggunakan Konsol Platform Pencarian AI Terbuka, skenario umum meliputi:

  • Memberikan izin untuk membuat ruang kerja dan mengaktifkan Platform Pencarian AI Terbuka.

  • Memberikan izin untuk mengelola API Keys.

    Penting

    Di Platform Pencarian AI Terbuka, API Keys ada di ruang kerja independen. Jika Pengguna RAM mendapatkan API Key untuk ruang kerja tertentu (dan API Key diaktifkan), serta menggunakan API Key dalam kode, pengguna dapat memanggil semua layanan di bawah ruang kerja melalui API/SDK tanpa otorisasi terpisah yang diperlukan.

  • Memberikan izin untuk mencoba layanan seperti penguraian dokumen dan chunking di Pusat Pengalaman.

  • Memberikan izin untuk melakukan evaluasi pada rantai RAG.

Kebijakan Izin

Kebijakan sistem

Kebijakan sistem dibuat secara seragam oleh Alibaba Cloud. Pengguna hanya dapat menggunakannya dan tidak dapat memodifikasinya. Pembaruan versi kebijakan dipertahankan oleh Alibaba Cloud. Platform Pencarian AI Terbuka menyediakan kebijakan sistem berikut:

• AliyunOpenSearchFullAccess: Izin untuk mengelola OpenSearch. Kebijakan izin ini mencakup semua izin dalam daftar titik izin. Berikan kebijakan izin ini dengan hati-hati.

• AliyunOpenSearchReadOnlyAccess: Memberikan akses read-only ke OpenSearch. Kebijakan ini mencakup semua izin API kontrol (List, Describe) untuk operasi baca dan semua izin dalam daftar izin API lalu lintas, seperti yang dirinci dalam daftar titik izin.

Kebijakan kustom

Buat kebijakan izin kustom untuk mencapai pengelolaan izin detail halus.

Daftar titik izin

Izin API kontrol

Izin API Lalu Lintas

Prosedur

Langkah 1: Buat Pengguna RAM

Pengguna RAM adalah identitas fisik yang memiliki ID tetap dan informasi kredensial. Pengguna RAM mewakili seseorang atau aplikasi. Pengguna RAM memiliki karakteristik berikut:

• Pengguna RAM dapat dibuat oleh Akun Alibaba Cloud. Dalam hal ini, Pengguna RAM dimiliki oleh Akun Alibaba Cloud. Pengguna RAM juga dapat dibuat oleh Pengguna RAM atau Peran RAM yang memiliki hak administratif. Dalam hal ini, Pengguna RAM dimiliki oleh Akun Alibaba Cloud yang membuat Pengguna RAM atau Peran RAM.

• Pengguna RAM tidak memiliki sumber daya. Biaya penggunaan sumber daya Pengguna RAM ditagihkan ke Akun Alibaba Cloud yang memiliki Pengguna RAM. Pengguna RAM tidak menerima tagihan individu dan tidak dapat melakukan pembayaran.

• Sebelum Pengguna RAM dapat masuk ke Konsol Manajemen Alibaba Cloud atau memanggil operasi, mereka harus diberi otorisasi oleh Akun Alibaba Cloud. Setelah Pengguna RAM diberi otorisasi, Pengguna RAM dapat mengakses sumber daya yang dimiliki oleh Akun Alibaba Cloud.

• Pengguna RAM memiliki kata sandi independen atau Pasangan Kunci Akses untuk masuk.

• Akun Alibaba Cloud dapat membuat beberapa Pengguna RAM. Pengguna RAM dapat digunakan untuk mewakili karyawan, sistem, dan aplikasi dalam perusahaan.

Untuk informasi lebih lanjut, lihat Buat Pengguna RAM.

Langkah 2: Buat kebijakan izin kustom

Referensi Contoh kombinasi izin minimum umum, pilih titik izin dari daftar titik izin untuk menggabungkan menjadi kebijakan izin minimum. Untuk informasi lebih lanjut tentang pembuatan kebijakan otorisasi kustom, lihat Buat kebijakan izin kustom.

Langkah 3: Otorisasi Pengguna RAM

Setelah memberikan kebijakan sistem atau kebijakan kustom kepada Pengguna RAM, pengguna dapat mengakses sumber daya dengan izin yang sesuai dalam kebijakan. Kami menyarankan Anda hanya memberikan izin yang diperlukan kepada Pengguna RAM berdasarkan prinsip hak istimewa minimal. Untuk informasi lebih lanjut tentang otorisasi, lihat Otorisasi Pengguna RAM.

Contoh kombinasi izin minimum umum

Contoh 1: Izinkan Pengguna RAM melihat daftar ruang kerja, melihat sisa kuota layanan gratis, dan memanggil layanan chunking dokumen di ruang kerja default. Kebijakan otorisasi yang sesuai adalah sebagai berikut:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "searchplat:ListWorkspaces",
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}

Contoh 2: Izinkan Pengguna RAM melihat daftar ruang kerja, melihat sisa kuota layanan gratis, mengelola API Keys di ruang default, dan memanggil layanan chunking dokumen.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:ListWorkspaces"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
           "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:WriteCredentials",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeCredentials",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}