Berikan izin untuk diagnosis error API cross-account - OpenAPI Explorer

Saat menggunakan alat diagnosis error, Anda mungkin tidak memiliki izin yang diperlukan untuk mengkueri informasi diagnosis API dari akun lain. Hal ini dapat menghambat analisis error API dan pencarian solusi. Topik ini menjelaskan cara memberikan izin untuk mengkueri informasi diagnosis API dari akun lain.

Dalam akun Alibaba Cloud yang sama

Anda dapat memberikan izin yang diperlukan kepada pengguna Resource Access Management (RAM) yang perlu melihat informasi diagnosis API. Hal ini memungkinkan pengguna RAM tersebut untuk melihat informasi diagnosis API milik pengguna RAM atau role RAM lainnya.

Langkah 1: Buat kebijakan kustom

Login ke menggunakan Akun Alibaba Cloud atau akun administrator RAM.
Di panel navigasi sebelah kiri, pilih Permissions > Policies.
Pada halaman Policies, klik Create Policy.
Pada halaman Create Policy, klik tab JSON.

Di editor, ganti konten yang ada dengan isi kebijakan berikut, lalu klik OK.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "openapiexplorer:GetRequestLog",
                "ram:DecodeDiagnosticMessage"
            ],
            "Resource": "*"
        }
    ]
}

Catatan

Kebijakan ini memungkinkan pengguna untuk melihat semua log panggilan API dan detail error permission-denied untuk Akun Alibaba Cloud tersebut.

Masukkan nama dan deskripsi untuk kebijakan tersebut, lalu klik OK.

Langkah 2: Berikan izin kepada pengguna RAM

Anda dapat memberikan izin kepada pengguna RAM dengan salah satu cara berikut:

Untuk memberikan izin kepada pengguna RAM, lihat Grant permissions to a RAM user.
Untuk memberikan izin kepada grup pengguna RAM, lihat Grant permissions to a RAM user group.

Langkah 3: Lihat hasil diagnosis API

Buka halaman , masukkan RequestId, lalu klik Diagnose.

Antar akun Alibaba Cloud yang berbeda

Untuk melihat informasi diagnosis API milik akun Alibaba Cloud lain, Anda dapat memperoleh izin yang diperlukan dengan mengasumsikan sebuah role.

Prosesnya sebagai berikut:

Akun A: Akun yang mengalami error saat memanggil API.

Akun B: Akun yang perlu melihat informasi diagnosis API tersebut.

Di Akun A, buat role RAM yang mempercayai Akun B, sehingga memberikan izin kepada Akun B untuk mengasumsikan role tersebut.
Di Akun B, buat pengguna RAM dan sambungkan kebijakan yang mengizinkan pengguna tersebut untuk mengasumsikan role di Akun A.
Pengguna RAM dari Akun B mengasumsikan role di Akun A untuk mengkueri informasi diagnosis API menggunakan alat diagnosis error.

Langkah 1: Buat role RAM dan berikan izin di Akun A

Buat role RAM.
Login ke Konsol RAM dengan Akun A. Buat role RAM dan atur Principal Type menjadi Cloud Account. Untuk informasi lebih lanjut, lihat Create a RAM role for a trusted Alibaba Cloud account.
Catatan
Pilih Other Account untuk Principal Name dan masukkan UID Akun B.
Buat kebijakan kustom.
Untuk informasi lebih lanjut, lihat Step 1: Create a custom policy.
Berikan izin kepada role RAM.
Sambungkan kebijakan kustom yang telah Anda buat ke role RAM tersebut. Untuk informasi lebih lanjut, lihat Grant permissions to a RAM role.

Langkah 2: Buat pengguna RAM dan berikan izin di Akun B

Buat pengguna RAM.
Login ke Konsol RAM dengan Akun B dan buat pengguna RAM. Untuk informasi lebih lanjut, lihat Create a RAM user.
Catatan
Untuk keamanan, konfigurasikan hanya satu mode akses sesuai kebutuhan. Pisahkan akses konsol dan akses programatik.
Berikan izin kepada pengguna RAM.
Untuk mengizinkan pengguna RAM mengasumsikan role, sambungkan kebijakan AliyunSTSAssumeRoleAccess ke pengguna RAM tersebut. Kebijakan ini memberikan izin untuk mengasumsikan role apa pun. Untuk informasi lebih lanjut, lihat Grant permissions to a RAM user.
Catatan
Jika Anda ingin pengguna RAM hanya dapat mengasumsikan role RAM tertentu, lihat FAQ about RAM roles and STS tokens.

Langkah 3: Asumsikan role RAM dan lihat informasi diagnosis API

Gunakan pengguna RAM yang telah Anda buat di Akun B untuk login ke halaman login pengguna RAM.
Arahkan kursor ke gambar profil di pojok kanan atas, lalu klik Switch Identity.
Pada halaman Switch Role, masukkan UID akun yang dituju dan nama role RAM, lalu klik Submit untuk login. Sebagai contoh, masukkan UID Akun A dan nama role RAM tersebut.
Lihat informasi diagnosis API.
Buka halaman , masukkan RequestId, lalu klik Diagnose.