OpenAPI Explorer:Izin untuk diagnosis error API lintas akun

Langkah 1: Buat kebijakan kustom

1. Login ke RAM console menggunakan Akun Alibaba Cloud Anda atau RAM user dengan izin manajemen RAM.

2. Di panel navigasi sebelah kiri, pilih Permissions, lalu klik Policies.

3. Pada halaman Policies, klik Create Policy.

4. Pada halaman Create Policy, klik tab JSON.

   Editor menampilkan templat kebijakan default dengan Version bernilai "1" dan array Statement yang berisi satu objek. Objek tersebut memiliki Effect bernilai "Allow" serta elemen Action, Resource, dan Condition yang kosong.

5. Ganti konten di editor dengan kebijakan berikut, lalu klik OK.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "openapiexplorer:GetRequestLog",
                   "ram:DecodeDiagnosticMessage"
               ],
               "Resource": "*"
           }
       ]
   }

   Catatan

   Kebijakan ini mengizinkan pengguna untuk melihat semua log panggilan API dan informasi detail mengenai izin yang tidak mencukupi dalam Akun Alibaba Cloud.

6. Masukkan Policy Name dan Description, lalu klik OK.

Langkah 2: Berikan izin kepada RAM user

Berikan izin kepada RAM user menggunakan salah satu metode berikut:

• Untuk memberikan izin kepada RAM user, lihat Manage RAM user permissions.

• Untuk memberikan izin kepada RAM user group, lihat Grant permissions to a RAM user group.

Langkah 3: Lihat hasil diagnosis API

Buka OpenAPI Troubleshoot, masukkan RequestId, lalu klik Diagnose.

Hasil diagnosis menunjukkan bahwa layanan cloud adalah ECS, ErrorCode-nya adalah Forbidden.RAM, dan ErrorMessage menunjukkan bahwa RAM user tidak memiliki otorisasi untuk mengoperasikan resource yang ditentukan. Detail diagnosis mengidentifikasi pemanggil sebagai RAM user yang mencoba melakukan aksi ecs:ModifyInstanceAttribute, dengan keputusan insufficient permissions. Solusi yang direkomendasikan adalah menghubungi administrator untuk memberikan kebijakan sistem terkait, seperti AliyunECSFullAccess atau AliyunECSReadOnlyAccess, atau membuat kebijakan kustom.

Langkah 1: Konfigurasi RAM role di Akun A

1. Buat RAM role.

   Login ke RAM console dengan Akun A. Buat RAM role dengan Principal Type diatur ke Cloud Account. Untuk informasi lebih lanjut, lihat Create a RAM role for a trusted Alibaba Cloud account.

   Catatan

   Pada halaman Create Role, untuk Principal Name, pilih Other Account dan masukkan UID Akun B.

2. Buat kebijakan kustom.

   Untuk petunjuknya, lihat Langkah 1: Buat kebijakan kustom pada bagian sebelumnya.

3. Berikan izin kepada RAM role.

   Lampirkan kebijakan kustom yang telah Anda buat pada langkah sebelumnya ke RAM role tersebut. Untuk informasi lebih lanjut, lihat Manage permissions for a RAM role.

Langkah 2: Konfigurasi RAM user di Akun B

1. Buat RAM user.

   Login ke RAM console dengan Akun B dan buat RAM user. Untuk informasi lebih lanjut, lihat Create a RAM user.

   Catatan

   Untuk keamanan, konfigurasikan hanya satu mode akses untuk RAM user sesuai kebutuhan Anda. Pisahkan akses konsol dan akses programatik.

   Dalam contoh ini, Logon Name diatur ke GetApiLogUser, Display Name diatur ke "Untuk melakukan kueri log panggilan API milik akun Alibaba Cloud lain", dan untuk Access Mode, dipilih kedua opsi: console access dan programmatic access.

2. Berikan izin kepada RAM user.

   Lampirkan kebijakan AliyunSTSAssumeRoleAccess ke RAM user tersebut. Kebijakan ini mengizinkan pengguna untuk mengasumsikan role RAM apa pun. Untuk informasi lebih lanjut, lihat Manage RAM user permissions.

   Catatan

   Jika Anda ingin RAM user hanya dapat mengasumsikan role RAM tertentu, lihat RAM roles and STS Token FAQs.

Langkah 3: Mengasumsikan peran dan melihat informasi diagnosis

1. Gunakan RAM user dari Akun B untuk login ke RAM user logon page.

2. Arahkan kursor ke foto profil di pojok kanan atas, lalu klik Switch Identity.

3. Pada halaman Switch Role, masukkan UID Akun A dan nama RAM role, lalu klik Submit.

4. Lihat informasi diagnosis API.

   Buka OpenAPI Troubleshoot, masukkan RequestId, lalu klik Diagnose.

   Hasil diagnosis menunjukkan bahwa layanan cloud adalah ECS, ErrorCode-nya adalah Forbidden.RAM, dan ErrorMessage-nya adalah User not authorized to operate on the specified resource, or this API doesn't support RAM.. Detail diagnosis menunjukkan bahwa kebijakan berbasis identitas di tingkat kelompok sumber daya menolak akses. Detail tersebut juga menunjukkan bahwa pemanggil adalah RAM user yang mencoba melakukan aksi ecs:ModifyInstanceAttribute saat login dengan role GetApiLogRole.