Izin menentukan apakah suatu operasi pada resource diperbolehkan atau ditolak dalam kondisi tertentu. Kebijakan akses merupakan kumpulan izin akses.
Izin
Izin ditentukan oleh pernyataan (statement) dalam kebijakan yang mengizinkan atau menolak akses identitas RAM terhadap resource Alibaba Cloud tertentu. Identitas RAM mencakup RAM user, RAM user group, dan RAM role. Rincian lebih lanjut dijelaskan sebagai berikut:
Akun Alibaba Cloud adalah pemilik resource dan mengontrol seluruh izin.
Setiap resource Alibaba Cloud hanya memiliki satu pemilik, yaitu Akun Alibaba Cloud, yang memiliki kendali penuh atas resource tersebut.
Pemilik resource belum tentu merupakan pembuat resource. Misalnya, jika identitas RAM memiliki izin untuk membuat resource Alibaba Cloud, resource yang dibuat tetap menjadi milik Akun Alibaba Cloud tempat identitas RAM tersebut berada. Dalam hal ini, identitas RAM bertindak sebagai pembuat resource, bukan pemiliknya.
Identitas RAM berperan sebagai operator dan secara default tidak memiliki izin apa pun.
Identitas RAM merepresentasikan operator, sehingga semua operasinya harus secara eksplisit diotorisasi oleh Akun Alibaba Cloud.
Identitas RAM hanya dapat mengelola resource melalui konsol atau memanggil operasi API setelah diberikan izin yang diperlukan.
Kebijakan
Kebijakan mendefinisikan sekumpulan izin berdasarkan struktur dan sintaks kebijakan tertentu. Anda dapat menggunakan kebijakan untuk menentukan resource yang diizinkan, operasi yang diizinkan, serta kondisi otorisasi. Untuk informasi selengkapnya mengenai elemen, struktur, dan sintaks kebijakan, lihat Elemen kebijakan dan Struktur dan sintaks kebijakan.
RAM mendukung dua jenis kebijakan berikut:
System policy: System policy dibuat dan dikelola oleh Alibaba Cloud. Anda dapat menggunakan system policy, tetapi tidak dapat mengubahnya.
Custom policy: Anda dapat membuat, mengubah, menghapus, dan mengelola custom policy sesuai kebutuhan bisnis Anda.
Anda dapat menyambungkan satu atau beberapa kebijakan ke identitas RAM. Untuk informasi selengkapnya, lihat Berikan izin kepada RAM user, Berikan izin kepada RAM user group, dan Kelola izin untuk RAM role.
Berikan izin kepada identitas RAM
Untuk memberikan izin kepada identitas RAM, Anda harus menyambungkan satu atau beberapa kebijakan ke identitas tersebut.
Kebijakan yang disambungkan dapat berupa system policy atau custom policy.
Jika kebijakan yang disambungkan diubah, perubahan tersebut akan langsung berlaku secara otomatis tanpa perlu menyambungkan ulang kebijakan ke identitas RAM.