Resource Access Management:Batasan

Menangani batas kebijakan yang terlampaui

Jika jumlah kebijakan yang disambungkan ke RAM user, RAM user group, atau RAM role mencapai batas, atau konten kebijakan kustom melebihi batas karakter, lakukan langkah-langkah berikut: ajukan peningkatan kuota terlebih dahulu untuk batas yang mendukung penyesuaian, lalu gabungkan atau persingkat kebijakan jika peningkatan tersebut tidak cukup atau batas tidak dapat disesuaikan.

• Tingkatkan kuota: Buka Quota Center, cari "Number of system policies that can be attached to a RAM role" atau "Number of custom policies that can be attached to a RAM role", lalu ajukan permintaan peningkatan kuota. Anda dapat meningkatkan batas kebijakan sistem dari 20 menjadi 40 dan batas kebijakan kustom dari 10 menjadi 20.

• Gabungkan kebijakan: Di halaman manajemen kebijakan Konsol RAM, klik Create Policy, beralih ke Script edit mode, lalu gabungkan Action dari beberapa kebijakan sistem menjadi satu kebijakan kustom. Anda dapat menggunakan wildcard seperti oss:Get* untuk menyederhanakan daftar Action dan mengurangi jumlah karakter.

  Jika peningkatan kuota masih belum cukup—misalnya, ketika jumlah kebijakan sistem read-only yang Anda butuhkan melebihi batas yang telah ditingkatkan—gabungkan lebih banyak kebijakan untuk mengurangi jumlah slot kebijakan yang digunakan. Sebagai contoh, gabungkan izin read-only untuk API Gateway, Data Transmission Service (DTS), dan Auto Scaling (ESS) ke dalam satu kebijakan kustom:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "apigateway:Describe*",
          "apigateway:List*",
          "dts:Describe*",
          "dts:List*",
          "ess:Describe*",
          "ess:List*"
        ],
        "Resource": "*"
      }
    ]
  }

  Contoh ini menggabungkan izin read-only dari tiga layanan ke dalam satu kebijakan kustom, sehingga menghemat dua slot kebijakan dibandingkan dengan menyambungkan tiga kebijakan sistem read-only secara terpisah. Jumlah layanan yang dapat digabungkan dalam satu kebijakan kustom tidak tetap dan dibatasi oleh batas karakter pada konten kebijakan kustom; evaluasi berdasarkan panjang aktual daftar Action Anda.

• Menangani batas karakter: Konten kebijakan kustom tidak boleh melebihi 6.144 karakter, dan batas ini tidak dapat disesuaikan. Jika konten hasil penggabungan tetap melebihi batas, pecah menjadi beberapa kebijakan kustom, atau gunakan wildcard sebagai pengganti nama Action spesifik untuk mempersingkat konten.

• Cakupan ReadOnlyAccess: Kebijakan sistem AliyunReadOnlyAccess menggunakan wildcard seperti *:Describe*, *:List*, *:Get*, dan *:Read* untuk mencakup sebagian besar operasi read-only. Action yang tidak mengikuti konvensi penamaan ini—seperti hbr:BrowseFiles, alikafka:DashboardList, actiontrail:Lookup*, dm:Desc*, dan hbr:Search*—tidak tercakup secara otomatis dan harus ditambahkan secara terpisah ke dalam kebijakan kustom.

• Gunakan satu kebijakan read-only untuk semua produk, bukan satu kebijakan read-only per produk: Untuk memberikan izin read-only pada semua Produk Alibaba Cloud kepada RAM user, sambungkan kebijakan sistem AliyunReadOnlyAccess. Misalnya, Anda tidak perlu menyambungkan secara terpisah kebijakan sistem read-only OSS dan ECS, yaitu AliyunOSSReadOnlyAccess dan AliyunECSReadOnlyAccess. Menyambungkan satu kebijakan per produk akan cepat menghabiskan kuota kebijakan sistem, yaitu 20 kebijakan sistem per RAM user. Setelah batas tercapai, penyambungan kebijakan tambahan akan menghasilkan error LimitExceeded.User.Policy. Satu kebijakan AliyunReadOnlyAccess saja sudah mencakup operasi read-only sebagian besar Produk Alibaba Cloud dan hanya menempati satu slot kebijakan sistem.