Resource Access Management:Cara melakukan troubleshooting kesalahan izin akses?

Diagnosis kesalahan akses ditolak

Baik pesan pop-up akses ditolak di konsol maupun bidang AccessDeniedDetail dalam tanggapan kesalahan API menyediakan detail kesalahan. Gunakan detail ini untuk mengidentifikasi penyebab kesalahan akses ditolak dan cara mengatasinya.

1. Identifikasi identitas operator.

   Bidang auth subject dalam pop-up konsol menyediakan detail identitas operator. Dalam tanggapan kesalahan API, bidang yang sesuai berada di AccessDeniedDetail.

   • Identity Type (AuthPrincipalType dalam tanggapan API): jenis identitas operator, yaitu Pengguna RAM, Peran RAM, atau identitas federasi. Dalam tanggapan API, SubUser menunjukkan Pengguna RAM, AssumedRoleUser menunjukkan Peran RAM, dan Federated menunjukkan identitas federasi.

   • Identity Information (AuthPrincipalDisplayName dalam tanggapan API): pengenal identitas. Pengguna RAM menyediakan UID. Peran RAM menyediakan nama peran dan nama sesi peran, misalnya, RoleName:RoleSessionName. Identitas federasi menyediakan jenis dan nama penyedia identitas, misalnya, saml-provider/AzureAD.

   • Account ID (AuthPrincipalOwnerId dalam tanggapan API): UID Akun Alibaba Cloud tempat identitas tersebut bernaung.

2. Identifikasi izin yang hilang.

   Bidang Action (AuthAction dalam tanggapan API) menunjukkan tindakan spesifik yang menyebabkan kesalahan akses ditolak. Anda dapat menggunakan tindakan ini untuk troubleshooting atau memberikan izin.

   Periksa juga apakah tindakan tersebut melibatkan dependensi lintas produk saat Anda melakukan troubleshooting kesalahan akses ditolak. Beberapa tindakan konsol memanggil API produk cloud lain di lapisan dasar. Dependensi semacam itu tidak dapat disimpulkan dari nama produk tempat entri tindakan berada. Gunakan authorization action dalam detail kesalahan, misalnya, oos:StartExecution, untuk menentukan izin yang sebenarnya hilang.

3. Identifikasi jenis kebijakan yang memengaruhi izin.

   Bidang Policy Type (PolicyType dalam tanggapan API) menunjukkan jenis kebijakan yang menyebabkan kesalahan akses ditolak, termasuk kebijakan kontrol, kebijakan sesi, kebijakan kepercayaan, kebijakan berbasis identitas di tingkat akun, dan kebijakan berbasis identitas di tingkat kelompok sumber daya. Untuk informasi lebih lanjut, lihat Proses evaluasi kebijakan.

   Jenis kebijakan menentukan cara Anda menyesuaikan kebijakan:

   • Jika tindakan ditolak oleh control policy (ControlPolicy), hubungi akun manajemen direktori sumber daya Anda untuk memberikan izin. Kebijakan kontrol menetapkan batas izin untuk akun anggota dalam direktori sumber daya dan memiliki prioritas lebih tinggi daripada keputusan izin dalam suatu akun.

   • Jika tindakan ditolak oleh session policy (SessionPolicy), hubungi administrator akun Anda untuk memeriksa kebijakan sesi yang dilampirkan pada panggilan AssumeRole.

   • Jika tindakan ditolak oleh trust policy (AssumeRolePolicy), hubungi administrator akun Anda untuk memeriksa kebijakan kepercayaan dari Peran RAM yang diasumsikan.

   • Jika tindakan ditolak oleh identity-based policy (AccountLevelIdentityBasedPolicy atau ResourceGroupLevelIdentityBasedPolicy), hubungi administrator akun Anda untuk memeriksa kebijakan berbasis identitas yang diberikan kepada identitas operator.

4. Tentukan apakah kesalahan akses ditolak disebabkan oleh implicit deny atau explicit deny.

   • Implicit deny: Penyebab kesalahan menunjukkan bahwa tindakan tidak diotorisasi, dan bidang Denied Type menampilkan insufficient permissions. Bidang NoPermissionType dalam tanggapan API menampilkan ImplicitDeny. Dalam kasus ini, administrator akun Anda harus memberikan izin kepada Anda untuk melakukan tindakan tersebut dengan menambahkan Action ke pernyataan Allow.

   • Explicit deny: Penyebab kesalahan menunjukkan bahwa tindakan secara eksplisit ditolak, dan bidang Denied Type menampilkan explicit deny. Bidang NoPermissionType dalam tanggapan API menampilkan ExplicitDeny. Dalam kasus ini, administrator akun Anda harus meninjau izin yang diberikan dan memeriksa apakah pernyataan Deny mencakup Action.

     Jika jenis kebijakan adalah kebijakan kontrol, penolakan eksplisit juga dikembalikan ketika tindakan otorisasi tidak termasuk dalam pernyataan Allow.

Setelah Anda menyesuaikan izin, ulangi operasi yang gagal. Kesalahan akses ditolak seharusnya tidak muncul lagi. Jika kesalahan tetap terjadi, periksa apakah produk target mendukung otorisasi berbasis RAM dan tinjau kembali jenis kebijakan.

Fitur diagnosis izin adalah alat diagnostik pasca-kejadian. Anda harus terlebih dahulu melakukan panggilan API dan memicu penolakan, lalu menggunakan pesan diagnostik (EncodedDiagnosticMessage) atau RequestId untuk melacak alasan penolakan secara terbalik. Kedua nilai tersebut berasal dari tanggapan panggilan API yang ditolak. Fitur ini tidak mendukung simulasi izin efektif identitas RAM dalam kelompok sumber daya tanpa panggilan nyata. Untuk memeriksa izin sebelumnya, gunakan salah satu metode berikut:

• Untuk mengaudit izin yang ada pada identitas RAM Anda dan mengidentifikasi hak istimewa berlebihan, gunakan fitur Access Analysis untuk membuat alat analisis.

• Untuk memverifikasi apakah izin sudah cukup sebelum satu panggilan, tambahkan parameter DryRun ke panggilan API.

Akses konsol

Sebagian besar pesan pop-up akses ditolak di konsol menyediakan detail kesalahan tambahan selain penyebab kesalahan. Baca detail kesalahan dan ikuti langkah-langkah dalam Diagnosis kesalahan akses ditolak untuk mengidentifikasi penyebab dan cara mengatasinya. Jika pop-up tidak menampilkan detail kesalahan, ulangi operasi yang sama dengan memanggil operasi API menggunakan SDK atau CLI untuk mendapatkan AccessDeniedDetail, atau gunakan RequestId dari panggilan yang ditolak untuk melacak alasan penolakan di halaman diagnosis izin RAM.

Selain itu, untuk produk yang mendukung diagnosis izin, Anda dapat mengklik Troubleshooting dalam pop-up kesalahan untuk langsung melihat penyebab kesalahan dan solusinya.

Bagian Solution dalam pop-up diagnosis izin merekomendasikan kebijakan sistem yang dapat Anda lampirkan, seperti AliyunRAMFullAccess dan AliyunRAMReadOnlyAccess, serta menyediakan tindakan cepat seperti View Authorization, Create Policy, dan Add permission.

Panggilan API

Saat Anda memanggil operasi API secara langsung menggunakan kit pengembangan perangkat lunak (SDK) Alibaba Cloud, antarmuka baris perintah (CLI), atau OpenAPI Developer Portal, tanggapan kesalahan menyediakan informasi kesalahan terperinci. Contoh berikut menunjukkan tanggapan kesalahan yang dikembalikan selama debugging di OpenAPI Developer Portal.

{
  "RequestId": "1090E608-D26F-5A08-BAE3-80D350E9FE20",
  "HostId": "ram.aliyuncs.com",
  "Code": "NoPermission",
  "Message": "You are not authorized to do this action. resource: acs:ram:*:xxx:user/* Action: ram:ListUsers",
  "Recommend": "https://next.api.alibabacloud.com/troubleshoot?q=NoPermission&product=Ram",
  "AccessDeniedDetail": {
    "PolicyType": "AccountLevelIdentityBasedPolicy",
    "AuthPrincipalOwnerId": "xxx",
    "EncodedDiagnosticMessage": "AQIBIAAAAMDAbkn...jHF4TLvjT8hp17I0RFKObkV4=",
    "AuthPrincipalType": "SubUser",
    "AuthPrincipalDisplayName": "xxx",
    "NoPermissionType": "ExplicitDeny",
    "AuthAction": "ram:ListUsers"
  }
}

Bidang AccessDeniedDetail dalam tanggapan kesalahan menunjukkan detail kesalahan akses ditolak. Ikuti langkah-langkah dalam Diagnosis kesalahan akses ditolak untuk mengidentifikasi penyebab kesalahan dan cara mengatasinya.

Selain itu, untuk produk yang mendukung diagnosis izin, Anda dapat memberikan seluruh isi bidang EncodedDiagnosticMessage kepada administrator akun Anda. Administrator akun kemudian dapat membuka halaman diagnosis izin RAM, memasukkan nilai lengkap EncodedDiagnosticMessage, dan melihat penyebab kesalahan serta solusi yang telah didekodekan. Hasil dekode menyediakan informasi yang sama dengan pop-up diagnosis izin di konsol. Administrator akun harus memiliki izin ram:DecodeDiagnosticMessage.

Memberikan izin produk cloud kepada Pengguna RAM

Saat Pengguna RAM mengoperasikan produk cloud seperti ECS, OSS, atau RDS, konsol menampilkan permission denied atau panggilan API mengembalikan kesalahan Forbidden.RAM. Hal ini biasanya terjadi karena Pengguna RAM belum diberikan izin untuk mengoperasikan produk cloud yang sesuai.

Selesaikan prosedur ini menggunakan Akun Alibaba Cloud tempat Pengguna RAM tersebut bernaung. Jika Anda adalah Pengguna RAM yang menerima kesalahan, kirimkan prosedur ini kepada administrator akun Anda.

1. Masuk ke Konsol RAM dengan Akun Alibaba Cloud Anda.

2. Di panel navigasi kiri, pilih Identities > Users.

3. Dalam daftar pengguna, temukan Pengguna RAM target dan klik nama login pengguna tersebut.

4. Klik tab Permissions, lalu klik Grant Permission.

5. Di kotak pencarian kebijakan, masukkan nama produk cloud target, seperti ECS. Pilih kebijakan sistem yang sesuai dan konfirmasi otorisasi.

Tabel berikut mencantumkan produk cloud umum dan kebijakan sistem yang sesuai.

Untuk informasi lebih lanjut tentang kebijakan sistem, lihat Mengelola izin untuk Pengguna RAM.

Kebijakan sistem dalam tabel di atas hanya berlaku untuk produk yang mendukung otorisasi berbasis RAM. Jika kesalahan akses ditolak tetap terjadi setelah Anda memberikan izin, periksa dokumentasi produk yang sesuai untuk memastikan apakah produk tersebut mendukung otorisasi berbasis RAM.

Izin tidak mencukupi saat mengekspor daftar instans di Konsol ECS

Gejala

Pengguna RAM diberikan kebijakan sistem ReadOnlyAccess. Setelah Pengguna RAM mengklik Export Instance List di Konsol ECS, kesalahan akses ditolak tetap ditampilkan, atau kesalahan User.NoPermission dikembalikan. Dalam detail kesalahan, authorization action adalah oos:StartExecution dan permission decision adalah insufficient permissions.

Penyebab

Fitur ekspor daftar instans di Konsol ECS menggunakan CloudOps Orchestration Service (OOS) untuk manajemen operasi dan menjalankan tugas ekspor secara asinkron, sehingga tindakan ini memerlukan izin oos:StartExecution. ReadOnlyAccess hanya mencakup izin kueri read-only pada resource produk cloud dan tidak mencakup izin eksekusi CloudOps Orchestration Service. Oleh karena itu, Pengguna RAM yang hanya diberikan izin read-only tidak dapat memicu ekspor.

Solusi

Lampirkan kebijakan sistem AliyunOOSFullAccess ke Pengguna RAM, atau buat kebijakan kustom yang memberikan izin oos:StartExecution. Kemudian, ekspor daftar instans lagi. Skenario ini merupakan contoh dependensi lintas produk yang dijelaskan dalam Diagnosis kesalahan akses ditolak: izin yang hilang termasuk dalam OOS, bukan ECS.