Resource Access Management:Kelola izin dengan kelompok sumber daya

Kapan menggunakan kelompok sumber daya

Sebuah perusahaan game menjalankan tiga proyek game independen, masing-masing memerlukan resource cloud sendiri, tim administrator sendiri, dan penagihan terpisah. Perusahaan tersebut memiliki dua kebutuhan:

• Manajemen proyek independen: setiap manajer proyek mengontrol anggota timnya sendiri dan izin akses yang dibutuhkan anggota tersebut.

• Penagihan terpisah: setiap proyek menerima tagihannya sendiri.

Perusahaan tersebut mengevaluasi tiga pendekatan:

• Solusi multi-akun

  • Mendukung manajemen proyek independen — setiap proyek mendapatkan akun Alibaba Cloud khusus dengan manajer proyeknya sendiri.

  • Mendukung penagihan terpisah — setiap akun ditagih secara independen, dan fitur consolidated billing dapat menggabungkan faktur dari berbagai akun.

• Solusi satu akun dengan resource bertag

  • Tidak mendukung manajemen proyek independen — manajer proyek tidak dapat mengontrol izin akses timnya sendiri.

  • Mendukung penagihan terpisah — resource diberi tag berdasarkan proyek, memungkinkan penagihan per proyek.

• Solusi berbasis kelompok sumber daya dengan satu akun

  • Mendukung manajemen proyek independen — setiap kelompok sumber daya memiliki administrator sendiri yang mengelola anggota kelompok dan akses mereka.

  • Mendukung penagihan terpisah — fitur consolidated billing Alibaba Cloud menghasilkan tagihan terpisah per kelompok sumber daya.

Gunakan solusi multi-akun ketika proyek sepenuhnya terisolasi dan dikelola oleh tim terpisah, dengan tim pusat yang mengawasi konsistensi lintas akun. Gunakan solusi berbasis kelompok sumber daya dengan satu akun ketika tim IT dan O&M pusat mengelola infrastruktur dan setiap tim proyek mengelola resource dalam kelompok sumber dayanya sendiri.

Perusahaan game tersebut memilih solusi berbasis kelompok sumber daya dengan satu akun. Topik ini menjelaskan langkah-langkah implementasinya.

Ikhtisar solusi

Kelompok sumber daya adalah wadah dalam akun Alibaba Cloud yang memungkinkan Anda mengelola resource berdasarkan tim atau proyek. Pemberian akses terdiri dari tiga komponen: pengguna RAM (siapa yang mendapat akses), kebijakan (apa yang boleh mereka lakukan), dan kelompok sumber daya (di mana izin tersebut berlaku).

Dengan satu akun, perusahaan membuat tiga kelompok sumber daya dan tiga pengguna RAM — satu untuk setiap proyek game — serta menetapkan setiap pengguna RAM sebagai administrator kelompok sumber daya yang sesuai. Untuk informasi lebih lanjut, lihat Ikhtisar Kelompok Sumber Daya.

Otorisasi kelompok sumber daya hanya berlaku untuk layanan cloud dan resource yang mendukung kelompok sumber daya. Untuk informasi lebih lanjut, lihat Layanan yang kompatibel dengan Kelompok Sumber Daya.

Menyiapkan izin berbasis kelompok sumber daya

Langkah-langkah berikut dilakukan oleh administrator akun.

Prasyarat: Administrator akun harus memiliki akses manajemen penuh ke akun Alibaba Cloud — khususnya, izin untuk membuat pengguna RAM, membuat kelompok sumber daya, dan memberikan kebijakan.

1. Buat pengguna RAM di Konsol RAM.

   Buat tiga pengguna RAM untuk contoh ini. Untuk informasi lebih lanjut, lihat Buat pengguna RAM.

   • Pengguna RAM Alice: administrator Proyek Game 1.

   • Pengguna RAM Bob: administrator Proyek Game 2.

   • Pengguna RAM Charlie: administrator Proyek Game 3.

2. Buat kelompok sumber daya di Konsol Resource Management.

   Buat tiga kelompok sumber daya untuk contoh ini. Untuk informasi lebih lanjut, lihat Buat kelompok sumber daya.

   • Kelompok sumber daya Game1: resource untuk Proyek Game 1.

   • Kelompok sumber daya Game2: resource untuk Proyek Game 2.

   • Kelompok sumber daya Game3: resource untuk Proyek Game 3.

3. Tambahkan resource ke kelompok sumber daya.

   • Resource baru: pilih kelompok sumber daya target saat membeli atau membuat resource. Untuk informasi lebih lanjut, lihat Beli resource untuk kelompok sumber daya.

   • Resource yang sudah ada: pindahkan ke kelompok sumber daya target. Untuk informasi lebih lanjut, lihat Transfer resource antar kelompok sumber daya.

4. Berikan izin pada setiap kelompok sumber daya kepada pengguna RAM yang sesuai.

   Pada contoh ini, setiap pengguna RAM bertindak sebagai administrator satu kelompok sumber daya. Sambungkan kebijakan AdministratorAccess untuk memberikan izin manajemen penuh pada kelompok sumber daya target. Misalnya, sambungkan AdministratorAccess ke pengguna RAM Alice agar ia memiliki kontrol penuh atas kelompok sumber daya Game1.

   Di lingkungan produksi, ikuti prinsip hak istimewa minimal dan berikan hanya izin yang benar-benar dibutuhkan setiap pengguna RAM. Izin yang terlalu luas meningkatkan risiko keamanan.

   Kebijakan akses penuh yang cakupannya dibatasi pada kelompok sumber daya, seperti AdministratorAccess, dapat menyebabkan konflik otorisasi pada beberapa layanan cloud. Misalnya, setelah pengguna RAM diberikan AdministratorAccess pada kelompok sumber daya, operasi pada security group di Konsol ECS mungkin gagal dengan error Forbidden.RAM. Jika masalah ini terjadi, lepas kebijakan akses penuh yang dibatasi kelompok sumber daya tersebut, berikan izin pada cakupan akun Alibaba Cloud, dan sambungkan kebijakan tingkat layanan detail halus seperti AliyunECSFullAccess.

   Berikan izin menggunakan salah satu metode berikut:

   • Berikan izin di Konsol Resource Management. Untuk informasi lebih lanjut, lihat Tambahkan otorisasi RAM.

   • Berikan izin di Konsol RAM. Untuk informasi lebih lanjut, lihat Kelola izin pengguna RAM.

     Penting

     Atur parameter Resource Scope ke Resource Group.

Hasil

Setelah penyiapan selesai, Alice, Bob, dan Charlie masing-masing menjadi administrator kelompok sumber daya Game1, Game2, dan Game3. Setiap administrator dapat:

• Menampilkan, mengelola, dan membuat resource dalam kelompok sumber dayanya di konsol layanan cloud terkait.

  Penting

  Untuk melihat resource dalam kelompok sumber daya, administrator harus terlebih dahulu memilih kelompok sumber daya tersebut di konsol.

• Mengelola pengguna RAM, grup pengguna RAM, dan peran RAM yang memiliki izin pada kelompok sumber dayanya, dari Konsol Resource Management.

Referensi

Untuk membatasi pengguna RAM hanya pada instance ECS yang memiliki izin, lihat Kontrol akses pengguna RAM ke instance ECS tertentu.