Resource Access Management:Peran terkait layanan

Ikhtisar

Peran terkait layanan (SLR) adalah jenis peran RAM yang telah ditentukan sebelumnya oleh Alibaba Cloud untuk mengaktifkan akses lintas layanan. Peran ini memiliki fitur-fitur berikut:

• Terkait dengan layanan cloud tertentu: SLR adalah jenis khusus dari peran RAM yang terkait dengan layanan Alibaba Cloud tertentu.

• Hanya dapat diasumsikan oleh layanan yang terkait: SLR hanya dapat diasumsikan oleh layanan Alibaba Cloud yang terkait dengannya. Identitas lain tidak dapat menggunakannya.

• Ditetapkan sebelumnya oleh Alibaba Cloud: Peran, izinnya, dan kebijakan kepercayaannya (yang menentukan layanan cloud mana yang dapat mengasumsikan peran tersebut) semuanya telah ditentukan sebelumnya oleh layanan cloud terkait.

• Tidak memerlukan pemeliharaan: Anda tidak perlu mengonfigurasi atau memelihara SLR secara manual.

Manfaat

Tanpa SLR, Anda harus membuat peran RAM secara manual dan mengonfigurasi kebijakan izin serta kepercayaan setiap kali layanan cloud perlu mengakses layanan lain. Hal ini rentan terhadap kesalahan dan dapat menyebabkan kegagalan layanan atau risiko keamanan. SLR mengatasi masalah-masalah tersebut:

• Menyederhanakan otorisasi lintas layanan. Misalnya, Cloud Config memerlukan izin untuk membaca informasi sumber daya cloud Anda, seperti daftar dan konfigurasi resource, guna menghasilkan laporan kepatuhan. Ini membutuhkan akses ke layanan cloud lain seperti ECS dan RDS. Dengan membuat dan mengasumsikan SLR, Cloud Config memperoleh izin yang diperlukan.

• Mengurangi kompleksitas konfigurasi dan risiko operasional. Kebijakan izin SLR telah ditentukan sebelumnya oleh layanan cloud terkait untuk memberikan hanya izin minimal yang diperlukan. Hal ini menghilangkan konfigurasi izin manual, sehingga meningkatkan keamanan dan stabilitas operasional.

Cara kerja

Contoh berikut menggunakan Cloud Config untuk menunjukkan cara kerja SLR:

1. Alibaba Cloud menetapkan peran terkait layanan sebelumnya: Alibaba Cloud telah menetapkan peran terkait layanan untuk Cloud Config dengan nama AliyunServiceRoleForConfig. Peran ini mencakup:

   • Kebijakan kepercayaan yang hanya mengizinkan config.aliyuncs.com untuk mengasumsikan peran tersebut, sehingga hanya layanan Cloud Config yang dapat menggunakannya.

   • Kebijakan izin yang memberikan izin untuk membaca informasi resource dari layanan cloud seperti ECS dan RDS.

2. Cloud Config mengasumsikan peran tersebut: Saat Cloud Config perlu membaca informasi sumber daya cloud Anda untuk menghasilkan laporan kepatuhan, layanan tersebut mengasumsikan peran terkait layanannya untuk memperoleh kredensial keamanan sementara.

3. Cloud Config mengakses layanan cloud lain: Cloud Config menggunakan identitas dan izin dari peran terkait layanan untuk mengakses layanan cloud lain seperti ECS dan RDS secara aman guna membaca daftar dan konfigurasi resource.

4. Menyelesaikan tugas: Setelah memperoleh informasi sumber daya cloud yang diperlukan, Cloud Config menghasilkan laporan kepatuhan.

Dengan demikian, Cloud Config dapat mengakses layanan lain secara aman tanpa memerlukan Anda untuk mengonfigurasi kebijakan izin secara manual.

Peran terkait layanan vs. peran layanan

Seperti peran layanan, SLR diasumsikan oleh layanan cloud untuk memperoleh izin yang diperlukan. Namun, keduanya berbeda dalam cara penggunaannya:

Izin yang diperlukan

Pengguna RAM memerlukan izin tertentu untuk membuat atau menghapus SLR. Izin ini biasanya termasuk dalam kebijakan administrator untuk layanan cloud terkait, seperti AliyunResourceDirectoryFullAccess. Jika pengguna RAM memiliki izin administrator untuk layanan cloud tertentu, mereka biasanya dapat membuat SLR untuk layanan tersebut.

Anda juga dapat membuat kebijakan kustom untuk memberikan izin kepada pengguna RAM agar dapat mengelola SLR untuk layanan tertentu. Nilai untuk ram:ServiceName tercantum di kolom Cloud Service Identifier dalam Layanan cloud yang mendukung peran terkait layanan.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceLinkedRole",
        "ram:DeleteServiceLinkedRole"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "resourcemanager.aliyuncs.com"
        }
      }
    }
  ]
}

Membuat peran terkait layanan

• Dibuat oleh layanan cloud: Dalam kebanyakan kasus, layanan cloud secara otomatis membuat peran terkait layanan saat Anda melakukan tindakan tertentu, seperti membuat sumber daya cloud atau mengaktifkan fitur. Atau, layanan tersebut dapat meminta otorisasi dari administrator untuk membuat peran tersebut. Untuk detail tentang pembuatan SLR otomatis, lihat dokumentasi layanan cloud terkait di Layanan cloud yang mendukung peran terkait layanan.

• Dibuat secara manual: Anda juga dapat membuat peran terkait layanan secara manual. Untuk petunjuknya, lihat Buat peran terkait layanan.

Menghapus peran terkait layanan

• Dihapus oleh layanan cloud: Layanan cloud secara otomatis menghapus peran terkait layanan yang terkait dengannya saat Anda melakukan tindakan tertentu, seperti menghapus semua resource terkait atau menonaktifkan fitur.

• Dihapus secara manual: Anda juga dapat menghapus peran terkait layanan secara manual. Untuk petunjuknya, lihat Hapus peran RAM. Sebelum menghapus SLR secara manual, Resource Access Management (RAM) akan memeriksa apakah peran tersebut masih digunakan oleh sumber daya cloud apa pun:

  • Jika peran tersebut tidak digunakan, penghapusan berhasil.

  • Jika peran tersebut masih digunakan, penghapusan gagal. Pesan error akan menampilkan sumber daya cloud mana yang menggunakan peran tersebut. Anda harus menghapus resource tersebut sebelum dapat menghapus peran. Kondisi penghapusan SLR bervariasi tergantung layanan cloud. Untuk detailnya, lihat dokumentasi layanan cloud spesifik di Layanan cloud yang mendukung peran terkait layanan.

Mengasumsikan peran terkait layanan

Peran terkait layanan hanya dapat diasumsikan oleh layanan cloud yang terkait dengannya. Identitas lain, seperti pengguna RAM atau peran RAM lain, tidak dapat mengasumsikan SLR tersebut.

Memantau peran terkait layanan

Anda dapat menggunakan ActionTrail untuk mengaudit siklus hidup dan penggunaan SLR.

• Kueri berdasarkan nama event:

  • CreateServiceLinkedRole: Kueri event pembuatan SLR.

  • DeleteServiceLinkedRole: Kueri event penghapusan SLR.

  • AssumeRole: Temukan event di mana layanan cloud mengasumsikan SLR. Pada detail event, bagian userIdentity berisi nama layanan cloud, dan requestParameters berisi ARN dari SLR yang diasumsikan. Contohnya:

    {
      ...
      "requestParameters": {
        ...
        "RoleArn": "acs:ram::ACCOUNT_ID:role/aliyunservicerolefortag",
        "RoleSessionName": "tag_operate",
      },
      ...
      "userIdentity": {
        ...
        "principalId": "tag.aliyuncs.com",
        "userName": "tag.aliyuncs.com"
      },
      "eventName": "AssumeRole"
    }
    

• Kueri berdasarkan jenis event:

  Tetapkan jenis event ke AliyunServiceEvent dan filter berdasarkan Nama Operator menggunakan nama SLR. Hal ini menunjukkan operasi yang dilakukan oleh SLR tersebut.

FAQ