All Products
Search

This Product

    Resource Management:Aktifkan kebijakan kontrol

    Document Center

    Resource Management:Aktifkan kebijakan kontrol

    Last Updated:Aug 15, 2026

    Untuk menggunakan fitur Control Policy, Anda harus mengaktifkannya terlebih dahulu.

    Dampak pengaktifan kebijakan kontrol

    Setelah Anda mengaktifkan fitur Control Policy untuk Resource Directory, perubahan berikut akan terjadi:

    • Kebijakan sistem FullAliyunAccess secara otomatis disambungkan ke semua folder dan anggota yang sudah ada di Resource Directory. Kebijakan ini memberikan akses penuh ke seluruh resource Alibaba Cloud Anda.

    • Saat Anda membuat folder atau anggota baru, kebijakan sistem FullAliyunAccess secara otomatis disambungkan ke entitas tersebut.

    • Saat akun Alibaba Cloud yang diundang bergabung ke Resource Directory, kebijakan sistem FullAliyunAccess secara otomatis disambungkan ke anggota baru tersebut.

    • Saat Anda menghapus anggota, semua Control Policy yang disambungkan ke anggota tersebut secara otomatis dilepas.

    Prosedur

    1. Masuk ke Konsol Resource Management.

    2. Di panel navigasi sebelah kiri, pilih Resource Directory > Control Policy.

    3. Klik Enable Control Policy.

    4. Di kotak dialog Enable Control Policy, klik OK.

    5. Klik Refresh untuk melihat status pengaktifan.

    Langkah selanjutnya

    Setelah mengaktifkan Control Policy, Anda dapat membuat kebijakan kontrol kustom untuk menetapkan batasan izin tertentu. Misalnya, Anda dapat membuat kebijakan yang menolak aksi tertentu pada suatu resource, lalu menyambungkannya ke folder atau anggota dalam Resource Directory.

    Saat mengelola izin untuk beberapa Produk (seperti OSS dan VOD), pilih pendekatan pembuatan kebijakan berdasarkan kejelasan dan kemudahan pemeliharaan. Jika izin multi-produk saling terkait erat dan selalu diberikan bersamaan, Anda dapat membuat satu kebijakan gabungan. Namun, jika izin untuk produk yang berbeda mungkin diberikan secara independen atau diperbarui dengan frekuensi berbeda, buatlah kebijakan terpisah untuk setiap produk guna mencapai pemisahan tanggung jawab yang jelas, mengurangi risiko salah konfigurasi, serta mendukung kombinasi izin yang fleksibel.

    FAQ

    T: Setelah saya mengonfigurasi kebijakan kontrol Simple Log Service (SLS) untuk membatasi wilayah, mengapa daftar Project tidak ditampilkan di konsol?

    Penyebab: Daftar Project di halaman utama SLS bergantung pada izin read-only tertentu. Jika Anda hanya membatasi wilayah tanpa mengizinkan aksi kueri list yang diperlukan, konsol tidak dapat memuat data untuk daftar Project tersebut.

    Solusi: Dalam kebijakan kontrol, tambahkan pernyataan Allow untuk Pengguna RAM yang mencakup aksi berikut:

    • log:ListProject

    • log:GetAcceleration

    • log:ListDomains

    • log:GetLogging

    • log:ListTagResources

    Tetapkan elemen Resource menjadi acs:log:*:*:project/*. Hal ini memastikan bahwa daftar Project tetap ditampilkan dengan benar meskipun pembatasan wilayah diterapkan.

    T: Apakah control policy (SCP) dapat membatasi operasi API untuk layanan cloud tertentu, seperti Cloud Firewall atau Security Center?

    J: Dukungan bervariasi tergantung layanan cloud:

    • Cloud Firewall: Operasi API inti, seperti DisableInstance, belum dikonfirmasi secara eksplisit mendukung SCP. Kami menyarankan Anda menggunakan kebijakan izin RAM untuk mengontrol operasi tersebut di dalam akun anggota.

    • Security Center: Layanan ini belum sepenuhnya terintegrasi dengan sistem kontrol SCP. Beberapa operasi API mungkin tidak mendukung pernyataan Deny yang dikonfigurasi melalui SCP.

    • Sebelum mengonfigurasi control policy untuk layanan cloud tertentu, pastikan apakah operasi API layanan tersebut telah terintegrasi dengan sistem SCP.

    T: Apakah kunci kondisi acs:MFAPresent dan acs:RequestTag berlaku untuk semua layanan cloud?

    J: Cakupan efektivitas kunci kondisi ini terbatas:

    • acs:MFAPresent: Kunci kondisi ini hanya berlaku untuk operasi API yang mendukung verifikasi MFA. Tidak semua operasi Delete mendukungnya. Sebagai contoh, operasi DeleteInstance pada ECS mendukung kunci kondisi ini, tetapi Anda harus memeriksa referensi API layanan lain untuk memastikan dukungannya.

    • acs:RequestTag: Kunci kondisi ini hanya berlaku untuk layanan yang mendukung tag dan secara eksplisit menyatakan dukungan terhadap kunci kondisi ini, seperti ECS, ApsaraDB RDS, dan Server Load Balancer (SLB). Tidak semua layanan mendukung penerapan tag pada permintaan.

    • Sebelum menggunakan kunci kondisi dalam control policy, pastikan layanan cloud dan operasi API yang dituju mendukung kunci kondisi tersebut. Jika tidak, kebijakan mungkin tidak berlaku sebagaimana diharapkan.

    T: Bagaimana cara mengonfigurasi kebijakan untuk membersihkan akun tidak aktif secara otomatis di bawah OU dalam resource directory?

    J: Alibaba Cloud Resource Management tidak menyediakan fitur untuk membersihkan akun tidak aktif secara otomatis. Sebagai alternatif, Anda dapat menggunakan CloudMonitor (CMS) untuk memantau aktivitas akun, lalu menggunakan Operation Orchestration Service (OOS) atau Function Compute untuk mendeteksi akun tidak aktif secara berkala dan mengirimkan Notifikasi. Administrator kemudian dapat menutup secara manual akun yang telah dikonfirmasi tidak aktif.