All Products
Search

This Product

    Resource Management:Berikan izin tingkat kelompok sumber daya kepada identitas RAM

    Document Center

    Resource Management:Berikan izin tingkat kelompok sumber daya kepada identitas RAM

    Last Updated:Sep 10, 2026

    Tetapkan seorang administrator untuk setiap kelompok sumber daya guna memberikan izin dalam kelompok tersebut kepada pengguna lain.

    Prasyarat

    Anda memiliki Akun Alibaba Cloud atau identitas RAM (RAM user atau RAM role) yang memiliki izin untuk mengelola otorisasi kelompok sumber daya.

    Informasi latar belakang

    Otorisasi kelompok sumber daya terkait dengan Resource Access Management (RAM) sebagai berikut:

    • RAM menyediakan layanan pengelolaan izin untuk otorisasi kelompok sumber daya.

    • Otorisasi kelompok sumber daya menggunakan semua kebijakan RAM, termasuk kebijakan sistem dan kebijakan kustom.

    • Otorisasi kelompok sumber daya memberikan izin kepada RAM user, RAM user group, atau RAM role.

    • Ketika cakupan resource adalah account-level, izin berlaku dalam Akun Alibaba Cloud saat ini. Ketika cakupan resource adalah resource, izin hanya berlaku dalam kelompok sumber daya yang sesuai.

    Prosedur

    Anda dapat memberikan izin melalui Konsol Resource Management atau Konsol RAM. Topik ini menggunakan Konsol Resource Management sebagai contoh.

    1. Masuk ke Resource Management console. Halaman Resource Group akan muncul.

    2. Pada halaman Resource Group, klik Permissions di kolom Actions untuk kelompok sumber daya yang diinginkan.

    3. Pada tab Permissions, klik Grant Permission.

    4. Pada panel Grant Permission, atur Principal dan Policy, lalu klik OK.

      • Resource Scope: Secara default diatur ke kelompok sumber daya saat ini. Izin hanya berlaku dalam kelompok sumber daya ini.

      • Principal: Pilih RAM user, RAM role, atau RAM user group yang akan diberi otorisasi.

        Catatan

        Otorisasi tingkat kelompok sumber daya tidak berlaku untuk RAM role yang entitas tepercayanya adalah layanan Alibaba Cloud (service role). Panggilan API yang dilakukan dengan mengasumsikan role tersebut melalui STS akan mengembalikan Forbidden.RAM. RAM user, RAM user group, dan RAM role yang entitas tepercayanya adalah Akun Alibaba Cloud tidak terpengaruh. Untuk memberikan izin setara kepada service role, lihat bagian Alternatif untuk service role di bawah.

      • Policy Name: Pilih kebijakan sistem atau kebijakan kustom yang akan diterapkan.

    Hasil

    Principal kini memiliki izin yang ditentukan atas resource dalam kelompok sumber daya tersebut.

    Alternatif untuk service role

    RAM role yang entitas tepercayanya adalah layanan Alibaba Cloud (service role) tidak dapat memperoleh izin melalui otorisasi tingkat kelompok sumber daya. Sebagai gantinya, sambungkan kebijakan kustom yang berisi elemen Condition ke RAM role tersebut dan berikan izin account-level sebagai pengganti izin tingkat kelompok sumber daya. Gunakan kunci kondisi untuk mempersempit cakupan dan mencapai isolasi resource yang setara:

    • Gunakan ecs:RequestTag untuk mewajibkan tag tertentu dalam permintaan sehingga hanya resource dengan tag tersebut yang dapat dioperasikan.

    • Gunakan kunci kondisi terkait VPC untuk membatasi kebijakan pada VPC tertentu.

    • Gunakan kunci kondisi terkait tipe instans untuk membatasi tipe instans yang dapat dibuat.

    Setelah konfigurasi ini, panggilan API yang dilakukan dengan mengasumsikan RAM role melalui STS akan lolos otorisasi. Operasi yang tidak dicakup oleh kebijakan tetap akan mengembalikan Forbidden.RAM.

    Referensi

    Untuk memberikan izin melalui Konsol RAM, lihat Manage RAM user permissions, Grant permissions to a RAM user group, dan Manage permissions for a RAM role.