Pemberian izin untuk SchedulerX - SchedulerX - Alibaba Cloud Documentation Center

SchedulerX memungkinkan Anda menggunakan Resource Access Management (RAM) untuk memberikan izin kepada beberapa pengguna dan grup pengguna sekaligus. RAM menyediakan pengelolaan izin detail halus yang memungkinkan penerapan prinsip hak istimewa minimal. Pendekatan ini menghilangkan kebutuhan untuk membagikan Pasangan Kunci Akses Akun Alibaba Cloud kepada pengguna lain dan secara efektif mengurangi risiko keamanan. Topik ini menjelaskan cara memberikan izin kepada pengguna RAM untuk melakukan operasi tertentu.

Informasi latar belakang

Anda dapat menyambungkan dua jenis kebijakan RAM yang menetapkan izin pada SchedulerX kepada pengguna RAM untuk otorisasi cepat. Cakupan efektif kedua jenis kebijakan tersebut berbeda, sehingga Anda dapat memilih kebijakan sesuai kebutuhan bisnis. Jika memerlukan kontrol izin yang lebih detail halus, Anda dapat membuat kebijakan RAM kustom. Untuk informasi selengkapnya, lihat bagian "Contoh kebijakan kustom" dalam topik ini.

Berikan izin kepada pengguna RAM untuk membuat resource

Secara default, pengguna RAM tidak memiliki izin untuk membuat, melihat, atau mengelola resource di SchedulerX. Anda dapat memberikan izin kepada pengguna RAM untuk membuat resource. Secara default, semua resource yang dibuat oleh pengguna RAM dapat dibaca dan ditulis oleh pengguna tersebut.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Untuk informasi selengkapnya, lihat Buat kebijakan kustom menggunakan editor JSON. Contoh kode berikut menunjukkan kebijakan RAM kustom yang memberikan izin kepada pengguna RAM atau grup pengguna RAM untuk membuat namespace dan grup instans dalam namespace tersebut. Pengguna RAM hanya memiliki izin akses terhadap grup instans yang dibuatnya sendiri. Jika pengguna RAM memerlukan akses ke grup instans dan resource yang dibuat oleh pengguna RAM lain, Anda harus membuat dan menyambungkan kebijakan kustom tambahan. Untuk informasi selengkapnya, lihat bagian "Contoh kebijakan kustom" dalam topik ini.
```
{
    "Version": "1",
    "Statement": [
        {
            "Action": ["edas:CreateSchedulerxNamespace*",
                       "edas:CreateSchedulerxAppGroup*"],
            "Effect": "Allow",
            "Resource": "acs:edas:*:*:*"
        }
    ]
}
```
(Opsional) Buat pengguna RAM atau grup pengguna RAM. Untuk informasi selengkapnya, lihat Buat pengguna RAM atau Buat grup pengguna RAM. Jika pengguna RAM atau grup pengguna RAM sudah ada, Anda dapat melewati langkah ini.
Sambungkan kebijakan kustom yang dibuat pada Langkah 2 ke satu pengguna RAM. Untuk informasi selengkapnya, lihat Kelola izin pengguna RAM.
Sambungkan kebijakan kustom yang dibuat pada Langkah 2 ke grup pengguna, lalu tambahkan pengguna RAM ke grup tersebut.
1. Sambungkan kebijakan tersebut ke grup pengguna. Untuk informasi selengkapnya, lihat Berikan izin kepada grup pengguna RAM. Di Konsol RAM, pilih kebijakan kustom yang telah Anda buat pada Langkah 2.
2. Tambahkan pengguna ke grup pengguna yang memiliki kebijakan yang sesuai. Untuk informasi selengkapnya, lihat Metode 2: Tambahkan pengguna RAM ke grup pengguna RAM. Di panel Add Group Member, pilih schedulerx_admin untuk User Group, pilih pengguna target dari daftar pengguna di sebelah kiri, lalu klik OK.

Buat resource sebagai administrator dan berikan izin kepada pengguna RAM

Dalam kebanyakan kasus, hanya personel O&M proyek perangkat lunak yang memiliki izin untuk membuat resource, sedangkan personel pengembangan hanya memiliki izin baca dan kelola. Anda dapat membuat peran administrator untuk personel O&M agar dapat mengelola semua resource di SchedulerX. Administrator tersebut kemudian dapat membuat namespace dan grup instans. Jika pengguna RAM ingin mengakses namespace dan grup instans tersebut, administrator harus membuat kebijakan yang memberikan izin akses ke namespace dan grup instans tersebut, lalu menyambungkan kebijakan tersebut ke pengguna RAM.

Prosedur:

Masuk ke Konsol RAM.
Buat kebijakan kustom. Untuk informasi selengkapnya, lihat Buat kebijakan kustom menggunakan editor JSON. Contoh kode berikut menunjukkan kebijakan RAM kustom yang memberikan izin administrator SchedulerX kepada pengguna RAM atau grup pengguna RAM, sehingga mereka dapat mengelola semua resource di SchedulerX.
```
{
  "Statement": [
    {
      "Action": "edas:*Schedulerx*",
      "Effect": "Allow",
      "Resource": [
                "acs:edas:*:*:*"
            ]
    }
  ],
  "Version": "1"
}
```
(Opsional) Buat pengguna RAM atau grup pengguna RAM. Untuk informasi selengkapnya, lihat Buat pengguna RAM atau Buat grup pengguna RAM. Jika pengguna RAM atau grup pengguna RAM sudah ada, Anda dapat melewati langkah ini.
Sambungkan kebijakan kustom yang dibuat pada Langkah 2 ke satu pengguna RAM. Untuk informasi selengkapnya, lihat Kelola izin pengguna RAM.
Sambungkan kebijakan kustom yang dibuat pada Langkah 2 ke grup pengguna, lalu tambahkan pengguna RAM ke grup tersebut.
1. Sambungkan kebijakan tersebut ke grup pengguna. Untuk informasi selengkapnya, lihat Berikan izin kepada grup pengguna RAM.
2. Tambahkan pengguna RAM ke grup pengguna tersebut. Untuk informasi selengkapnya, lihat Tambahkan pengguna RAM ke grup pengguna RAM.

Izin SchedulerX

Secara default, Akun Alibaba Cloud memiliki izin untuk mengelola semua resource dalam akun tersebut. Kami menyarankan agar Anda menggunakan RAM untuk memberikan izin spesifik kepada pengguna yang berbeda. SchedulerX memungkinkan Anda menyambungkan kebijakan ke beberapa pengguna RAM atau grup pengguna sekaligus, sehingga Anda tidak perlu memberikan izin satu per satu. Tabel berikut menjelaskan kebijakan sistem bersama yang didukung oleh SchedulerX.

Kebijakan sistem	Deskripsi
AliyunEDASFullAccess	Memberikan izin untuk mengelola resource Enterprise Distributed Application Service (EDAS).

Contoh kode berikut menunjukkan kebijakan RAM kustom yang mencakup elemen Action dan Resource. Anda dapat membuat kebijakan kustom berdasarkan aturan yang ditetapkan oleh SchedulerX.

Struktur utama

{
  "Statement": [
    { 
      "Action": "edas:*", // Aksi yang diizinkan. Untuk informasi tentang cara mengonfigurasi elemen Action, lihat bagian "Action" dalam topik ini.
      "Effect": "Allow",
      "Resource": "*"     // Resource yang dapat diakses. Untuk informasi tentang cara mengonfigurasi elemen Resource, lihat bagian "Resource" dalam topik ini.
    }
  ],
  "Version": "1",
}

Action

SchedulerX menetapkan elemen Action dalam struktur berikut:

edas:${type}Schedulerx*

Parameter ${type} dapat diatur ke Read, Manage, Delete, atau Create. Tabel berikut menjelaskan operasi untuk setiap tipe.

Nilai valid	Operasi
Create	Buat namespace, aplikasi, pekerjaan, dan alur kerja.
Manage	Ubah namespace. Impor pekerjaan, ekspor pekerjaan, ubah pekerjaan, aktifkan pekerjaan, nonaktifkan pekerjaan, jalankan pekerjaan secara manual, jalankan ulang pekerjaan, dan tentukan mesin. Hentikan instans pekerjaan, jalankan ulang instans pekerjaan, atur status instans pekerjaan menjadi berhasil, atur status instans alur kerja menjadi berhasil, dan jalankan ulang tugas. Ubah alur kerja, impor konfigurasi pekerjaan ke alur kerja, jalankan alur kerja secara manual, jalankan ulang alur kerja, aktifkan alur kerja, dan nonaktifkan alur kerja. Ubah grup instans.
Delete	Hapus namespace, grup instans, pekerjaan, dan alur kerja.
Read	Kueri grup instans, pekerjaan, instans pekerjaan, alur kerja, dan instans online.

Resource

SchedulerX menetapkan elemen Resource dalam struktur berikut:

acs:edas:${regionid}:${accountid}:namespace/${namespace_id}/${resourceType}/${resourceId}

Parameter	Deskripsi
`${regionid}`	Wilayah tempat resource yang ingin Anda akses dideploy. Jika Anda ingin menggunakan pengaturan default, masukkan tanda bintang (`*`).
`${accountid}`	Akun Alibaba Cloud tempat resource yang ingin Anda akses berada. Jika Anda ingin menggunakan pengaturan default, masukkan tanda bintang (`*`).
`${namespace_id}`	ID namespace tempat resource yang ingin Anda akses berada. Pengguna SchedulerX Masuk ke Konsol SchedulerX. Di panel navigasi sebelah kiri, klik Namespace. Di kolom Namespace ID, arahkan kursor ke ID namespace target dan klik ikon salin . Ganti `${namespace_id}` dengan ID yang disalin. Pengguna EDAS Masuk ke Konsol EDAS. Di panel navigasi sebelah kiri, pilih Resource Management > Microservice Namespaces. Di halaman Microservices Namespace, arahkan kursor ke ID namespace yang ingin Anda akses di kolom Microservices Namespace Name/ID/TID, klik ikon yang muncul di sebelah kanan untuk menyalin ID namespace, lalu ganti `${namespace_id}` dengan ID namespace tersebut.
`${resourceType}`	Jenis resource yang ingin Anda akses. Nilai JobGroup menentukan grup pekerjaan di SchedulerX. Pekerjaan dikelompokkan berdasarkan aplikasi.
`${resourceId}`	ID resource yang ingin Anda akses. Jika Anda mengatur parameter `${resourceType}` ke JobGroup, parameter ${resourceId} menentukan ID aplikasi di modul Application Management SchedulerX. Untuk mendapatkan nilai parameter `${resourceId}`, lakukan langkah-langkah berikut: Masuk ke Konsol SchedulerX. Di panel navigasi sebelah kiri, klik Application Management. Di kolom Application ID, arahkan kursor ke ID aplikasi target dan klik ikon salin . Ganti `${resourceId}` dengan ID yang disalin.

Contoh kebijakan kustom

Berikan izin kelola kepada pengguna RAM untuk semua resource

Pengguna RAM yang memiliki izin kelola SchedulerX dapat melakukan semua operasi pada semua resource di SchedulerX. Contoh kebijakan:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin read-only kepada pengguna RAM untuk semua resource

Pengguna RAM yang memiliki izin read-only SchedulerX dapat mengkueri semua resource di SchedulerX. Contoh kebijakan:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:ReadSchedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:*"
            ]
        }
    ]
}

Berikan izin kelola kepada pengguna RAM untuk namespace tertentu

Contoh kode berikut menunjukkan kebijakan RAM kustom yang memberikan izin kelola terhadap resource aplikasi dan pekerjaan dalam namespace tertentu. ID namespace yang ditentukan harus diperoleh dari halaman Microservices Namespace di Konsol EDAS. Dalam contoh ini, namespace yang ditentukan adalah ID-01 dan ID-02. Pengguna RAM yang memiliki kebijakan kustom ini dapat mengelola dan menjadwalkan semua resource dalam namespace tersebut. Anda juga dapat mengubah pengaturan elemen Action untuk membatasi izin akses ke resource tersebut. Misalnya, jika Anda mengatur elemen Action ke edas:ReadSchedulerx, pengguna RAM yang disambungkan kebijakan kustom ini hanya dapat mengkueri resource dalam namespace yang ditentukan.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/Namespace ID-01/*",
              	"acs:edas:*:*:namespace/Namespace ID-02/*"
            ]
        }
    ]
}

Di panel navigasi sebelah kiri Konsol SchedulerX, klik Namespaces. Anda dapat memperoleh ID namespace yang diperlukan dari kolom Namespace ID.

Berikan izin kelola kepada pengguna RAM untuk aplikasi tertentu

Contoh kode berikut menunjukkan kebijakan RAM kustom yang memberikan izin kelola terhadap aplikasi tertentu. Elemen Resource menentukan ID aplikasi yang izin kelolanya ingin Anda berikan kepada pengguna RAM. Anda juga dapat menggunakan tanda bintang (*) dalam elemen Resource untuk memberikan izin kelola terhadap beberapa aplikasi sekaligus. Misalnya, jika Anda menyertakan TestGroup* dalam elemen Resource kebijakan kustom, kebijakan tersebut memberikan izin kelola terhadap semua aplikasi yang diawali dengan TestGroup dalam namespace yang ditentukan.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "edas:*Schedulerx*"
            ],
            "Resource": [
                "acs:edas:*:*:namespace/Namespace ID-01/JobGroup/TestGroup*",
              	"acs:edas:*:*:namespace/Namespace ID-02/JobGroup/AppGroup"
            ]
        }
    ]
}

Di panel navigasi sebelah kiri Konsol SchedulerX, klik Application Management. Anda dapat memperoleh ID aplikasi dari kolom App ID/App Key.