Topik ini menjelaskan cara membuat kebijakan izin dan peran eksekusi yang terkait dengan peran eksekusi.
Informasi latar belakang
Saat menggunakan Serverless Workflow untuk membuat aplikasi, Anda harus membuat peran eksekusi dan memberikan izin terkait. Saat Serverless Workflow mengeksekusi alur, ia mengasumsikan peran tersebut dan mengakses layanan cloud atas nama Anda, seperti mengeksekusi fungsi, mengirim pesan, dan menjalankan alur.
Anda dapat menggunakan konsol Serverless Workflow untuk membuat peran eksekusi dan memberikan izin sistem. Untuk kontrol izin akses yang lebih granular, misalnya, membatasi alur hanya mengakses satu atau beberapa fungsi di Function Compute, lihat pengenalan berikut.
Serverless Workflow menggunakan Resource Access Management (RAM) untuk mengimplementasikan manajemen izin berbasis peran. Berikut adalah konsep dasar otorisasi: Sebuah kebijakan menunjukkan kemampuan untuk mengakses layanan. Setelah kebijakan diikat ke sebuah peran, peran tersebut dapat mengakses layanan tersebut. Ketika pihak ketiga perlu mengakses layanan ini, mereka cukup mengasumsikan peran yang memiliki akses ke layanan tersebut. Pendekatan ini mencegah penggunaan kunci jangka panjang dan meningkatkan keamanan sistem.
Membuat kebijakan izin
Masuk ke Konsol RAM.
Di panel navigasi sisi kiri, pilih Permissions > Policies.
Pada halaman Kebijakan, klik Create Policy.
Atur Policy Name dan Catatan. Sebagai contoh, atur Nama Kebijakan menjadi FnFExecutionRolePolicy.
Pilih Script untuk Mode Konfigurasi, dan edit kebijakan tersebut. Untuk informasi lebih lanjut, lihat Struktur dan sintaks kebijakan. Tabel berikut menyediakan contoh izin umum.
Deskripsi | Efek | Aksi | Sumber daya |
Kebijakan ini mengizinkan akses ke fungsi Function dalam layanan Test1 | Mengizinkan | fc:InvokeFunction | acs:fc:::services/Test1/functions/Func1 |
Kebijakan ini mengizinkan akses ke semua fungsi dari layanan Test2. | Mengizinkan | fc:InvokeFunction | acs:fc:::services/Test2/functions/* |
Kebijakan ini mengizinkan akses ke semua fungsi dari layanan yang dimulai dengan Public. | Mengizinkan | fc:InvokeFunction | acs:fc:::services/Public*/functions/* |
Kebijakan ini mengizinkan pengiriman pesan ke antrian Test1. | Mengizinkan | mns:SendMessage | acs:mns:*:*:/queues/Test1/messages |
Kebijakan ini mengizinkan eksekusi alur Test1. | Mengizinkan | fnf:StartExecution | acs:fnf:::flows/Test1/executions/* |
Membuat peran eksekusi
Masuk ke Konsol RAM.
Di panel navigasi sisi kiri, pilih .
Klik Create Role.
Di panel Create Role, konfigurasikan parameter berikut:
Parameter Pilih Entitas Tepercaya di langkah Pilih Jenis Peran: Pilih Alibaba Cloud Service.
Parameter Nama Peran RAM di langkah Konfigurasi Peran: Masukkan FnFExecutionRole.
Parameter Pilih Layanan Tepercaya di langkah Konfigurasi Peran: Pilih Function Flow.
Di langkah Selesai, klik Tambahkan Izin ke Peran RAM, dan ikuti petunjuk di layar untuk melampirkan kebijakan FnFExecutionRolePolicy ke peran FnFExecutionRole yang telah dibuat.
Salin Nama Sumber Daya Alibaba Cloud (ARN) dari peran FnFExecutionRole untuk digunakan saat membuat atau memperbarui alur.