Otorisasi RAM - Server Load Balancer - Alibaba Cloud Documentation Center

Resource Access Management (RAM) adalah layanan Alibaba Cloud yang dirancang untuk manajemen identitas pengguna dan kontrol izin akses resource. Melalui RAM, Anda dapat menerapkan prinsip least privilege tanpa perlu membagikan kunci akun Alibaba Cloud Anda kepada pengguna lain. RAM menggunakan kebijakan izin untuk menentukan otorisasi. Topik ini menjelaskan struktur umum kebijakan RAM, serta elemen pernyataan kebijakan (Action, Resource, dan Condition) yang didefinisikan oleh Network Load Balancer untuk kebijakan izin RAM. Kode RAM (RamCode) untuk Network Load Balancer adalah nlb , dan granularitas otorisasi yang didukung adalah Resource-level .

Struktur umum kebijakan

Kebijakan izin menggunakan format JSON dengan struktur umum berikut:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

Berikut adalah penjelasan untuk setiap field dalam kebijakan

Version: Menentukan nomor versi kebijakan. Nilainya tetap 1.
Statement:
- Effect: Menentukan hasil otorisasi. Nilai yang valid: Allow dan Deny.
- Action: Menentukan satu atau beberapa operasi yang diizinkan atau ditolak.
- Resource: Menentukan objek spesifik yang terpengaruh oleh operasi tersebut. Anda dapat menggunakan Alibaba Cloud Resource Names (ARNs) untuk mengidentifikasi resource tertentu.
- Condition: Menentukan kondisi agar otorisasi berlaku. Field ini bersifat opsional.
  - Condition operator: Menentukan operator kondisional. Setiap jenis kondisi mendukung operator kondisional yang berbeda.
  - Condition_key: Menentukan condition key.
  - Condition_value: Menentukan nilai kondisi.

Action

Tabel berikut mencantumkan action yang didefinisikan oleh Network Load Balancer. Setiap kolom dalam tabel dijelaskan sebagai berikut:

Action: Dapat digunakan dalam elemen Action pada pernyataan kebijakan RAM untuk memberikan izin guna melakukan operasi tersebut.
API: API yang dipanggil untuk melakukan action tersebut.
Access level: Tingkat akses yang telah ditentukan untuk setiap API. Nilai yang valid: create, list, get, update, dan delete.
Resource type: Jenis resource yang mendukung otorisasi untuk melakukan action tersebut. Ini menunjukkan apakah action tersebut mendukung izin tingkat resource. Resource yang ditentukan harus kompatibel dengan action tersebut; jika tidak, kebijakan tidak akan berlaku.
- Untuk API dengan izin tingkat resource, jenis resource yang diperlukan ditandai dengan tanda bintang (*). Tentukan ARN yang sesuai dalam elemen Resource pada kebijakan.
- Untuk API tanpa izin tingkat resource, ini ditampilkan sebagai All Resources. Gunakan tanda bintang (*) dalam elemen Resource kebijakan.
Condition key: Ditentukan oleh layanan. Kunci ini memungkinkan kontrol yang lebih terperinci, yang berlaku baik untuk action saja maupun untuk action yang terkait dengan resource tertentu. Selain condition key spesifik layanan, Alibaba Cloud menyediakan serangkaian condition key umum yang berlaku di seluruh layanan yang terintegrasi dengan RAM. Untuk informasi lebih lanjut, lihat Common condition keys.
Dependent action: Action dependen yang diperlukan untuk menjalankan action tersebut. Agar action dapat dieksekusi dengan sukses, RAM user atau RAM role harus memiliki izin atas semua action dependen tersebut.

Action	API	Level akses	Tipe resource	Condition key	Action dependen
nlb:ListTagResources	ListTagResources	get	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServergroupId}` LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadbalancerId}` SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}`	None	None
nlb:ListListeners	ListListeners	get	Listener `acs:nlb:{#regionId}:{#accountId}:listener/`	None	None
nlb:EnableLoadBalancerIpv6Internet	EnableLoadBalancerIpv6Internet	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:ListListenerCertificates	ListListenerCertificates	get	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:CancelShiftLoadBalancerZones	CancelShiftLoadBalancerZones	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#loadbalancerId}`	None	None
nlb:CreateServerGroup	CreateServerGroup	create	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/` *VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}`	None	None
nlb:CreateLoadBalancer	CreateLoadBalancer	create	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/` VSwitch `acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId}` EipAddress `acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}` VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}`	nlb:AddressType	None
nlb:AddServersToServerGroup	AddServersToServerGroup	create	*ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}` Instance `acs:ecs:{#regionId}:{#accountId}:instance/{#InstanceId}` NetworkInterface `acs:ecs:{#regionId}:{#accountId}:eni/{#ServerId}` ContainerGroup `acs:eci:{#regionId}:{#accountId}:containergroup/{#ServerId}`	None	None
nlb:GetListenerHealthStatus	GetListenerHealthStatus	get	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:DeleteSecurityPolicy	DeleteSecurityPolicy	delete	*SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}`	None	None
nlb:ListServerGroups	ListServerGroups	get	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/*` ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}`	None	None
nlb:GetLoadBalancerAttribute	GetLoadBalancerAttribute	get	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:UpdateLoadBalancerProtection	UpdateLoadBalancerProtection	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#loadbalancerId}`	None	None
nlb:UpdateListenerAttribute	UpdateListenerAttribute	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	nlb:SecurityPolicyId	None
nlb:UpdateLoadBalancerAddressTypeConfig	UpdateLoadBalancerAddressTypeConfig	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	nlb:AddressType	None
nlb:StartListener	StartListener	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:UntagResources	UntagResources	delete	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}` SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}` LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:AttachCommonBandwidthPackageToLoadBalancer	AttachCommonBandwidthPackageToLoadBalancer	update	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}` CommonBandwidthPackage `acs:vpc:{#regionId}:{#accountId}:CommonBandwidthPackage/{#CommonBandwidthPackageId}`	None	None
nlb:ListServerGroupServers	ListServerGroupServers	get	*ServerGroup `acs:nlb:{#regionId}:{#AccountId}:serverGroup/{#ServerGroupId}`	None	None
nlb:DeleteListener	DeleteListener	delete	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:UpdateSecurityPolicyAttribute	UpdateSecurityPolicyAttribute	update	*SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}`	None	None
nlb:UpdateLoadBalancerAttribute	UpdateLoadBalancerAttribute	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:GetListenerAttribute	GetListenerAttribute	get	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:CreateSecurityPolicy	CreateSecurityPolicy	create	SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/`	None	None
nlb:DisableLoadBalancerIpv6Internet	DisableLoadBalancerIpv6Internet	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:StopListener	StopListener	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:StartShiftLoadBalancerZones	StartShiftLoadBalancerZones	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#loadbalancerId}`	None	None
nlb:UpdateLoadBalancerZones	UpdateLoadBalancerZones	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:CreateListener	CreateListener	create	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}` SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}` LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadbalancerId}`	nlb:ListenerProtocol nlb:SecurityPolicyId	None
nlb:ListLoadBalancers	ListLoadBalancers	get	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/*`	None	None
nlb:ListSecurityPolicy	ListSecurityPolicy	get	SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/`	None	None
nlb:DisassociateAdditionalCertificatesWithListener	DisassociateAdditionalCertificatesWithListener	update	*LoadBalancer `acs:nlb:{#regionId}:{#AccountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:LoadBalancerJoinSecurityGroup	LoadBalancerJoinSecurityGroup	update	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}` SecurityGroup `acs:ecs:{#regionId}:{#accountId}:securitygroup/{#SecurityGroupId}`	None	None
nlb:ListAsynJobs	ListAsynJobs	get	All Resources ``	None	None
nlb:TagResources	TagResources	create	ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}` SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId}` LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:DetachCommonBandwidthPackageFromLoadBalancer	DetachCommonBandwidthPackageFromLoadBalancer	update	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:UpdateServerGroupServersAttribute	UpdateServerGroupServersAttribute	update	*ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}`	None	None
nlb:DescribeHdMonitorRegionConfig	DescribeHdMonitorRegionConfig	get	All Resources ``	None	None
nlb:DeleteServerGroup	DeleteServerGroup	delete	*ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}`	None	None
nlb:DeleteLoadBalancer	DeleteLoadBalancer	delete	*LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:SetHdMonitorRegionConfig	SetHdMonitorRegionConfig	get	All Resources ``	None	None
nlb:MoveResourceGroup	MoveResourceGroup	update	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#loadbalancerId}` SecurityPolicy `acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#securitypolicyId}` *ServerGroup `acs:nlb:{#regionId}:{#accountId}:serverGroup/{#serverGroupId}`	None	None
nlb:GetJobStatus	GetJobStatus	get	All Resources ``	None	None
nlb:LoadBalancerLeaveSecurityGroup	LoadBalancerLeaveSecurityGroup	update	LoadBalancer `acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#loadbalancerId}` SecurityGroup `acs:ecs:{#regionId}:{#accountId}:securitygroup/{#SecurityGroupId}`	None	None
nlb:RemoveServersFromServerGroup	RemoveServersFromServerGroup	delete	*ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}`	None	None
nlb:AssociateAdditionalCertificatesWithListener	AssociateAdditionalCertificatesWithListener	update	*LoadBalancer `acs:nlb:{#regionId}:{#AccountId}:loadbalancer/{#LoadBalancerId}`	None	None
nlb:UpdateServerGroupAttribute	UpdateServerGroupAttribute	update	*ServerGroup `acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServerGroupId}`	None	None

Resource

Tabel berikut mencantumkan resource yang ditentukan oleh Network Load Balancer. Tentukan resource tersebut dalam elemen Resource pada pernyataan kebijakan RAM untuk memberikan izin terhadap operasi tertentu. Resource tersebut diidentifikasi secara unik menggunakan ARN dengan format: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: Singkatan dari Alibaba Cloud service, yang menunjukkan cloud publik Alibaba Cloud.
{#ramcode}: Kode yang digunakan dalam RAM untuk menunjukkan layanan Alibaba Cloud.
{#regionId}: region ID. Jika resource mencakup semua wilayah, atur nilainya menjadi tanda bintang (*).
{#accountId}: ID akun Alibaba Cloud. Jika resource mencakup semua akun Alibaba Cloud, atur nilainya menjadi tanda bintang (*).
{#resourceType}: Identifier resource yang ditentukan oleh layanan. Mendukung struktur hierarkis, mirip dengan path file. Jika pernyataan mencakup resource global, atur nilainya menjadi tanda bintang (*).

Tipe resource	ARN
ServerGroup	acs:nlb:{#regionId}:{#accountId}:servergroup/{#ServergroupId} acs:nlb:{#regionId}:{#accountId}:servergroup/* acs:nlb:{#regionId}:{#AccountId}:serverGroup/{#ServerGroupId}
LoadBalancer	acs:nlb:{#regionId}:{#accountId}:loadbalancer/{#LoadbalancerId} acs:nlb:{#regionId}:{#accountId}:loadbalancer/*
SecurityPolicy	acs:nlb:{#regionId}:{#accountId}:securitypolicy/{#SecurityPolicyId} acs:nlb:{#regionId}:{#accountId}:securitypolicy/*
Listener	acs:nlb:{#regionId}:{#accountId}:listener/*
VPC	acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}
VSwitch	acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId}
EipAddress	acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}
Instance	acs:ecs:{#regionId}:{#accountId}:instance/{#InstanceId}
NetworkInterface	acs:ecs:{#regionId}:{#accountId}:eni/{#ServerId}
ContainerGroup	acs:eci:{#regionId}:{#accountId}:containergroup/{#ServerId}
CommonBandwidthPackage	acs:vpc:{#regionId}:{#accountId}:CommonBandwidthPackage/{#CommonBandwidthPackageId}
SecurityGroup	acs:ecs:{#regionId}:{#accountId}:securitygroup/{#SecurityGroupId}

Condition

Tabel berikut mencantumkan condition key tingkat produk yang didefinisikan oleh Network Load Balancer. Anda juga dapat menggunakan Common condition keys dari Alibaba Cloud. Tentukan kunci-kunci ini dalam elemen Condition pada pernyataan kebijakan RAM untuk menetapkan aturan otorisasi yang lebih terperinci. Dalam condition key, tentukan nilai kondisi dalam elemen Condition_value pada kebijakan.

Setiap condition key memiliki tipe data tertentu, seperti string, number, Boolean, atau alamat IP. Tipe data tersebut menentukan operator kondisional mana yang dapat digunakan untuk membandingkan nilai permintaan dengan nilai kebijakan. Anda harus menentukan operator kondisional yang kompatibel dengan tipe data condition key tersebut. Operator yang tidak sesuai akan membuat kebijakan tidak berlaku. Lihat Condition operator untuk kombinasi yang valid.

Condition key	Deskripsi	Tipe data
nlb:ListenerProtocol	Protokol pendengar Network Load Balancer.	String
nlb:AddressType	Tipe alamat IPv4 Network Load Balancer.	String
nlb:SecurityPolicyId	Kebijakan keamanan Network Load Balancer.	String

Cara membuat kebijakan RAM kustom?

Anda dapat membuat kebijakan kustom dan memberikannya kepada RAM user, RAM user group, atau RAM role. Untuk caranya, lihat: