Server Migration Center:Kontrol akses detail halus dengan tag

Contoh kasus penggunaan

Skenario berikut menunjukkan kontrol akses berbasis tag.

Langkah 1: Buat dan berikan kebijakan kustom

Buat kebijakan kustom di Konsol RAM atau panggil operasi API CreatePolicy. Detail kebijakan terdapat di bagian Konfigurasi kebijakan.

1. Masuk ke Konsol RAM menggunakan Akun Alibaba Cloud Anda.

2. Di panel navigasi sebelah kiri, pilih Permissions > Policies.

3. Pada halaman Policies, klik Create Policy.

4. Pada halaman Create Policy, klik tab JSON.

5. Konfigurasikan kebijakan.

   Kebijakan terdiri dari nomor versi dan pernyataan (statement). Setiap pernyataan mencakup Effect, Action, Resource, dan Condition opsional, sebagaimana dijelaskan dalam Elemen kebijakan dan Struktur dan sintaksis kebijakan.

   1. Setelah Anda memodifikasi dokumen kebijakan sesuai kebutuhan, klik OK.

      Dalam blok Condition, tambahkan kondisi berbasis tag untuk membatasi izin. Tabel berikut menjelaskan kunci kondisi yang didukung.

      Kunci kondisi	Deskripsi
      acs:RequestTag	Mewajibkan permintaan untuk menyertakan tag tertentu. Jika operasi API tidak mendukung tag dalam permintaan, Anda tidak dapat menggunakan kunci kondisi ini. Jika tetap digunakan, otentikasi akan gagal.
      acs:ResourceTag	Mewajibkan sumber daya yang diakses memiliki tag tertentu. Jika operasi API tidak memerlukan ID sumber daya dalam permintaan, Anda tidak dapat menggunakan kunci kondisi ini. Jika tetap digunakan, otentikasi akan gagal.

      Catatan

      Pilih acs:RequestTag atau acs:ResourceTag berdasarkan operasi API—apakah operasi tersebut memerlukan ID sumber daya atau mendukung tag dalam permintaan. Otentikasi berbasis tag untuk operasi API.

      {
          "Statement": [
              {
                  "Action": "smc:CreateReplicationJob",
                  "Condition": {
                      "StringEquals": {
                          "acs:RequestTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                  "Action": "smc:*",
                  "Condition": {
                      "StringEquals": {
                          "acs:ResourceTag/smc": "test"
                      }
                  },
                  "Effect": "Allow",
                  "Resource": "*"
              },
              {
                "Action": [
                      "*:TagResources",
                      "*:UntagResources"  
                   ],
                  "Effect": "Deny",
                  "Resource": "*"
              },
              {
                  "Action": [
                      "*:List*",
                      "*:Describe*"
                  ],
                  "Effect": "Allow",
                  "Resource": "*"
              }
          ],
          "Version": "1"
      }

      Kebijakan di atas menerapkan kontrol izin berikut.

      Skenario	Kebijakan
      Skenario 1: Mengizinkan pembuatan pekerjaan migrasi hanya jika tag smc:test ditambahkan selama pembuatan.	{ "Statement": [ { "Action": "smc:CreateReplicationJob", "Condition": { "StringEquals": { "acs:RequestTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }
      Skenario 2: Mengizinkan operasi (seperti mengubah properti dan menghapus sumber daya) hanya pada sumber daya SMC yang memiliki tag smc:test. Operasi pada sumber daya SMC lainnya ditolak.	{ "Statement": [ { "Action": "smc:*", "Condition": { "StringEquals": { "acs:ResourceTag/smc": "test" } }, "Effect": "Allow", "Resource": "*" }, { "Action": [ "*:TagResources", "*:UntagResources" ], "Effect": "Deny", "Resource": "*" }, { "Action": [ "*:List*", "*:Describe*" ], "Effect": "Allow", "Resource": "*" } ], "Version": "1" }

   2. Pada kotak dialog Create Policy, masukkan nama dan deskripsi untuk kebijakan tersebut, lalu klik OK.

6. Sambungkan kebijakan kustom ke Pengguna RAM.

   1. Di panel navigasi sebelah kiri, pilih Identities > Users.

   2. Sambungkan kebijakan kustom yang baru dibuat ke Pengguna RAM.

      Kelola izin Pengguna RAM.

Langkah 2: Verifikasi kebijakan

1. Masuk ke Konsol SMC atau OpenAPI Explorer sebagai Pengguna RAM.

   Contoh ini menggunakan Konsol SMC untuk verifikasi.

2. Verifikasi bahwa kebijakan bekerja dengan benar.

   Uji izin berikut:

   • Membuat pekerjaan migrasi:

     • Untuk sumber migrasi dengan tag smc:test, Anda dapat membuat pekerjaan migrasi.

     • Untuk sumber migrasi tanpa tag smc:test atau dengan tag lain, Anda tidak dapat membuat pekerjaan migrasi. Muncul pesan error You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again. Klik Go to RAM for Authorization untuk memberikan izin.

   • Menghapus sumber migrasi:

     • Anda dapat menghapus sumber migrasi yang memiliki tag smc:test.

     • Jika Anda mencoba menghapus sumber migrasi tanpa tag smc:test, operasi tersebut gagal. Kotak dialog Error muncul dengan pesan "You are not authorized to perform this operation. Contact your Alibaba Cloud account to grant the required permissions and then try again." Klik OK untuk menutup kotak dialog.

Otentikasi berbasis tag untuk operasi API