Tablestore：Buat kebijakan kustom

Operasi API tunggal

"Action": "ots:GetRow"                    

Beberapa API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

Semua operasi API hanya-baca

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

Semua operasi API baca-tulis

"Action": "ots:*"               

Semua operasi API terkait SQL

"Action": "ots:SQL*"

Resource yang Dapat Diakses oleh API Manajemen

API manajemen menangani operasi level instans dan dipanggil dari konsol atau menggunakan OpenAPI. Awalan acs:ots:[region]:[user_id]: dihilangkan dari resource yang dijelaskan di bawah ini. Hanya Instans yang ditentukan.

Resource yang diakses oleh API data

Operasi tabel dan operasi baca/tulis data bekerja pada tabel dan baris, serta dapat dipanggil dari Konsol Tablestore atau menggunakan SDK Tablestore. Jika Anda menentukan elemen Action dan Resource untuk operasi ini, beberapa fitur mungkin tidak tersedia di Konsol Tablestore. Awalan acs:ots:[region]:[user_id]: dihilangkan dari nama resource di bawah ini. Hanya Instans dan tabel yang ditentukan.

Resource untuk akses API Tunnel

Operasi Tunnel Service menangani tugas terkait saluran data dan dapat dipanggil dari Konsol Tablestore atau menggunakan SDK Tablestore. Jika Anda menentukan elemen Action dan Resource untuk operasi ini, beberapa fitur mungkin tidak tersedia di Konsol Tablestore. Awalan acs:ots:[region]:[user_id]: dihilangkan dari nama resource di bawah ini. Hanya Instans dan tabel yang ditentukan.

Kontrol akses berbasis alamat IP

Anda dapat membuat daftar putih alamat IP untuk menentukan alamat IP atau Blok CIDR yang diizinkan mengakses resource Tablestore. Metode ini cocok untuk skenario berikut:

• Membatasi akses dari beberapa alamat IP.

  Contoh berikut menunjukkan cara mengizinkan permintaan hanya dari alamat IP 10.10.XX.XX dan 10.11.XX.XX untuk mengakses resource Tablestore:

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• Anda dapat membatasi alamat IP individual dan Blok CIDR.

  Contoh berikut menunjukkan cara mengizinkan permintaan hanya dari alamat IP 10.10.XX.XX atau Blok CIDR 10.10.XX.XX/24 untuk mengakses resource Tablestore:

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

Kontrol akses berbasis HTTPS

Anda dapat menggunakan kebijakan kustom untuk mewajibkan akses ke Tablestore dilakukan melalui HTTPS.

Contoh berikut mewajibkan permintaan untuk mengakses Tablestore menggunakan HTTPS.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

Kontrol akses berbasis versi TLS

Anda dapat menggunakan kebijakan kustom untuk membatasi akses ke Tablestore hanya untuk permintaan yang menggunakan TLS v1.2 atau TLS v1.3 saja.

Contoh berikut membatasi akses ke Tablestore hanya untuk TLS v1.2 dan TLS v1.3.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

Kontrol akses berbasis MFA

Anda dapat membuat kebijakan kustom untuk mengizinkan akses ke resource Tablestore hanya untuk permintaan yang lolos autentikasi multi-faktor (MFA).

Contoh berikut membatasi akses ke Tablestore hanya untuk permintaan yang lolos MFA.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

Kontrol akses berbasis waktu

Anda dapat membuat kebijakan kustom untuk menentukan kapan permintaan akses diizinkan atau ditolak. Permintaan yang dikirim sebelum waktu yang ditentukan akan diizinkan atau ditolak.

Contoh berikut mengizinkan pengguna mengakses Tablestore hanya sebelum pukul 00:00 pada 1 Januari 2016 (UTC+8).

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

Skenario 1: Beberapa kondisi kontrol akses

Dalam skenario ini, Pengguna RAM yang alamat IP-nya termasuk dalam Blok CIDR 10.10.XX.XX/24 dapat melakukan operasi baca atau tulis pada Instans bernama online-01 dan online-02, termasuk semua tabel dalam Instans tersebut. Akses hanya diizinkan melalui HTTPS sebelum pukul 00:00:00 pada 1 Januari 2016.

1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda (layanan Resource Access Management (RAM) diaktifkan secara default).

2. Buat kebijakan khusus.

   1. Pada panel navigasi sebelah kiri, pilih Permission Management > Policies.

   2. Di halaman Policies, klik Create Policy.

   3. Pada halaman Create Access Policy, klik tab Script Editor. Masukkan skrip berikut dalam dokumen kebijakan, lalu klik OK.

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. Pada dialog Create Access Policy, masukkan nama dan deskripsi kebijakan, lalu klik OK.

3. Lampirkan kebijakan ke pengguna RAM.

   1. Pada panel navigasi sebelah kiri, pilih Identity Management > Users.

   2. Pada halaman Users, temukan Pengguna RAM yang ingin Anda beri izin, lalu klik Add Permissions di kolom Actions.

   3. Pada panel Grant Permission, pilih Kebijakan Kustom, cari nama kebijakan yang telah Anda buat, lalu centang kotak di samping kebijakan tersebut untuk menambahkannya ke kolom Selected Policy.

   4. Klik Grant Permissions.

   5. Klik Shutdown.

Skenario 2: Menolak permintaan

Dalam skenario ini, Pengguna RAM yang menggunakan alamat IP 10.10.XX.XX tidak dapat menulis data ke tabel dalam Instans yang namanya mengandung awalan online atau product di wilayah Tiongkok (Beijing). Kebijakan ini tidak berlaku untuk operasi level instans.

1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda (layanan RAM diaktifkan secara default).

2. Anda dapat membuat kebijakan akses.

   1. Pada panel navigasi sebelah kiri, pilih Permission Management > Permission Policies.

   2. Di halaman Policies, klik Create Policy.

   3. Pada halaman Create Policy, klik tab Script Editor, masukkan konten berikut di editor kebijakan, lalu klik OK.

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. Dalam kotak dialog Create Policy, konfigurasikan parameter Nama dan Deskripsi, lalu klik OK.

3. Lampirkan kebijakan ke pengguna RAM.

   1. Pada panel navigasi sebelah kiri, pilih Identities > Users.

   2. Di halaman Users, temukan pengguna RAM kepada siapa Anda ingin melampirkan kebijakan. Di kolom Actions, klik Add Permissions.

   3. Pada panel Grant Permission, pilih Kebijakan Kustom, cari nama kebijakan yang telah Anda buat, lalu centang kotak di samping kebijakan tersebut untuk menambahkannya ke kolom Selected Policy.

   4. Klik Grant Permissions.

   5. Klik Close.

Skenario 3: Batasi instance yang dapat dikelola oleh pengguna RAM

Dalam skenario ini, Pengguna RAM hanya dapat mengelola Instans tertentu dan tidak dapat melihat atau mengelola Instans lainnya.

1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda (layanan RAM diaktifkan secara default).

2. Buat kebijakan akses.

   1. Pada panel navigasi sebelah kiri, pilih Permission Management > Permission Policies.

   2. Di halaman Policies, klik Create Policy.

   3. Pada halaman Create Access Policy, klik tab Script Editor.

   4. Masukkan dokumen kebijakan berikut, lalu klik OK.

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ots:ListInstance",
              "ots:ListTagResources"
            ],
            "Resource": "acs:ots:*:*:instance/*"
          },
          {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": [
              "acs:ots:*:*:instance/yourInstance",
              "acs:ots:*:*:instance/yourInstance/table*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
          }
        ]
      }

      Untuk informasi lebih lanjut tentang kebijakan akses, lihat tabel berikut.

      kebijakan akses	Deskripsi
      { "Effect": "Allow", "Action": [ "ots:ListInstance", "ots:ListTagResources" ], "Resource": "acs:ots:*:*:instance/*" }	Penting Anda harus mengonfigurasi opsi ini agar Pengguna RAM hanya dapat mengelola instans tertentu di konsol. Anda harus memberikan izin kepada Pengguna RAM untuk mengambil daftar instans dan daftar tag karena halaman Overview di Konsol Tablestore perlu meminta data tersebut.
      { "Effect": "Allow", "Action": "ots:*", "Resource": [ "acs:ots:*:*:instance/yourInstance", "acs:ots:*:*:instance/yourInstance/table*" ] }	Berikan Pengguna RAM semua izin pada instans yourInstance dan semua tabel dalam instans tersebut.
      { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }	Berikan izin kepada pengguna RAM untuk menggunakan CloudMonitor guna melihat data pemantauan instance dan tabel.

3. Pada dialog Create Policy, konfigurasikan parameter Nama Kebijakan dan Deskripsi, lalu klik OK.

4. Lampirkan kebijakan ke pengguna RAM.

   1. Pada panel navigasi sebelah kiri, pilih Identities > Users.

   2. Pada halaman Users, temukan Pengguna RAM yang ingin Anda beri izin. Di kolom Actions, klik Add Permissions.

   3. Pada panel Grant Permission, pilih Kebijakan Kustom, cari nama kebijakan yang telah Anda buat, lalu centang kotak di samping kebijakan tersebut untuk menambahkannya ke kolom Kebijakan Terpilih.

   4. Klik Grant Permissions.

   5. Klik Close.