Attach custom policy to a RAM user - Container Registry: Central de Documentação do Alibaba Cloud

Este tópico mostra como criar uma política personalizada que concede permissões de leitura e gravação para um namespace específico em uma instância do Container Registry Enterprise Edition.

Criar uma política personalizada

Faça login no RAM console como um administrador do RAM.
No painel de navegação à esquerda, escolha Permissions > Policies.
Na página Policies, clique em Create Policy.
Na página Create Policy, clique na aba JSON Editor.

A página exibe um editor JSON. O modelo de política padrão inclui um elemento Version (definido como "1") e um array Statement. Cada instrução inclui os elementos Effect (o padrão é "Allow"), Action, Resource e Condition. Você deve preencher os elementos Action e Resource.
Copie o seguinte conteúdo de política para o editor e substitua os placeholders instanceid e namespace pelos seus valores.
Para conceder permissões adicionais, consulte Authentication rules of Container Registry para os formatos suportados de Action e Resource. Para obter detalhes sobre a sintaxe da política, consulte policy structure and syntax.

Nota
O asterisco (*) atua como um curinga. Por exemplo, cr:ListInstance* concede todas as ações que começam com cr:ListInstance. Se você definir acs:cr:*:*:repository/$instanceid/$namespace/* como acs:cr:*:*:repository/cri-123456/ns/*, a política concederá todas as permissões no namespace ns na instância cri-123456 em todas as regiões.
```
{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:ListInstance*",
        "cr:GetInstance*",
        "cr:ListSignature*"
      ],
      "Resource": "*"
    },
    {
      "Action": [
        "cr:*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/$namespace/*",
        "acs:cr:*:*:repository/$instanceid/$namespace"
      ]
    },
    {
      "Action": [
        "cr:List*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cr:*:*:repository/$instanceid/*",
        "acs:cr:*:*:repository/$instanceid/*/*"
      ]
    }
  ],
  "Version": "1"
}
```
Clique em Confirm e confirme. Na caixa de diálogo Create Policy, insira um Policy Name e uma Description.

Anexar a política personalizada

Console

O console do RAM oferece dois pontos de entrada, ambos com suporte a autorização única e em lote:

Página Users: O principal é selecionado automaticamente com base nos usuários que você escolhe. Mais indicado para fluxos de trabalho centrados no usuário.
Página Grants: Você seleciona manualmente os principais e visualize todos os registros de autorização em sua conta. Ideal para fluxos de trabalho centrados em permissões.

Nota

Dica: Para gerenciamento em grande escala, adicione usuários do RAM com responsabilidades idênticas a um grupo de usuários e, em seguida, conceda permissões ao grupo. Acesse Identities > User Groups e gerencie grupos.

A partir da página Users

Faça login no RAM console.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, encontre o usuário do RAM de destino e clique na coluna Actions > Attach Policy.

Você também pode selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

No painel Grant Permission, configure as seguintes configurações:

Resource scope:
- Account level: As permissões se aplicam a todos os recursos em sua conta Alibaba Cloud.
- Resource group level: As permissões se aplicam apenas dentro do grupo de recursos especificado. Após fazer login, o usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.
  Nota
  1. O sistema marca políticas de sistema de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos de cloud ou gerenciamento total do RAM. Conceda essas políticas com cautela.
  2. Para exemplos de autorização de grupo de recursos, consulte Control RAM user access to specific ECS instances.
Principal:

O principal é o usuário do RAM que recebe as permissões. A partir da página Users, o sistema seleciona automaticamente o usuário atual. A partir da página Grants, você deve selecionar manualmente o usuário. Há suporte para seleção em lote.

Permission policy:

System policy: Pesquise e selecione. Filtre por nome do product (por exemplo, ECS, OSS), nível de acesso (por exemplo, ReadOnly, FullAccess) ou nome completo da política. Por exemplo, para conceder permissões de gerenciamento financeiro (despesas e custos), pesquise por BSS para encontrar AliyunBSSFullAccess (acesso total ao Billing and Cost Management) e outras políticas relacionadas a finanças.

A tabela a seguir lista os nomes das políticas de sistema para os products da Alibaba Cloud mais solicitados, para ajudar você a encontrar rapidamente a política correta.

Product	Nome da política de sistema	Nível de acesso
Gerenciamento de faturamento e custos (finanças)	`AliyunBSSFullAccess`	Acesso total
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Somente leitura
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Acesso total
Alibaba Cloud DevOps	`AliyunRDCFullAccess`	Acesso total
Model Studio (Bailian)	`AliyunBailianFullAccess`	Acesso total
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Acesso total
SSL Certificates Service	`AliyunYundunCertFullAccess`	Acesso total
Cloud Phone	`AliyunECDFullAccess`	Acesso total
Support Center	`AliyunSupportFullAccess`	Acesso total
Resource Center	`AliyunResourceCenterFullAccess`	Acesso total
AgentBay	`AliyunAgentBayFullAccess`	Acesso total
Security Center	`AliyunYundunSASFullAccess`	Acesso total

Se você não conseguir encontrar a política para o seu product de destino, consulte System policy reference para a lista completa, ou crie uma política personalizada para controle de acesso refinado.

Custom policy: Você deve crie uma política personalizada antes de poder concedê-la.
Limite de paginação para selecionar tudo: A lista de políticas é paginada. Selecionar tudo se aplica apenas à página atual. Depois de mudar de página, as políticas selecionadas anteriormente permanecem na lista de selecionadas, mas as políticas na nova página não são selecionadas automaticamente; você deve selecioná-las página por página.
Conceder permissões de administrador rapidamente: Para conceder permissões de administrador, pesquise por AdministratorAccess na caixa de pesquisa e selecione-a diretamente, em vez de selecionar políticas página por página. A seleção desta política aciona um aviso de autorização de alto risco.

(Opcional) Description: Insira o motivo ou cenário da autorização para fins de auditoria.
Clique em Confirm e confirme.

Revise o resultado da autorização e clique em Close.

A partir da página Grants

Faça login no RAM console.
No painel de navegação à esquerda, escolha Permissions > Grants.
Na página Grants, clique em Grant Permission.
No painel Grant Permission, selecione o principal e configure as mesmas configurações descritas acima.
Revise o resultado da autorização e clique em Close.

Nota

Os usuários do RAM criados por meio do recurso Quick Start na página de visão geral do console do RAM recebem automaticamente a política de sistema correspondente com base no cenário selecionado, sem necessidade de autorização manual:

Super user: Recebe automaticamente a política PowerUserAccess. Este usuário pode gerenciar serviços e recursos de cloud, mas não pode gerenciar identidades do RAM e suas permissões, diretórios de recursos ou contas de faturamento.
Account administrator: Recebe automaticamente a política AdministratorAccess. Este usuário pode gerenciar todos os recursos da Alibaba Cloud, incluindo identidades e permissões do RAM.

Use essas opções apenas quando os privilégios de superadministrador forem realmente necessários. Para operações de rotina, siga o princípio do menor privilégio e conceda apenas as permissões necessárias para a tarefa específica.

OpenAPI

Conceder uma custom policy

Chame CreatePolicy para criar uma custom policy. Para a sintaxe da política, consulte Permission policy elements e Overview of sample policies.
Chame AttachPolicyToUser para conceder a política no account level (defina PolicyType como Custom).

Como alternativa, chame AttachPolicy para conceder a política no resource group level.

Conceder uma system policy

Chame AttachPolicyToUser para anexar a política de sistema ao usuário do RAM (defina PolicyType como System). Para os valores disponíveis de PolicyName, consulte System policy reference.
Como alternativa, chame AttachPolicy para conceder a política no resource group level.

Nota

Após fazer login no console do Container Registry, o usuário do RAM pode criar, enviar e baixar imagens no namespace autorizado.