Controle granular de recursos com grupos de recursos - Container Registry: Central de Documentação do Alibaba Cloud

Os grupos de recursos permitem usar o RAM para isolar recursos e aplicar gerenciamento granular de permissões em uma única conta Alibaba Cloud. Este tópico descreve como o Container Registry oferece suporte a grupos de recursos e como conceder autorização no nível do grupo de recursos.

Nota

A autorização no nível do grupo de recursos aplica-se apenas aos tipos de recurso compatíveis com grupos de recursos e às operações que oferecem suporte a esse nível de autorização.
Para tipos de recurso incompatíveis com grupos de recursos, as permissões concedidas no escopo do grupo de recursos não têm efeito. Ao selecionar um escopo de recurso, escolha Account para conceder permissões no nível da conta. Para mais informações, consulte Operações que não oferecem suporte à autorização no nível do grupo de recursos.

Autorização de grupo de recursos

Use grupos de recursos para organizar os recursos da sua conta Alibaba Cloud. Por exemplo, crie um grupo de recursos para cada projeto e mova os recursos desse projeto para o grupo para gerenciá-los de forma centralizada. Para mais informações, consulte O que é um grupo de recursos?.

Após agrupar seus recursos, conceda permissões aos principais do RAM (usuários RAM, grupos de usuários RAM ou funções RAM) no escopo do grupo de recursos. Isso restringe o principal a gerenciar apenas os recursos dentro desse grupo. Para mais informações, consulte Agrupamento e autorização de recursos.

Essa abordagem oferece as seguintes vantagens:

Permissões granulares: garanta que cada principal receba apenas as permissões necessárias. Isso impede que um principal atribuído a um projeto gerencie os recursos de outro.
Escalabilidade: ao adicionar recursos a um grupo de recursos, os principais autorizados para esse grupo obtêm automaticamente as mesmas permissões para os novos recursos.

Conceder permissões no nível do grupo de recursos a um usuário RAM

Esta seção descreve como conceder permissões a um RAM user sobre recursos do Container Registry em um grupo de recursos específico.

1. Pré-requisitos

Crie o RAM user ao qual deseja conceder permissões. Para mais informações, consulte Criar um usuário RAM.
Crie um resource group e mova os recursos existentes para o grupo de recursos de destino. Para mais informações, consulte Criar um grupo de recursos, Transferir recursos automaticamente para um grupo de recursos e Transferir recursos manualmente para um grupo de recursos.

2. Conceder permissões no nível do grupo de recursos

Conceda permissões no nível do grupo de recursos usando um dos métodos a seguir.

Método 1: Resource management console

Use o recurso de gerenciamento de permissões de um grupo de recursos para conceder permissões a um usuário RAM. Para obter instruções detalhadas, consulte Conceder permissões no escopo do grupo de recursos a uma identidade RAM.

Faça login no console do Resource Management.
Na página Resource Groups, na coluna Actions do grupo de recursos de destino, clique em Grant Permission.
Na aba Permission Management, clique em Grant Permission.
No painel Grant Permission, defina o principal e a política.
- Principal: selecione um usuário RAM existente.
- Permission Policy: selecione uma system policy ou uma custom policy existente. Para mais informações, consulte Criar uma política personalizada.
Clique em OK.

Método 2: RAM console

Use o console do RAM para conceder permissões no nível do grupo de recursos a um usuário RAM. Para obter instruções detalhadas, consulte Gerenciar permissões de um usuário RAM.

Faça login no console do RAM com uma conta Alibaba Cloud ou um administrador RAM.
No painel de navegação à esquerda, escolha Identities > Users. Na página Users, na coluna Actions do usuário RAM de destino, clique em Add Permission.
No painel Grant Permission, conceda permissões ao usuário RAM.
- Resource Scope: selecione Resource Group Level.
- Principal: selecione um usuário RAM existente, que pode ser aquele criado nos pré-requisitos.
- Permission Policy: selecione uma system policy ou uma custom policy existente. Para mais informações, consulte Criar uma política personalizada.
Clique em OK.

Tipos de recurso compatíveis com grupos de recursos

A tabela a seguir lista os tipos de recurso no Container Registry que oferecem suporte a grupos de recursos.

Serviço de nuvem	Código do serviço de nuvem	Tipo
Container Registry	cr	chartnamespace : namespace do Chart
Container Registry	cr	chartrepository : repositório do Chart
Container Registry	cr	instance : instância
Container Registry	cr	namespace : namespace de imagem
Container Registry	cr	repository : repositório de imagem

Nota

Se precisar de um tipo de recurso que não ofereça suporte a grupos de recursos, envie feedback no Console do Grupo de Recursos.

Ações que não oferecem suporte à autorização no nível do grupo de recursos

As seguintes Actions no Container Registry não oferecem suporte à autorização no nível do grupo de recursos:

Action	Descrição
cr:CancelArtifactDeleteTagTask	-
cr:CancelArtifactSubscriptionTask	-
cr:CancelDiagnosisTask	-
cr:CancelRepoSyncTask	Cancela uma tarefa de sincronização.
cr:CreateArtifactBuildDiagnosisTask	-
cr:CreateArtifactBuildPhaseStatusTask	-
cr:CreateCloudProductAuth	-
cr:CreateClusterImageAnalysisTask	-
cr:CreateImageWorkloadAnalysisTask	-
cr:CreateInstanceFlowControlRule	-
cr:CreateMetadataNamespace	-
cr:CreateMetadataNote	-
cr:CreateMetadataOccurrence	-
cr:CreateStorageDomainRoutingRule	Cria uma regra de roteamento de domínio de armazenamento de instância.
cr:CreateUserInfo	-
cr:DeleteCloudProductAuth	-
cr:DeleteExemptVul	-
cr:DeleteInstance	-
cr:DeleteInstanceFlowControlRule	-
cr:DeleteInstanceMigrateRule	-
cr:DeleteStorageDomainRoutingRule	Exclui uma regra de roteamento de domínio de armazenamento de instância.
cr:DeleteSyncCustomLink	-
cr:DisableInstanceHideAuthDomain	-
cr:EnableInstanceHideAuthDomain	-
cr:EnableRecycleBin	-
cr:GetAccessVpcLink	-
cr:GetClusterImageAnalysisTask	-
cr:GetDiagnosisTask	-
cr:GetImageWorkloadAnalysisTask	-
cr:GetInstanceFlowControlRule	-
cr:GetInstanceHideAuthDomainStatus	-
cr:GetInstanceMigrateRule	-
cr:GetInstanceUser	-
cr:GetMetadataNamespace	-
cr:GetMetadataNote	-
cr:GetMetadataOccurrence	-
cr:GetRecycleBinConfig	-
cr:GetRepoTagManifest	-
cr:GetRepositoryTag	-
cr:GetResourceQuota	-
cr:GetScanRule	Obtém uma regra de verificação.
cr:GetServiceAuthorization	-
cr:GetSignatureRule	-
cr:GetStorageDomainRoutingRule	Obtém regras de roteamento de domínio de armazenamento de instância.
cr:GetSyncCustomLink	-
cr:GetUserInfo	-
cr:GetWebHook	-
cr:ListArtifactBuildDiagnosisResult	-
cr:ListArtifactBuildPhaseStatus	-
cr:ListArtifactBuildRule	-
cr:ListArtifactComponents	-
cr:ListArtifacts	-
cr:ListChartNamespace	-
cr:ListChartRepository	-
cr:ListCloudProductAuth	-
cr:ListDiagnosisTask	-
cr:ListInstanceFlowControlRule	-
cr:ListInstanceUser	-
cr:ListMetadataNotes	-
cr:ListMetadataOccurrences	-
cr:ListUserBucket	-
cr:ListUserVpc	-
cr:RevokeInstanceUserLoginPassword	-
cr:StopChainInstance	-
cr:UpdateArtifactBuildRule	-
cr:UpdateExemptVul	-
cr:UpdateMetadataNote	-
cr:UpdateMetadataOccurrence	-
cr:UpdateStorageDomainRoutingRule	Atualiza uma regra de roteamento de domínio de armazenamento de instância.
cr:UpdateSyncCustomLink	-
cr:UpdateSyncRule	-
cr:UpdateUserInfo	-

Para Actions que não oferecem suporte à autorização no nível do grupo de recursos, definir o escopo do recurso como Resource Group Level não tem efeito. Se um usuário RAM precisar dessas permissões, crie uma política personalizada e defina o escopo do recurso como Account Level.

Veja a seguir dois exemplos de políticas personalizadas. Ajuste o conteúdo da política conforme necessário.

Para permitir todas as Actions somente leitura que não oferecem suporte à autorização no nível do grupo de recursos, liste-as no elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:GetAccessVpcLink",
        "cr:GetClusterImageAnalysisTask",
        "cr:GetDiagnosisTask",
        "cr:GetImageWorkloadAnalysisTask",
        "cr:GetInstanceFlowControlRule",
        "cr:GetInstanceHideAuthDomainStatus",
        "cr:GetInstanceMigrateRule",
        "cr:GetInstanceUser",
        "cr:GetMetadataNamespace",
        "cr:GetMetadataNote",
        "cr:GetMetadataOccurrence",
        "cr:GetRecycleBinConfig",
        "cr:GetRepoTagManifest",
        "cr:GetRepositoryTag",
        "cr:GetResourceQuota",
        "cr:GetScanRule",
        "cr:GetServiceAuthorization",
        "cr:GetSignatureRule",
        "cr:GetStorageDomainRoutingRule",
        "cr:GetSyncCustomLink",
        "cr:GetUserInfo",
        "cr:GetWebHook",
        "cr:ListArtifactBuildDiagnosisResult",
        "cr:ListArtifactBuildPhaseStatus",
        "cr:ListArtifactBuildRule",
        "cr:ListArtifactComponents",
        "cr:ListArtifacts",
        "cr:ListChartNamespace",
        "cr:ListChartRepository",
        "cr:ListCloudProductAuth",
        "cr:ListDiagnosisTask",
        "cr:ListInstanceFlowControlRule",
        "cr:ListInstanceUser",
        "cr:ListMetadataNotes",
        "cr:ListMetadataOccurrences",
        "cr:ListUserBucket",
        "cr:ListUserVpc"
      ],
      "Resource": "*"
    }
  ]
}

Para permitir todas as Actions que não oferecem suporte à autorização no nível do grupo de recursos, liste-as no elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:CancelArtifactDeleteTagTask",
        "cr:CancelArtifactSubscriptionTask",
        "cr:CancelDiagnosisTask",
        "cr:CancelRepoSyncTask",
        "cr:CreateArtifactBuildDiagnosisTask",
        "cr:CreateArtifactBuildPhaseStatusTask",
        "cr:CreateCloudProductAuth",
        "cr:CreateClusterImageAnalysisTask",
        "cr:CreateImageWorkloadAnalysisTask",
        "cr:CreateInstanceFlowControlRule",
        "cr:CreateMetadataNamespace",
        "cr:CreateMetadataNote",
        "cr:CreateMetadataOccurrence",
        "cr:CreateStorageDomainRoutingRule",
        "cr:CreateUserInfo",
        "cr:DeleteCloudProductAuth",
        "cr:DeleteExemptVul",
        "cr:DeleteInstance",
        "cr:DeleteInstanceFlowControlRule",
        "cr:DeleteInstanceMigrateRule",
        "cr:DeleteStorageDomainRoutingRule",
        "cr:DeleteSyncCustomLink",
        "cr:DisableInstanceHideAuthDomain",
        "cr:EnableInstanceHideAuthDomain",
        "cr:EnableRecycleBin",
        "cr:GetAccessVpcLink",
        "cr:GetClusterImageAnalysisTask",
        "cr:GetDiagnosisTask",
        "cr:GetImageWorkloadAnalysisTask",
        "cr:GetInstanceFlowControlRule",
        "cr:GetInstanceHideAuthDomainStatus",
        "cr:GetInstanceMigrateRule",
        "cr:GetInstanceUser",
        "cr:GetMetadataNamespace",
        "cr:GetMetadataNote",
        "cr:GetMetadataOccurrence",
        "cr:GetRecycleBinConfig",
        "cr:GetRepoTagManifest",
        "cr:GetRepositoryTag",
        "cr:GetResourceQuota",
        "cr:GetScanRule",
        "cr:GetServiceAuthorization",
        "cr:GetSignatureRule",
        "cr:GetStorageDomainRoutingRule",
        "cr:GetSyncCustomLink",
        "cr:GetUserInfo",
        "cr:GetWebHook",
        "cr:ListArtifactBuildDiagnosisResult",
        "cr:ListArtifactBuildPhaseStatus",
        "cr:ListArtifactBuildRule",
        "cr:ListArtifactComponents",
        "cr:ListArtifacts",
        "cr:ListChartNamespace",
        "cr:ListChartRepository",
        "cr:ListCloudProductAuth",
        "cr:ListDiagnosisTask",
        "cr:ListInstanceFlowControlRule",
        "cr:ListInstanceUser",
        "cr:ListMetadataNotes",
        "cr:ListMetadataOccurrences",
        "cr:ListUserBucket",
        "cr:ListUserVpc",
        "cr:RevokeInstanceUserLoginPassword",
        "cr:StopChainInstance",
        "cr:UpdateArtifactBuildRule",
        "cr:UpdateExemptVul",
        "cr:UpdateMetadataNote",
        "cr:UpdateMetadataOccurrence",
        "cr:UpdateStorageDomainRoutingRule",
        "cr:UpdateSyncCustomLink",
        "cr:UpdateSyncRule",
        "cr:UpdateUserInfo"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Um usuário RAM ou função RAM com permissões no nível da conta pode operar em todos os recursos da conta. Para seguir o princípio do menor privilégio, conceda apenas as permissões necessárias.

Perguntas frequentes

Localizar o grupo de recursos de um recurso

Método 1: clique em o nome de um recurso para abrir sua página de detalhes e encontrar o grupo de recursos correspondente.
Método 2: faça login no console do Resource Management, clique em Resource Center > Resource Search, selecione a conta proprietária do recurso de destino no painel à esquerda (Current Account é selecionado por padrão) e use as condições de filtro para localizar o recurso de destino e visualize seu grupo de recursos.

Visualize recursos de produto em um grupo de recursos

Método 1: faça login no console do Resource Management e clique em Resource Center > Resource Search. Em seguida, no painel de navegação à esquerda, clique em o nome do grupo de recursos de destino na seção da conta, que assume como padrão a Current Account. Por fim, na seção Select Resource Type à direita, selecione o produto para visualizar todos os seus recursos no grupo de recursos.
Método 2: faça login no console do Resource Management, clique em Resource Group > Resource Group, localize o grupo de recursos de destino e clique em Manage Resources na coluna Actions do grupo. Finalmente, na página Manage Resources, selecione um produto na lista suspensa Product na parte superior da página para visualizar todos os recursos desse produto no grupo de recursos.

Mover recursos para outro grupo de recursos

Faça login no console do Resource Management, clique em Resource Group > Resource Group e, na coluna Actions do grupo de recursos de destino, clique em Resource Management para abrir a página de gerenciamento de recursos. Nessa página, use os filtros para localizar vários recursos de destino, marque as caixas de seleção na primeira coluna, clique em Transfer Resource Group na parte inferior e siga as instruções na tela para alterar o grupo de recursos.