Conceder uma política do sistema a um usuário do RAM - Container Registry: Central de Documentação do Alibaba Cloud

A Alibaba Cloud fornece o Resource Access Management e o Security Token Service (STS) para ajudar você a gerenciar permissões com flexibilidade e segurança. Este tópico descreve como conceder uma política do sistema a um usuário do RAM.

Pré-requisitos

Um usuário do RAM foi criado com a sua conta Alibaba Cloud. Para mais informações, consulte Criar um usuário do RAM.

Informações de fundo

O Resource Access Management (RAM) e o Security Token Service (STS) fornecem controle de acesso flexível e seguro para repositórios de imagens. Por padrão, uma conta Alibaba Cloud tem permissões totais sobre os recursos que possui. Use o RAM e o STS para conceder diferentes permissões sobre recursos de imagens a diferentes usuários do RAM e para fornecer acesso temporário. Antes de configurar as políticas de autorização, leia a documentação do RAM.

Importante

Após configurar as políticas de autorização para um usuário do RAM, use esse usuário do RAM para fazer logon no console do Container Registry, criar uma instância do Personal Edition e definir uma senha de registro. Em seguida, você poderá visualizar as imagens sobre as quais o usuário do RAM tem permissões.

Conceder permissões a um usuário do RAM

Ao conceder permissões a um usuário do RAM, siga o princípio do menor privilégio para evitar a concessão de permissões excessivas.

Importante

Se você conceder a permissão AdministratorAccess a um usuário do RAM, que inclui permissões de gerenciamento em todos os recursos da Alibaba Cloud, o usuário do RAM terá todas as permissões no Container Registry, independentemente de quaisquer permissões do Container Registry concedidas anteriormente.

Políticas do sistema

O Container Registry fornece duas políticas do sistema integradas: AliyunContainerRegistryFullAccess e AliyunContainerRegistryReadOnlyAccess. Você pode concedê-las diretamente aos usuários.

AliyunContainerRegistryFullAccess

Um usuário do RAM com essa política tem as mesmas permissões sobre recursos de imagens que uma conta Alibaba Cloud e pode realizar qualquer operação.
```
{
  "Statement": [
    {
      "Action": "cr:*",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}
                    
```
AliyunContainerRegistryReadOnlyAccess

Um usuário do RAM com essa política tem permissões somente leitura em todos os recursos de imagens. Por exemplo, pode visualizar listas de repositórios e fazer pull de imagens.
```
{
  "Statement": [
    {
      "Action": [
        "cr:Get*",
        "cr:List*",
        "cr:Pull*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}               
```

Procedimento

Esta seção descreve como conceder a política AliyunContainerRegistryReadOnlyAccess a um usuário do RAM.

Faça logon no console do RAM.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, localize o usuário do RAM e clique em Actions na coluna Attach Policy.

Alternativamente, você pode selecionar vários usuários do RAM e clicar em Attach Policy na parte inferior da lista para conceder permissões a todos de uma vez.
Authorize
1. Selecione um escopo de autorização.
  - Account: As permissões se aplicam à conta Alibaba Cloud atual.
  - resource: As permissões se aplicam ao grupo de recursos especificado.
    
    Nota
    Para conceder permissões no nível do grupo de recursos, o serviço de nuvem deve oferecer suporte a grupos de recursos. Para mais informações, consulte Serviços que oferecem suporte a grupos de recursos.
2. Especifique o principal.
  
  O principal é o usuário que receberá as permissões. O usuário do RAM selecionado é automaticamente especificado como o principal.
3. Na caixa de pesquisa Policies, pesquise AliyunContainerRegistryReadOnlyAccess e clique em AliyunContainerRegistryReadOnlyAccess na lista de resultados.
4. Clique em OK.
Clique em Off.

Documentação relacionada

Para implementar controle de acesso refinado, consulte Conceder uma política personalizada a um usuário do RAM.
Para mais informações sobre regras de autenticação, consulte Autorização do RAM.