ApsaraMQ for Kafka:Use grupos de recursos para controle granular de recursos

Como funciona

Os grupos de recursos permitem organizar os recursos da sua conta Alibaba Cloud em conjuntos lógicos. Por exemplo, crie um grupo de recursos para cada projeto e mova os recursos correspondentes para esse grupo. Essa abordagem possibilita o gerenciamento centralizado dos recursos de diferentes projetos. Para mais informações, consulte O que é um grupo de recursos?.

Após organizar os recursos em grupos, conceda permissões com escopo limitado a um grupo específico para entidades do RAM, como usuários do RAM, grupos de usuários do RAM ou funções do RAM. Isso restringe a entidade ao gerenciamento exclusivo dos recursos dentro daquele grupo. Para mais informações, consulte Agrupamento e autorização de recursos.

Essa estratégia oferece os seguintes benefícios:

• Permissões granulares: garanta que cada identidade tenha acesso preciso a recursos específicos, evitando que recursos de projetos distintos sejam gerenciados sob o mesmo conjunto de permissões.

• Escalabilidade: ao adicionar novos recursos, basta incluí-los no grupo de recursos. A entidade obtém automaticamente as permissões para esses itens, sem necessidade de nova concessão manual.

Conceder permissões no nível do grupo de recursos a um usuário do RAM

As etapas a seguir descrevem como conceder permissões a um RAM user para gerenciar recursos do Message Queue for Apache Kafka dentro de um grupo de recursos específico.

Tipos de recursos compatíveis com grupos de recursos

O Message Queue for Apache Kafka oferece suporte a grupos de recursos para o seguinte tipo de recurso:

Ações sem autorização no nível do grupo

No Message Queue for Apache Kafka, as seguintes ações não oferecem suporte à autorização no nível do grupo de recursos:

Para ações incompatíveis com autorização no nível do grupo de recursos, definir o escopo de permissão como Resource Group Level não surte efeito. Se um usuário do RAM precisar dessas permissões, crie uma política de permissões personalizada e defina o escopo como Account Level.

Os exemplos a seguir mostram duas políticas de permissões personalizadas. Modifique essas políticas conforme necessário.

• Permite todas as ações somente leitura sem suporte à autorização no nível do grupo de recursos: o elemento Action lista essas ações.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:CheckCreateSlr",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permite todas as ações sem suporte à autorização no nível do grupo de recursos: todas essas ações estão listadas no elemento Action.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "alikafka:AddQuota",
          "alikafka:CheckCreateSlr",
          "alikafka:ConsoleClearPretendStatus",
          "alikafka:ConsoleKafkaConnectorCheckKafkaConnectorStatus",
          "alikafka:ConsoleKafkaConnectorOpenKafkaConnector",
          "alikafka:ConsoleSavePretendStatus",
          "alikafka:ConsoleSearchPretendUser",
          "alikafka:ConvertPostPayOrder",
          "alikafka:CreateDefaultSlrRole",
          "alikafka:CreateETLTask",
          "alikafka:CreateInstance",
          "alikafka:CreateInstanceMetadataMigration",
          "alikafka:DeleteConsumerGroup",
          "alikafka:DeleteContact",
          "alikafka:DeleteInstance",
          "alikafka:DiagnoseTimeoutTransaction",
          "alikafka:EvaluateInstance",
          "alikafka:GetBrokerIdListFromSls",
          "alikafka:GetConsumerList",
          "alikafka:GetInstanceList",
          "alikafka:GetInstancesLeaderElectionOverviewListInPage",
          "alikafka:GetLeaderElectionOverviewOrderByCostListInPage",
          "alikafka:GetMakeFollowerProcess",
          "alikafka:GetMakeLeaderProcess",
          "alikafka:GetMeta",
          "alikafka:GetPromotionList",
          "alikafka:GetRegionErrorLeaderElectionOverviewListInPage",
          "alikafka:GetRegionLeaderElectionOverview",
          "alikafka:GetTopicList",
          "alikafka:GetTransactionTopicListInPage",
          "alikafka:HandleHangingTransaction",
          "alikafka:ListInstanceGetNoDeployedInstanceList",
          "alikafka:ListInstanceId",
          "alikafka:ListLeaderElectionResult",
          "alikafka:ListLogProject",
          "alikafka:ListLogStore",
          "alikafka:ListRegions",
          "alikafka:ListReportAnalyseClientConsumerPower",
          "alikafka:ListReportAnalyseFetchLog",
          "alikafka:ListReportAnalyseGroup",
          "alikafka:ListReportAnalyseMessageStoreBrokerTime",
          "alikafka:ListReportAnalyseSubscribeRelationship",
          "alikafka:ListReportAnalyseTopic",
          "alikafka:QueryContact",
          "alikafka:QueryMigrationRecord",
          "alikafka:QueryQuota",
          "alikafka:RegionalRollbackAddOrUpdateTopics",
          "alikafka:SpCorrect",
          "alikafka:SpCorrectPartition",
          "alikafka:UpdateContact",
          "alikafka:UpdateDeploymentRemark"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes