ApsaraMQ for RabbitMQ:RAM users

Contexto

A Empresa A ativou o serviço ApsaraMQ for RabbitMQ e precisa que seus colaboradores gerenciem recursos desse serviço, como instâncias, Vhosts, Queues e Exchanges. Como as responsabilidades variam entre os funcionários, cada um necessita de permissões específicas. Os requisitos da Empresa A são:

• Por motivos de segurança e confiança, a empresa prefere não compartilhar diretamente a AccessKey da conta Alibaba Cloud com os colaboradores. Em vez disso, opta por criar contas de usuário individuais.

• Os usuários devem gerenciar recursos apenas dentro das permissões concedidas. Todo o uso de recursos é faturado na conta Alibaba Cloud da empresa, e não nas contas individuais dos usuários.

• A empresa deve poder revogar permissões ou excluir contas de usuário a qualquer momento.

Etapa 1: Criar um usuário RAM

Para criar usuários RAM para os colaboradores, faça login no console RAM usando a conta Alibaba Cloud da Empresa A.

Etapa 2: Conceder permissões a usuários RAM

Conceda permissões diferentes para cada usuário RAM conforme necessário.

1. Faça login no console RAM como administrador RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Localize o usuário RAM desejado e clique em Attach Policy na coluna Actions.

4. No painel Attach Policy, conceda permissões ao usuário RAM.

   1. Selecione um Resource Scope.

      • Account: As permissões se aplicam à conta Alibaba Cloud atual.

      • Resource Group: As permissões se aplicam ao grupo de recursos especificado.

        Nota

        Uma autorização para um grupo de recursos só entra em vigor se o serviço de nuvem oferecer suporte a grupos de recursos. Para mais informações, consulte Serviços de nuvem compatíveis com grupos de recursos.

   2. Especifique um Principal.

      O principal é o usuário RAM ao qual você concede permissões.

   3. Selecione a Policy.

      Uma política é um conjunto de permissões. Existem dois tipos de políticas:

      • System Policy: Criadas e mantidas pela Alibaba Cloud. Você pode usar essas políticas, mas não pode modificá-las. Para mais informações, consulte Serviços compatíveis com RAM.

      • Custom Policy: Você pode criar, atualizar e excluir essas políticas. Para mais informações, consulte Criar uma política personalizada.

      Para configurar permissões refinadas para recursos do ApsaraMQ for RabbitMQ, como instâncias, Vhosts e filas, crie uma política personalizada. O exemplo a seguir mostra uma política personalizada em JSON:

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": "amqp:*",
            "Resource": "acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>"
          }
        ]
      }

      Substitua <InstanceID> pelo ID real da instância e <VhostName> pelo nome real do Vhost. O campo Resource oferece suporte aos seguintes níveis de granularidade:

      • Nível de instância: acs:amqp:*:*:instance/<InstanceID>

      • Nível de Vhost: acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>

      • Nível de fila: acs:amqp:*:*:instance/<InstanceID>/vhost/<VhostName>/queue/<QueueName>

      Nota

      O sistema identifica automaticamente políticas de sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Ao conceder permissões, evite atribuir políticas de alto risco desnecessárias.

      Solução de problemas: Permissões RAM insuficientes

      Se você encontrar erros relacionados a permissões ao conectar-se ou consumir mensagens do ApsaraMQ for RabbitMQ, verifique os seguintes pontos:

      • BrokerUnreachableException ou InstanceNotServing (.NET SDK): Se seu cliente .NET SDK relatar BrokerUnreachableException ou InstanceNotServing e a conexão de rede estiver verificada como normal, verifique se o usuário RAM possui permissões de operação para a instância e o Vhost de destino. Atualize a política personalizada para conceder permissões amqp:* nos recursos relevantes.

      • AccessDeniedByRamPolicy (consumo de fila adiada): Se o consumo de fila adiada for interrompido ou houver acúmulo de mensagens com o erro AccessDeniedByRamPolicy, verifique se o usuário RAM tem permissões de operação para a instância, o Vhost e as filas específicas de destino (por exemplo, event_task_result_query e event_task_status). Atualize o campo Resource na sua política personalizada para incluir as filas afetadas.

   4. Clique em Grant permissions.

5. Clique em Close.

Próximas etapas

Usuários RAM podem acessar o ApsaraMQ for RabbitMQ das seguintes maneiras:

• Console

  1. Abra a página de login de usuário RAM no navegador.

  2. Na página RAM User Logon, insira o nome de usuário RAM, clique em Next, insira a senha e clique em Log On.

     Nota

     O nome de usuário RAM deve estar no formato <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> é o alias da conta. Se nenhum alias estiver definido, o ID da conta Alibaba Cloud será usado por padrão.

• API

  Utilize o AccessKey ID e o AccessKey Secret do usuário RAM no seu código para chamar a API e acessar o ApsaraMQ for RabbitMQ.