ApsaraMQ for RocketMQ:Use grupos de recursos para controle refinado

Como funciona a autorização por grupo de recursos

Grupos de recursos permitem organizar os recursos dentro da sua conta Alibaba Cloud. Por exemplo, é possível crie um grupo de recursos dedicado para cada projeto e mover os recursos desse projeto para o grupo correspondente, facilitando o gerenciamento centralizado. Para obter mais informações, consulte O que é um grupo de recursos?

Após organizar seus recursos, conceda permissões a entidades específicas do RAM, como usuários RAM, grupos de usuários RAM ou funções RAM, para um grupo de recursos determinado. Isso restringe cada entidade a gerencie apenas os recursos contidos nesse grupo. Para obter mais informações, consulte Agrupamento e autorização de recursos.

Esse método de autorização oferece os seguintes benefícios:

• Permissões refinadas: Cada identidade recebe somente as permissões específicas de que necessita, evitando a mistura de gerenciamento de recursos entre projetos diferentes.

• Escalabilidade: Ao adicionar novos recursos, basta atribuí-los ao grupo de recursos. As entidades do RAM com acesso a esse grupo obtêm automaticamente as permissões correspondentes para os novos recursos, sem necessidade de autorização adicional.

Conceder permissões no nível do grupo de recursos

O exemplo a seguir demonstra como conceder permissões a um RAM user para gerencie recursos do ApsaraMQ for RocketMQ dentro de um grupo de recursos específico.

Tipos de recursos que suportam grupos de recursos

A tabela a seguir lista os tipos de recursos do ApsaraMQ for RocketMQ que oferecem suporte a grupos de recursos.

Ações sem autorização no nível do grupo de recursos

As seguintes ações do ApsaraMQ for RocketMQ não suportam autorização no nível do grupo de recursos:

Para ações que não suportam autorização no nível do grupo de recursos, definir o Escopo do Recurso como Resource Group não produz efeito. Caso um usuário RAM necessite de permissões para essas ações, crie uma política personalizada com o escopo de recurso definido como Account Level.

Os dois exemplos a seguir mostram políticas personalizadas. Modifique o conteúdo delas conforme necessário para atender aos requisitos do seu negócio.

• Para permitir todas as ações de somente leitura que não suportam autorização no nível do grupo de recursos, especifique-as no elemento Action da política abaixo:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "rocketmq:GetDiagnosis",
          "rocketmq:GetUserMetrics",
          "rocketmq:GetUserTags",
          "rocketmq:ListAllTags",
          "rocketmq:ListDiagnosis",
          "rocketmq:ListDisasterRecoveryPlans",
          "rocketmq:ListFaultDrillTasks",
          "rocketmq:ListInstanceContainsV4",
          "rocketmq:ListMetricMeta",
          "rocketmq:ListMigrations",
          "rocketmq:ListRegions"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Para permitir todas as ações que não suportam autorização no nível do grupo de recursos, especifique-as no elemento Action da política abaixo:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "rocketmq:CheckServiceLinkedRole",
          "rocketmq:CreateServiceLinkedRole",
          "rocketmq:DeleteDiagnosis",
          "rocketmq:ExportDiagnose",
          "rocketmq:GetDiagnosis",
          "rocketmq:GetUserMetrics",
          "rocketmq:GetUserTags",
          "rocketmq:InvokeGenericService",
          "rocketmq:ListAllTags",
          "rocketmq:ListDiagnosis",
          "rocketmq:ListDisasterRecoveryPlans",
          "rocketmq:ListFaultDrillTasks",
          "rocketmq:ListInstanceContainsV4",
          "rocketmq:ListMetricMeta",
          "rocketmq:ListMigrations",
          "rocketmq:ListRegions"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes