Application Real-Time Monitoring Service:Políticas personalizadas do RAM para ARMS

Pela página Users

1. Faça login no console do RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, localize o usuário RAM desejado e clique na coluna Actions > Attach Policy.

   Também é possível selecionar vários usuários RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

4. No painel Grant Permission, configure as seguintes definições:

   • Resource scope:

     • Account level: As permissões aplicam-se a todos os recursos da sua conta Alibaba Cloud.

     • Resource group level: As permissões aplicam-se apenas ao grupo de recursos especificado. Após o login, o usuário RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.

       Nota

       1. O sistema marca políticas de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Tais políticas geralmente concedem controle total sobre todos os recursos da nuvem ou gerenciamento completo do RAM. Conceda essas políticas com cautela.

       2. Para exemplos de autorização por grupo de recursos, consulte Controlar o acesso de usuários RAM a instâncias ECS específicas.

   • Principal:

     O principal é o usuário RAM que recebe as permissões. Na página Users, o sistema seleciona automaticamente o usuário atual. Na página Grants, selecione o usuário manualmente. A seleção em lote é suportada.

   • Permission policy:

     • System policy: Pesquise e selecione. Filtre por nome do produto (ex.: ECS, OSS), nível de acesso (ex.: ReadOnly, FullAccess) ou nome completo da política.

       A tabela a seguir lista nomes de políticas do sistema para produtos Alibaba Cloud frequentemente solicitados, ajudando você a encontrar rapidamente a política adequada.

       Produto	Nome da política do sistema	Nível de acesso
       CloudMonitor	AliyunCloudMonitorReadOnlyAccess	Somente leitura
       China Gateway (Website Builder)	AliyunWebsiteBuildFullAccess	Acesso total
       Apsara DevOps	AliyunYunxiaoFullAccess	Acesso total
       Model Studio (Bailian)	AliyunBailianFullAccess	Acesso total
       Alibaba Cloud DNS	AliyunDNSFullAccess	Acesso total
       SSL Certificates Service	AliyunYundunCertFullAccess	Acesso total
       Elastic Desktop Service	AliyunECDFullAccess	Acesso total
       Support Center	AliyunSupportFullAccess	Acesso total
       Resource Center	AliyunResourceCenterFullAccess	Acesso total
       AgentBay	AliyunAgentBayFullAccess	Acesso total
       Security Center	AliyunYundunSASFullAccess	Acesso total

       Se não encontrar a política para o produto desejado, consulte a Referência de políticas do sistema para obter a lista completa, ou crie uma política personalizada para controle de acesso granular.

     • Custom policy: É necessário Crie uma política personalizada antes de poder concedê-la.

   • (Opcional) Description: Insira o motivo ou cenário da autorização para fins de auditoria.

   • Clique em Confirm.

   • Revise o resultado da autorização e clique em Close.

   Pela página Grants

   1. Faça login no console do RAM.

   2. No painel de navegação à esquerda, escolha Permissions > Grants.

   3. Na página Grants, clique em Grant Permission.

   4. No painel Grant Permission, selecione o principal e configure as mesmas definições descritas acima.

   5. Revise o resultado da autorização e clique em Close.

   OpenAPI

   Conceder uma custom policy

   1. Chame a API CreatePolicy para criar uma custom policy. Para sintaxe de políticas, consulte Elementos de política de permissão e Visão geral de políticas de exemplo.

   2. Chame a API AttachPolicyToUser para conceder a política no nível de account level (defina PolicyType como Custom).

      Alternativamente, chame a API AttachPolicy para conceder a política no nível de resource group level.

   Conceder uma system policy

   • Chame a API AttachPolicyToUser para anexar a política do sistema ao usuário RAM (defina PolicyType como System). Para valores disponíveis de PolicyName, consulte a Referência de políticas do sistema Referência de políticas do sistema.

   • Alternativamente, chame a API AttachPolicy para conceder a política no nível de resource group level.

   Anexar uma política de permissão a uma função RAM

   Após anexar uma política de permissão a uma função RAM, use essa função para fazer login no console do ARMS. Para mais informações, consulte Assumir uma função RAM.

   Elementos da política de permissão

   Effect

   O efeito da autorização pode ser Allow ou Deny.

   Action

   Action	Descrição da permissão
   arms:ReadTraceApp	Permissão somente leitura para o Application Real-Time Monitoring Service (ARMS). Permite visualizar informações como visões gerais de aplicações, chamadas de API e diagnósticos de aplicações.
   arms:EditTraceApp	Permissão de edição para o ARMS. Permite personalizar configurações de aplicações e definir parâmetros personalizados.
   arms:DeleteTraceApp	Permissão de exclusão para o ARMS. Permite excluir aplicações.

   Resource

   Especifica o objeto ao qual a autorização se aplica.

   O formato é o seguinte:

   "Resource": [
        "acs:arms:<regionid>:*:armsapp/<appname>"
    ]

   • Substitua <regionid> pelo ID de uma região específica. Para conceder permissões em recursos de todas as regiões, use um asterisco (*).

   • Substitua <appname> pelo nome de uma aplicação específica. Para conceder permissões em todas as aplicações, use um asterisco (*). Se a autorização se aplicar a aplicações que compartilham um prefixo de nome, use prefix*, como k8s*.

   Condition

   Um bloco de condição consiste em uma ou mais cláusulas de condição. Cada cláusula é composta por um operador de condição, uma chave de condição e um valor de condição.

   Lógica de avaliação:

   • A condição é atendida se o valor da chave na solicitação corresponder a qualquer um dos valores na política (OR lógico).

   • Se uma cláusula contiver várias chaves de condição, todas devem corresponder para que a cláusula seja atendida (AND lógico).

   • O bloco de condição inteiro só é atendido se todas as suas cláusulas forem atendidas (AND lógico).

   O ARMS permite usar pares chave-valor de tags para especificar os objetos da autorização. Para mais informações sobre como definir tags de aplicações, consulte Gerenciamento de tags.

   • Os seguintes operadores de condição são suportados para pares chave-valor de tags:

     • StringEquals

     • StringNotEquals

     • StringEqualsIgnoreCase

     • StringNotEqualsIgnoreCase

     • StringLike

     • StringNotLike

   • Chave de condição: arms:tag.

   • Valor da condição: O par chave-valor da tag.

   Exemplo: Conceder permissões para aplicações onde o par chave-valor da tag seja key0: value01 ou key0: value02.

   "Condition": {
     "StringEquals": {       // Condition operator.
       "arms:tag/key0":[      // Condition key
         "value01",        // Condition value
         "value02"
       ]
     }
   }

   Referência de autorização

   Para usar políticas personalizadas, compreenda os requisitos de permissão do seu serviço e as informações de autorização do Application Real-Time Monitoring Service (ARMS). Para mais informações, consulte Informações de autorização.