Alibaba Cloud Service Mesh:Grant permissions to RAM users and RAM roles

O ASM fornece as políticas de sistema AliyunASMReadOnlyAccess e AliyunASMFullAccess por padrão. Você pode conceder essas políticas diretamente. As descrições dessas políticas são as seguintes:

• AliyunASMReadOnlyAccess

  Concede permissões somente leitura para gerenciar o Service Mesh (ASM) da Alibaba Cloud. Com esta política, você pode apenas visualizar o status de um Service Mesh e executar outras operações somente leitura. Não é possível fazer alterações no Service Mesh.

• AliyunASMFullAccess

  Concede permissões totais para gerenciar o Service Mesh (ASM) da Alibaba Cloud. Um usuário do RAM com esta política possui permissões sobre recursos de malha equivalentes às de uma conta Alibaba Cloud e pode executar qualquer operação.

Criar uma política de acesso para uma instância de malha

1. Faça login no console RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Na página Policies, clique em Create Policy.

4. Na página Create Policy, clique em na aba JSON Editor.

   A página exibe um editor JSON. O modelo de política padrão inclui um elemento Version (definido como "1") e um array Statement. Cada instrução inclui os elementos Effect (padrão "Allow"), Action, Resource e Condition. Preencha os elementos Action e Resource.

5. Insira o conteúdo da política e clique em Next to edit policy information.

   Implemente autorização refinada para operações de API alterando o campo Action na Statement. Este tópico usa uma política de acesso restrito como exemplo. Essa política concede todas as permissões do RAM para um Service Mesh, exceto para autorização RBAC. Um usuário do RAM com esta política pode executar todas as operações, exceto conceder permissões RBAC a outros usuários. Para mais informações sobre a sintaxe e a estrutura da política, consulte Policy structure and syntax.

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "servicemesh:Add*",
                   "servicemesh:CRBatchDeletion",
                   "servicemesh:Create*",
                   "servicemesh:Delete*",
                   "servicemesh:Describe*",
                   "servicemesh:Enable*",
                   "servicemesh:Disable*",
                   "servicemesh:Get*",
                   "servicemesh:InvokeApiServer",
                   "servicemesh:List*",
                   "servicemesh:Modify*",
                   "servicemesh:Re*",
                   "servicemesh:Run*",
                   "servicemesh:Set*",
                   "servicemesh:Sync*",
                   "servicemesh:Update*",
                   "servicemesh:Upgrade*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "log:ListLogStores",
                   "log:ListDashboard",
                   "log:GetDashboard",
                   "log:ListSavedSearch",  
                   "log:ListProject"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/audit-*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/istio-*"
           },
           {
               "Action": "ram:CreateServiceLinkedRole",
               "Resource": "*",
               "Effect": "Allow",
               "Condition": {
                   "StringEquals": {
                       "ram:ServiceName": "servicemesh.aliyuncs.com"
                   }
               }
           }
       ],
       "Version": "1"
   }

6. Na seção Basic Information, insira um nome para a política. Neste exemplo, insira ASMPolicy1 e clique em OK.

Conceder uma política personalizada a usuários e funções do RAM

Esta seção descreve como conceder a política personalizada a um usuário do RAM. Para mais informações sobre como conceder permissões a uma função do RAM, consulte Manage permissions for RAM roles.

1. Faça login no console RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, localize o usuário do RAM desejado e clique em na coluna Actions > Attach Policy.

   Você também pode selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

4. No painel Grant Permission, adicione permissões ao usuário do RAM.

   1. Resource scope:

      • Account level: As permissões se aplicam a todos os recursos da sua conta Alibaba Cloud.

      • Resource group level: As permissões se aplicam apenas dentro do grupo de recursos especificado. Após fazer login, o usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.

        Nota

        1. O sistema marca políticas de sistema de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos da nuvem ou gerenciamento completo do RAM. Conceda essas políticas com cautela.

        2. Para exemplos de autorização de grupo de recursos, consulte Control RAM user access to specific ECS instances.

   2. Principal:

      O principal é o usuário do RAM que recebe as permissões. Na página Users, o sistema seleciona automaticamente o usuário atual. Na página Grants, selecione manualmente o usuário. A seleção em lote é suportada.

   3. Em All Types, clique em Custom Policy. Na caixa de pesquisa, insira ASMPolicy1 e clique em ASMPolicy1.

      Nota

      É possível anexar até cinco políticas por vez. Para anexar mais políticas, repita este procedimento.

   4. Clique em OK.

5. Revise o resultado da autorização e clique em Close.

Cenário 1: Conceder permissões para uma única malha

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "servicemesh:*",
      "Resource": "acs:servicemesh:*:*:servicemesh/<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "servicemesh:DescribeServiceMeshes",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/audit-<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/istio-<ServicemeshId>"
    }
  ],
  "Version": "1"
}

Cenário 2: Conceder acesso de leitura/gravação a recursos Istio

A política de sistema integrada AliyunASMReadOnlyAccess concede a um usuário ou função do RAM permissões somente leitura no Service Mesh (ASM) da Alibaba Cloud. No entanto, um usuário ou função do RAM com essa política não pode gerenciar recursos Istio na malha.

Use a política a seguir para conceder permissões de leitura e gravação para recursos Istio. Depois que essa política for concedida a um usuário ou função do RAM, ele poderá usar o console ASM para gerenciar recursos Istio na malha, mas não poderá fazer alterações em outras partes da malha, como configurações de recursos.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:List*",
                "servicemesh:Describe*",
                "servicemesh:Get*",
                "servicemesh:InvokeApiServer"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:ListLogStores",
                "log:ListDashboard",
                "log:GetDashboard",
                "log:ListSavedSearch"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/audit-*"
        }
    ],
    "Version": "1"
}

Cenário 3: Conceder permissões de autorização RBAC

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:DescribeUserPermissions",
                "servicemesh:GrantUserPermissions",
                "servicemesh:DescribeServiceMeshes",
                "servicemesh:DescribeUsersWithPermissions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ims:ListUserBasicInfos",
            "Resource": "*"
        }
    ],
    "Version": "1"
}