Auto Scaling:Gerencie recursos do Auto Scaling com autenticação no nível de recurso

Informações básicas

• O gerenciamento de permissões da Alibaba Cloud utiliza políticas. Configure políticas relacionadas ao RAM com base em diferentes funções. Na política, defina permissões no nível de recurso e anexe uma ou mais políticas a um usuário do RAM ou a um grupo de usuários. Para obter mais informações sobre políticas, consulte Visão geral de políticas.

• Gerenciar permissões para recursos do Auto Scaling sem autenticação no nível de recurso é pouco prático. Por exemplo, você fica limitado a conceder permissões em um nível granular amplo, como para todos os recursos dentro de uma região. A autenticação no nível de recurso do Auto Scaling oferece maior flexibilidade ao permitir a concessão de permissões para recursos específicos.

  Nota

  Para obter mais informações sobre o RAM, consulte O que é o RAM?.

Cenários

Os cenários a seguir descrevem como implementar a autenticação no nível de recurso.

APIs sem autenticação no nível de recurso

Após anexar uma política que concede permissões no nível de recurso a um usuário do RAM, observe que a autenticação no nível de recurso não é compatível com as seguintes operações de API.

Procedimento

Cenário 1: Crie grupos de dimensionamento e configure a política

1. Crie dois grupos de dimensionamento.

   Para obter mais informações, consulte Gerencie grupos de dimensionamento.

   • Grupo de dimensionamento 1: nome asg-001, ID asg-bp17np35ywjwh2cx****.

   • Grupo de dimensionamento 2: nome asg-002, ID asg-bp1c5pl2qc6ozgbl****.

2. Faça login no RAM console.

3. Crie uma política personalizada.

   Para obter mais informações, consulte Criar uma política personalizada.

   Essa política personalizada permite visualizar, modificar e excluir o grupo de dimensionamento asg-001 no console do Auto Scaling ou por meio de chamadas de API. Ela nega essas operações em asg-002.

   Exemplo de política personalizada:

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "ess:*",
               "Resource": "acs:ess:cn-hangzhou:160998252992****:scalinggroup/asg-bp17np35ywjwh2cx****"
           },
           {
               "Effect": "Deny",
               "Action": "ess:*",
               "Resource": "acs:ess:cn-hangzhou:160998252992***8:scalinggroup/asg-bp1c5pl2qc6ozgbl****"
           },
           {
              "Effect": "Allow",
              "Action": [
                      "ess:DescribeRegions",
                      "ess:CreateScheduledTask",
                      "ess:ModifyScheduledTask",
                      "ess:DescribeScheduledTasks",
                      "ess:DeleteScheduledTask",
                      "ess:CreateAlarm",
                      "ess:DescribeAlarms",
                      "ess:ModifyAlarm",
                      "ess:EnableAlarm",
                      "ess:DeleteAlarm"
                   ],
               "Resource": "*"
           }
       ]
   }

4. Anexe a política personalizada ao usuário do RAM.

   Para obter mais informações, consulte Conceder permissões a um usuário do RAM.

5. Use o console do Auto Scaling ou chame operações de API para visualizar, modificar e excluir asg-001 e asg-002.

   Você pode executar operações normais, como visualizar, modificar e excluir, no grupo de dimensionamento asg-001. No entanto, não é possível realizar essas operações em asg-002. O sistema retorna um erro indicando que a autenticação no nível de recurso está funcionando.

   Receber o código de erro Forbidden.Unauthorized e a mensagem "The user is not authorized to perform this operation because the user is not granted the required permissions. Please grant permissions and try again." confirma que a autenticação no nível de recurso está operante.

Cenário 2: Configure a política e crie grupos de dimensionamento

1. Faça login no RAM console.

2. Crie uma política personalizada.

   Para obter mais informações, consulte Criar uma política personalizada.

   Essa política personalizada permite criar grupos de dimensionamento na região China (Hangzhou), seja no console do Auto Scaling ou usando operações de API. Ela nega essas operações na região China (Pequim).

   Exemplo de política personalizada:

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "ess:*",
               "Resource": "acs:ess:cn-hangzhou:160998252992****:*"
           },
           {
               "Effect": "Deny",
               "Action": "ess:*",
               "Resource": "acs:ess:cn-beijing:160998252992****:*"
           },
           {  
              "Effect": "Allow",
              "Action": [
                      "ess:DescribeRegions",
                      "ess:CreateScheduledTask",
                      "ess:ModifyScheduledTask",
                      "ess:DescribeScheduledTasks",
                      "ess:DeleteScheduledTask",
                      "ess:CreateAlarm",
                      "ess:DescribeAlarms",
                      "ess:ModifyAlarm",
                      "ess:EnableAlarm",
                      "ess:DeleteAlarm"
                   ],
               "Resource": "*"                       
           }
       ]
   }

3. Anexe a política personalizada ao usuário do RAM.

   Para obter mais informações, consulte Conceder permissões a um usuário do RAM.

4. Use o console do Auto Scaling ou chame operações de API para criar grupos de dimensionamento.

   Você pode criar grupos de dimensionamento na região China (Hangzhou), mas não na região China (Pequim). O sistema retorna um erro indicando que a autenticação no nível de recurso está funcionando.

   Receber o código de erro Forbidden.Unauthorized e a mensagem "The user is not authorized to perform this operation because the user is not granted the required permissions. Please grant permissions and try again." confirma que a autenticação no nível de recurso está operante.

Tópicos relacionados

• Para conceder permissões a um usuário do RAM programaticamente, consulte a operação AttachPolicyToUser.

• Para criar uma política personalizada programaticamente, consulte a operação CreatePolicy.

• Para criar um ou mais grupos de dimensionamento programaticamente, consulte a operação CreateScalingGroup.

• Para gerenciar permissões usando autenticação baseada em tags, consulte Gerencie permissões de grupo de dimensionamento com autenticação baseada em tags.

• Para agrupar e gerenciar recursos de nuvem usando grupos de recursos, consulte Usar grupos de recursos para gerenciar grupos de dimensionamento.