Bastionhost:Conceder permissões de gerenciamento a um usuário do RAM

Tipos de permissão

O Bastionhost oferece suporte aos seguintes tipos de permissão. Cada tipo restringe as ações que o usuário do RAM pode executar no console do Bastionhost.

Pré-requisitos

Antes de começar, certifique-se de que você tem:

• Um usuário do RAM criado na conta da Alibaba Cloud proprietária da instância do Bastionhost.

• (Opcional). Um dispositivo de autenticação multifator (MFA) virtual vinculado ao usuário do RAM. Quando um dispositivo MFA está vinculado, o Bastionhost verifica a identidade do usuário do RAM usando as configurações de MFA definidas em cada logon.

Conceder permissões a um usuário do RAM

1. Faça logon no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, localize o usuário do RAM e clique em Add Permissions na coluna Actions. Para conceder permissões a vários usuários do RAM de uma vez, selecione-os e clique em Add Permissions na parte inferior da página.

4. No painel Add Permissions, configure os seguintes parâmetros:

   • Resource Scope: Selecione o escopo da autorização.

     • Account: A autorização entra em vigor na conta atual da Alibaba Cloud.

     • ResourceGroup: As permissões aplicam-se a um grupo de recursos específico.

     Importante

     Se você selecionar ResourceGroup, verifique se o service de nuvem oferece suporte a grupos de recursos. Consulte Serviços compatíveis com grupos de recursos. Para obter instruções sobre como conceder permissões com escopo de grupo de recursos, consulte Usar um grupo de recursos para conceder a um usuário do RAM as permissões para gerenciar uma instância específica do ECS.

   • Principal: O usuário do RAM que receberá as permissões. O usuário do RAM atual é selecionado automaticamente.

   • Policy: Selecione uma ou mais políticas correspondentes aos tipos de permissão que deseja conceder.

     Nota

     Ao criar uma instância do Bastionhost, além da permissão AliyunYundunBastionHostFullAccess, você também precisa da permissão AliyunBSSOrderAccess para pagar o pedido da instância. Sem essas permissões, a criação da instância falhará.

     • AliyunYundunBastionHostFullAccess: Fornece permissões totais para gerenciar o Bastionhost.

     • AliyunBSSOrderAccess: Concede permissões para visualizar, pagar e cancelar pedidos no User Center.

     A política AliyunYundunBastionHostFullAccess concede permissões apenas para gerenciar o Bastionhost e visualizar detalhes da instância. Ela não inclui as permissões necessárias para pagar pedidos no User Center. Portanto, não é possível criar uma instância do Bastionhost apenas com esta política.

5. Clique em Grant permissions.

6. Clique em Close.

Perguntas frequentes

P: O que devo fazer se a chamada de APIs do Bastionhost retornar um erro InvalidAccessKeyId ou unknown endpoint?

Execute as seguintes verificações em sequência para solucionar o problema:

1. Verifique as políticas de permissão: Confirme se o usuário do RAM recebeu a política AliyunYundunBastionHostFullAccess ou uma política personalizada que inclua as ações necessárias do Bastionhost. Permissões insuficientes podem causar falhas de autenticação da classe InvalidAccessKeyId.

2. Especifique o endpoint correto: Ao chamar APIs do Bastionhost, especifique explicitamente o endpoint regional. Por exemplo, use yundun-bastionhost.aliyuncs.com para a região China (Shanghai). O Bastionhost não oferece suporte à resolução padrão de endpoint; portanto, se nenhum endpoint for especificado, o SDK retornará um erro unknown endpoint.

3. Valide seu AK/SK: Confirme se o AccessKey ID e o AccessKey Secret são válidos e correspondem corretamente. Se suspeitar que o AccessKey Secret foi exposto ou está incorreto, crie um novo AccessKey para testes.

4. Verifique as permissões usando o OpenAPI Explorer: Utilize o OpenAPI Explorer com o AK/SK do usuário do RAM para testar a operação ListHostAccounts (especifique o parâmetro RegionId). Uma chamada bem-sucedida confirma que tanto as permissões quanto o AK/SK estão configurados corretamente.

P: O que devo fazer se um usuário do RAM relatar um erro de permissão ListTagResources ausente ao fazer logon no console de O&M do Bastionhost?

Causa: A política de permissão somente leitura predefinida para o Bastionhost não inclui a ação yundun-bastionhost:ListTagResources. Quando o console de O&M tenta carregar recursos de tag, a verificação de autorização falha e retorna um erro de permissão ausente.

Solução: Crie uma política de permissão personalizada no console do RAM e conceda-a ao usuário do RAM afetado:

1. Faça logon no console do RAM.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Clique em Create Policy e alterne para o modo de edição JSON.

4. Adicione a ação yundun-bastionhost:ListTagResources para o service Bastionhost.

5. Conclua a criação da política e, em seguida, conceda a política personalizada ao usuário do RAM de destino.

P: O que devo fazer se um usuário do RAM relatar permissões insuficientes ao chamar APIs de gerenciamento como GetWatermarkConfig?

Causa: Esse problema geralmente ocorre quando as permissões do usuário do RAM têm escopo limitado a um grupo de recursos que não inclui a instância do Bastionhost de destino. Mesmo que o usuário do RAM tenha recebido a política AliyunYundunBastionHostFullAccess ou outra política de gerenciamento, chamadas de api como GetWatermarkConfig falharão se o escopo do grupo de recursos não abranger a instância do Bastionhost acessada.

Solução: Execute uma das seguintes ações:

• No console do RAM, revise o escopo de autorização do usuário do RAM. Se a autorização no nível de grupo de recursos estiver configurada, garanta que o grupo de recursos inclua a instância do Bastionhost de destino.

• Altere o Resource Scope da concessão de permissão de ResourceGroup para Account para conceder acesso a todas as instâncias sob a conta atual da Alibaba Cloud.

Próximos passos

• Adicionar hosts

• Usar o recurso de gerenciamento de banco de dados

• Visão geral de O&M