Use resource groups for fine-grained access control - Cloud Enterprise Network: Central de Documentação do Alibaba Cloud

Como funciona

Os grupos de recursos organizam seus recursos por projeto ou ambiente. Após agrupar os recursos, associe uma política RAM a uma identidade (como usuário RAM, grupo de usuários ou função) para restringir as permissões exclusivamente àquele grupo. Para mais informações, consulte Agrupamento de recursos e autorização.

Essa abordagem oferece dois benefícios principais:

Controle de acesso refinado: Em vez de conceder permissões em toda a conta, limite o acesso de uma identidade apenas aos recursos de um grupo específico. Isso ajuda a isolar cargas de trabalho de projetos distintos e reduz o risco de acessos não intencionais.
Gestão simplificada: Quando novos recursos são adicionados a um grupo de recursos, as identidades RAM com permissões restritas a esse grupo obtêm acesso automaticamente. Não é necessário atualizar as políticas RAM sempre que um novo recurso for criado.

Conceder permissões no nível de grupo de recursos a um usuário RAM

Esta seção demonstra como conceder a um usuário RAM permissão para acessar apenas os recursos do Cloud Enterprise Network (CEN) dentro de um grupo de recursos específico.

1. Pré-requisitos

Criar um usuário RAM.
Crie um grupo de recursos e garanta que os recursos desejados estejam nele. Caso precise de ajuda, consulte Criar um grupo de recursos, Adicionar recursos a um grupo de recursos automaticamente e Adicionar recursos a um grupo de recursos manualmente.

2. Conceder permissões

Você pode conceder permissões no nível de grupo de recursos pelo console do Resource Management ou pelo console RAM.

Console do Resource Management

Faça login no console do Resource Management.
Na página Resource Group, localize o grupo de recursos desejado e clique em Permission Management na coluna Actions.
Na aba Permissions, clique em Grant Permission.
No painel Grant Permission, configure o principal e a política de acesso.
- Principal: Selecione um usuário RAM.
- Policy: Escolha uma System Policy ou uma Custom Policy. Para mais detalhes, consulte Criar uma política de permissão personalizada.
Clique em OK.

Para mais informações, consulte Conceder permissões em grupos de recursos a uma identidade RAM.

Console RAM

Faça login no console RAM com uma conta Alibaba Cloud ou uma conta de administrador RAM.
No painel de navegação à esquerda, escolha Identities > Users. Na página Users, localize o usuário RAM desejado e clique em Attach Policy na coluna Actions.
No painel Attach Policy, adicione permissões ao usuário RAM.
- Resource Scope: Selecione Resource Group.
- Principal: Selecione um usuário RAM existente ou o usuário RAM criado na etapa anterior.
- Policy: Escolha uma System Policy ou uma Custom Policy. Para mais detalhes, consulte Criar uma política de permissão personalizada.
Clique em OK.

Para mais informações, consulte Gerenciar permissões de usuário RAM.

Recursos compatíveis

Os seguintes recursos do Cloud Enterprise Network (CEN) oferecem suporte à autorização no nível de grupo de recursos:

Serviço Alibaba Cloud

Código do service

Tipo de recurso

Cloud Enterprise Network (CEN)

cen

bandwidthpackage : plano de largura de banda

Cloud Enterprise Network (CEN)

cen

cen : instância CEN

Nota

Para solicitar suporte a tipos de recursos não listados aqui, envie feedback pelo console do Resource Management.

Ações não compatíveis

As ações abaixo do Cloud Enterprise Network (CEN) não oferecem suporte à autorização no nível de grupo de recursos:

Ação

Descrição

cen:CheckTransitRouterService

Consulta se o recurso transit router está ativado na sua conta Alibaba Cloud.

cen:CreateFlowlog

Cria um flow log.

cen:CreateTransitRouterConnectPeer

-

cen:CreateTransitRouterPolicyBasedRoute

-

cen:DeleteRouteMapRule

-

cen:DeleteTransitRouterConnectAttachment

-

cen:DeleteTransitRouterConnectPeer

-

cen:DeleteTransitRouterPolicyBasedRoute

-

cen:DeleteTransitRouterPolicyTable

-

cen:DescribeFlowLogs

-

cen:DescribeGrantRulesToResource

Consulta informações sobre as permissões que a conta Alibaba Cloud de uma instância de rede concedeu a uma instância do Cloud Enterprise Network (CEN) em outra conta Alibaba Cloud, o id da instância CEN e a conta Alibaba Cloud responsável pelo pagamento das taxas da instância de rede.

cen:DescribeRouteConflict

Consulta rotas conflitantes em uma instância de rede.

cen:DescribeRouteMaps

-

cen:DescribeTagKeys

-

cen:DescribeTags

-

cen:DescribeTransitRouterPolicyBasedRoutes

-

cen:DescribeTransitRouterPolicyTableAssociations

-

cen:DisableCenCrossBorderPackage

-

cen:DisassociateTransitRouterPolicyTable

-

cen:EnableCenCrossBorderPackage

-

cen:GrantInstanceToTransitRouter

Concede a um transit router permissões sobre instâncias de rede pertencentes a outra conta Alibaba Cloud. Para conectar um transit router da Conta B a uma instância de rede da Conta A, use a Conta A para conceder permissões ao transit router da Conta B.

cen:ListCenCrossBorderPackageForCompliance

-

cen:ListCenCrossBorderPackageForComplianceCheck

-

cen:ListCenCrossBorderPackageUsageDetail

-

cen:ListCrossBorderCdtUsageDetailForCenInstance

-

cen:ListDataTransferBandwidthLimit

-

cen:ListTransitRouterAvailableResource

-

cen:ListTransitRouterConnectPeers

-

cen:ListVbrRelatedTransitRouterAttachments

-

cen:ModifyCenUserQuota

-

cen:ModifyGrantInstanceToTransitRouter

-

cen:OpenTransitRouterService

Ativa o recurso transit router.

cen:QueryTransitRouterAttachmentPrice

-

cen:RemoveVbrFromCenBondVbr

-

cen:RevokeInstanceFromTransitRouter

Revoga as permissões que um transit router possui sobre instâncias de rede pertencentes a outra conta Alibaba Cloud.

cen:UpdateRouteMapRule

-

cen:UpdateTransitRouterCcnAttachmentTransitRegion

-

cen:UpdateTransitRouterConnectAttachmentAttribute

-

cen:UpdateTransitRouterPolicyBasedRoute

-

cen:UpdateTransitRouterPolicyTable

-

cen:VerifyCenCrossBorderPackageForCompliance

-

Para essas ações, crie uma política personalizada com o escopo definido como Account.

Adapte os exemplos de política abaixo conforme sua necessidade:

Permitir acesso somente leitura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cen:CheckTransitRouterService",
        "cen:DescribeFlowLogs",
        "cen:DescribeGrantRulesToResource",
        "cen:DescribeRouteConflict",
        "cen:DescribeRouteMaps",
        "cen:DescribeTagKeys",
        "cen:DescribeTags",
        "cen:DescribeTransitRouterPolicyBasedRoutes",
        "cen:DescribeTransitRouterPolicyTableAssociations",
        "cen:ListCenCrossBorderPackageForCompliance",
        "cen:ListCenCrossBorderPackageForComplianceCheck",
        "cen:ListCenCrossBorderPackageUsageDetail",
        "cen:ListCrossBorderCdtUsageDetailForCenInstance",
        "cen:ListDataTransferBandwidthLimit",
        "cen:ListTransitRouterAvailableResource",
        "cen:ListTransitRouterConnectPeers",
        "cen:ListVbrRelatedTransitRouterAttachments",
        "cen:QueryTransitRouterAttachmentPrice"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acesso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cen:CheckTransitRouterService",
        "cen:CreateFlowlog",
        "cen:CreateTransitRouterConnectPeer",
        "cen:CreateTransitRouterPolicyBasedRoute",
        "cen:DeleteRouteMapRule",
        "cen:DeleteTransitRouterConnectAttachment",
        "cen:DeleteTransitRouterConnectPeer",
        "cen:DeleteTransitRouterPolicyBasedRoute",
        "cen:DeleteTransitRouterPolicyTable",
        "cen:DescribeFlowLogs",
        "cen:DescribeGrantRulesToResource",
        "cen:DescribeRouteConflict",
        "cen:DescribeRouteMaps",
        "cen:DescribeTagKeys",
        "cen:DescribeTags",
        "cen:DescribeTransitRouterPolicyBasedRoutes",
        "cen:DescribeTransitRouterPolicyTableAssociations",
        "cen:DisableCenCrossBorderPackage",
        "cen:DisassociateTransitRouterPolicyTable",
        "cen:EnableCenCrossBorderPackage",
        "cen:GrantInstanceToTransitRouter",
        "cen:ListCenCrossBorderPackageForCompliance",
        "cen:ListCenCrossBorderPackageForComplianceCheck",
        "cen:ListCenCrossBorderPackageUsageDetail",
        "cen:ListCrossBorderCdtUsageDetailForCenInstance",
        "cen:ListDataTransferBandwidthLimit",
        "cen:ListTransitRouterAvailableResource",
        "cen:ListTransitRouterConnectPeers",
        "cen:ListVbrRelatedTransitRouterAttachments",
        "cen:ModifyCenUserQuota",
        "cen:ModifyGrantInstanceToTransitRouter",
        "cen:OpenTransitRouterService",
        "cen:QueryTransitRouterAttachmentPrice",
        "cen:RemoveVbrFromCenBondVbr",
        "cen:RevokeInstanceFromTransitRouter",
        "cen:UpdateRouteMapRule",
        "cen:UpdateTransitRouterCcnAttachmentTransitRegion",
        "cen:UpdateTransitRouterConnectAttachmentAttribute",
        "cen:UpdateTransitRouterPolicyBasedRoute",
        "cen:UpdateTransitRouterPolicyTable",
        "cen:VerifyCenCrossBorderPackageForCompliance"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Conceder permissões no nível da conta permite o acesso a todos os recursos relevantes nela contidos. Siga sempre o princípio do menor privilégio (PoLP).

Perguntas frequentes

Como identificar o grupo de recursos ao qual um recurso pertence?

Método 1: Pelo console do service
- Acesse o console do service onde o recurso foi criado. Na página de detalhes do recurso, o grupo de recursos geralmente aparece na seção de informações básicas.
Método 2: Pelo console do Resource Management
- Faça login no console do Resource Management.
- Escolha Resource Center > Resource Search.
- No painel à esquerda, selecione a conta proprietária do recurso desejado (o padrão é Current Account).
- Utilize condições de filtro para localizar seu recurso.
- A coluna Resource Group Name indica o grupo ao qual o recurso pertence.

Como visualizar todos os recursos de um grupo de recursos específico?

Método 1:
- Faça login no console do Resource Management.
- Escolha Resource Center > Resource Search.
- No painel à esquerda, sob a conta proprietária dos recursos (o padrão é Current Account), clique no nome do grupo de recursos desejado.
- No painel à direita, selecione o service cloud na lista suspensa Select resource types.
- Todos os recursos desse grupo serão exibidos.
Método 2:
- Faça login no console do Resource Management.
- Escolha Resource Group > Resource Group.
- Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions.
- Na página de gerenciamento de recursos, selecione o service cloud na lista suspensa Service.
- Todos os recursos desse grupo serão exibidos.

Como mover vários recursos para outro grupo de recursos em lote?

Faça login no console do Resource Management.
Escolha Resource Group > Resource Group.
Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions.
Na página de gerenciamento de recursos, utilize condições de filtro para encontrar os recursos que deseja mover.
Marque a caixa de seleção de cada recurso.
Na parte inferior da página, clique em Transfer.
Na caixa de diálogo, selecione o grupo de recursos de destino e clique em Confirm.