The Beginner's Guide:Create a custom policy

Exemplos comuns de políticas personalizadas

Os exemplos a seguir demonstram como configurar políticas personalizadas para cenários de autorização comuns usando o editor de scripts.

Autorização de operações no nível da conta

Operações no nível da conta, como criar usuários RAM e AccessKeys, exigem que você defina o elemento Resource como "*" e configure o escopo de autorização como Entire Alibaba Cloud Account. Não é possível restringir essas operações a um grupo de recursos específico.

O exemplo abaixo concede permissões para criar usuários RAM e AccessKeys:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey"
      ],
      "Resource": "*"
    }
  ]
}

Permitir que usuários RAM alterem suas próprias senhas

Este exemplo concede a um usuário RAM as permissões mínimas necessárias para alterar sua própria senha de logon:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:ChangePassword",
      "Resource": "*"
    }
  ]
}

Acesso somente leitura a resources específicos

O exemplo a seguir concede acesso somente leitura a uma instância ECS específica. Substitua i-xxx pelo ID real da sua instância.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:Describe*",
      "Resource": "acs:ecs:*:*:instance/i-xxx"
    }
  ]
}

Autorização granular do Simple Log Service

Este exemplo concede permissões para consultar logs e criar visualizações de armazenamento no Simple Log Service. Substitua exampleproject e examplelogstore pelos nomes reais do seu projeto e Logstore.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore",
        "acs:log:*:*:project/exampleproject"
      ]
    }
  ]
}

Ações específicas de product indisponíveis no editor visual

Algumas ações não aparecem no editor visual e só podem ser configuradas via editor de scripts. Exemplos incluem:

• Security Center: yundun-sc:DescribeCdnIpList

• Acesso ao console Milvus: CreateConnection, DbmConnect e outras ações relacionadas

• Operation Orchestration Service (OOS): oos:StartExecution

O exemplo a seguir concede permissão para executar execuções do OOS:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oos:StartExecution",
      "Resource": "*"
    }
  ]
}

Para ações que não estão disponíveis no editor visual, clique na aba Script Editor e insira o nome da ação manualmente.

Implantação de ECS (permissões mínimas)

A implantação de uma instância ECS requer uma combinação de ações em vários services. O exemplo abaixo concede as permissões mínimas necessárias para criar uma instância ECS, incluindo acesso somente leitura aos resources de VPC e grupo de segurança necessários durante a criação da instância:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

• ecs:RunInstances: cria e inicia uma instância ECS.

• ecs:DescribeInstances: consulta detalhes da instância.

• vpc:DescribeVpcs e vpc:DescribeVSwitches: permitem selecionar uma VPC e um vSwitch durante a criação da instância.

• ecs:DescribeSecurityGroups: permite selecionar um grupo de segurança durante a criação da instância.

Configuração de rede VPC (permissões mínimas)

Este exemplo concede as permissões mínimas necessárias para criar uma VPC e um vSwitch:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": "*"
    }
  ]
}

• vpc:CreateVpc: cria uma VPC.

• vpc:CreateVSwitch: cria um vSwitch.

• vpc:CreateSecurityGroup: cria um grupo de segurança.

• vpc:DescribeVpcs e vpc:DescribeVSwitches: consultam resources de rede.

Solução de problemas de erro de permissão negada

Quando um usuário RAM recebe um erro AccessForbidden ou uma mensagem de permissão negada no console, siga estas etapas para identificar e resolver o problema:

Etapa 1: Use a ferramenta API Troubleshoot para identificar permissões ausentes

Utilize a ferramenta API Troubleshoot da Alibaba Cloud e insira o RequestID da solicitação com falha. A ferramenta identifica exatamente qual AuthAction está faltando, permitindo que você adicione a permissão necessária à sua política personalizada.

Etapa 2: Verifique o escopo de autorização

Certifique-se de que o escopo de autorização corresponde ao tipo de operação:

• Operações no nível da conta (como ram:CreateUser): o escopo de autorização deve ser definido como Entire Alibaba Cloud Account. Restringir o escopo a um grupo de recursos específico faz com que essas operações falhem.

• Operações cientes de grupo de recursos: verifique se a política está anexada com o escopo de grupo de recursos correto ou defina o escopo como Entire Alibaba Cloud Account.

Etapa 3: Verifique permissões de dependência implícitas

Algumas operações exigem permissões adicionais além da ação principal. Por exemplo:

• Consultas do Simple Log Service: além de log:GetLogStoreLogs, talvez sejam necessárias as permissões log:GetProject e log:GetLogStore.

• Login no console Milvus: além das ações principais de gerenciamento, são necessárias as permissões CreateConnection e DbmConnect.

Consulte a documentação de autorização do RAM para o service correspondente da Alibaba Cloud a fim de identificar todas as permissões necessárias.

Reduzir o tamanho da política com curingas

Combine várias ações que compartilham o mesmo prefixo em um curinga, o que pode reduzir significativamente o tamanho da política. Por exemplo, altere a seguinte política:

{"Action": ["oss:GetBucket", "oss:GetObject", "oss:GetBucketAcl", "oss:GetBucketLogging"]}

para:

{"Action": ["oss:Get*"]}

Dividir uma política por função

Divida uma política grande que abrange múltiplas funções em políticas separadas e anexe cada uma a um usuário RAM ou grupo de usuários diferente. Por exemplo, separe operações de leitura e escrita em duas políticas:

• Política somente leitura: {"Action": ["oss:Get*", "oss:List*"]}

• Política de escrita: {"Action": ["oss:Put*", "oss:Delete*"]}

Dividir uma política por resource

Divida as políticas por resource. Por exemplo, separe as permissões de diferentes buckets do OSS em políticas distintas, de modo que cada política conceda permissões apenas para um bucket específico. Isso evita que uma única política gerencie muitos resources.

Notas de uso

• Ao configurar uma política no editor visual, evite selecionar todas as ações. Escolha o conjunto de ações com menor privilégio para manter o documento da política o menor possível.

• Após dividir uma política, anexe cada política resultante aos usuários RAM ou grupos de usuários separadamente, o que aumenta a complexidade de gerenciamento.

• Combinar ações com curingas pode causar autorização excessiva. Revise cuidadosamente o escopo de permissões para evitar conceder mais privilégios do que o negócio realmente exige.

• Uma política entra em vigor imediatamente após ser anexada. Não é necessário aguardar.

Por que não encontro certas permissões no editor visual ou por que o salvamento da política falha?

Esse problema pode ocorrer pelos seguintes motivos:

A ação não é compatível ou ainda não está listada no editor visual

Algumas ações de API recém-lançadas ou de baixo nível, como oos:StartExecution e padrões com curingas como swas-open:*, podem não estar disponíveis no editor visual. O editor visual também pode não lidar adequadamente com padrões de curinga sob certas restrições de resources. Para resolver esse problema, clique na aba Script Editor e insira o nome da ação manualmente.

O nome da ação está incorreto

Alguns nomes de ações de API possuem diferenças entre singular e plural. Por exemplo, o nome correto da ação é ecs:ReInitDisks, e não ecs:ReInitDisk. Verifique o nome exato da ação na referência da API do service correspondente da Alibaba Cloud.

A política de sistema não está sincronizada

Se não conseguir encontrar uma política de sistema específica, como AliyunAccountCenterFullAccess, localize o conteúdo JSON oficial dessa política de sistema e recrie-a como uma política personalizada usando o Script Editor.

Falha na validação do formato JSON

Verifique se a sintaxe do seu JSON está correta. Erros comuns incluem:

• Definir o campo Resource mais de uma vez em uma única instrução. Para especificar vários resources, liste-os como um array JSON dentro de um único campo Resource. Por exemplo: "Resource": ["acs:ecs:*:*:instance/i-aaa", "acs:ecs:*:*:instance/i-bbb"].

• Usar formatos de ARN incorretos. Certifique-se de que o ARN segue o padrão acs:<service>:<region>:<account-id>:<resource-type>/<resource-id>.

Por que não consigo acessar o console ou realizar operações após conceder FullAccess ou uma política personalizada?

Esse problema pode ocorrer pelos seguintes motivos:

Dependência de acesso ao console

Alguns consoles de products exigem permissões básicas de acesso ao console, como PowerUserAccess, além das permissões específicas do negócio. Conceder apenas uma política FullAccess específica do negócio pode não ser suficiente para carregar a página do console. Anexe a política de acesso base necessária ao usuário RAM.

Incompatibilidade de escopo de autorização

Verifique se o escopo de autorização selecionado ao anexar a política corresponde à definição de Resource na política. Por exemplo, operações no nível de instância para services como OceanBase exigem que o escopo de autorização seja definido como Entire Alibaba Cloud Account, com a política especificando o ARN da instância.

Prioridade e conflito de políticas

Verifique se uma instrução Deny em outra política está substituindo a permissão Allow ou se existe algum conflito entre suas políticas personalizadas e as políticas de sistema. Para cenários complexos, como acesso à rede pública MQTT, se uma política personalizada não entrar em vigor, tente usar a política de sistema oficialmente recomendada (como AliyunMQFullAccess) para verificar a conectividade antes de continuar solucionando problemas na sua política personalizada.