Elastic Container Instance:Use tags to authenticate a RAM user

Etapa 1: Criar uma política personalizada e anexá-la ao usuário do RAM

1. Faça logon no console do RAM com sua conta Alibaba Cloud.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Na página Policies, clique em Create Policy.

4. Clique na aba Import Policy. Na caixa de diálogo, selecione System Policy na lista suspensa Policy Template, pesquise AliyunECIFullAccess na caixa Filter templates, selecione a política e clique em Import. A política AliyunECIFullAccess é a padrão para o ECI. Ela concede permissões para operar recursos do ECI, consultar dependências como grupos de segurança e Virtual Private Clouds (VPCs), além de criar a função vinculada ao serviço do ECI.

5. Clique na aba JSON e substitua o documento da política pelo seguinte conteúdo. A política mapeia cada requisito para uma chave de condição específica:

   • acs:RequestTag verifica a tag enviada na solicitação (usada para operações de criação e descrição).

   • acs:ResourceTag verifica a tag já existente no recurso de destino (usada para operações de gerenciamento).

   Cada instrução inclui Effect , Action , Resource e, opcionalmente, Condition . Para mais informações, consulte Estrutura e sintaxe de políticas e Elementos de políticas .

   Requisito	Ação	Chave de condição	Valor da condição
   Criar com tag	eci:Create*	acs:RequestTag/env	test
   Operar recursos com tag	eci:*	acs:ResourceTag/env	test
   Visualizar recursos com tag	eci:Describe*	acs:RequestTag/env	test

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "eci:Create*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:ResourceTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:Describe*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Action": ["ecs:DescribeSecurityGroups"],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": [
           "vpc:DescribeVSwitches",
           "vpc:DescribeVpcs",
           "vpc:DescribeEipAddresses"
         ],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": [
               "eci.aliyuncs.com",
               "vnode.eci.aliyuncs.com"
             ]
           }
         }
       }
     ]
   }

6. Clique em Next to edit policy information, insira um nome para a política e clique em OK.

7. Anexe a política ao usuário do RAM:

   1. No painel de navegação à esquerda, escolha Identities > Users.

   2. Caso ainda não tenha um usuário do RAM, crie um. Para mais informações, consulte Criar um usuário do RAM.

   3. Anexe a política personalizada ao usuário do RAM. Para mais informações, consulte Conceder permissões a um usuário do RAM.

   A política acima abrange o acesso via API. Se o usuário do RAM também precisar de acesso ao console, anexe políticas adicionais. Para mais informações, consulte Conceder permissões a usuários do RAM .

Etapa 2: Verificar a política

Faça logon no console do OpenAPI Explorer como o usuário do RAM e teste cada operação: