Elastic Container Instance:Use tags para autenticar um usuário do RAM

Etapa 1: Crie uma política personalizada e anexe-a ao usuário do RAM

1. Faça logon no console do RAM com sua conta Alibaba Cloud.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Na página Policies, clique em Create Policy.

4. Clique na guia Import Policy. Na caixa de diálogo, selecione System Policy na lista suspensa Policy Template, pesquise AliyunECIFullAccess na caixa Filter templates, selecione a política e clique em Import. AliyunECIFullAccess é a política padrão para o ECI. Ela concede permissões para operar recursos do ECI, consultar dependências como grupos de segurança e VPCs, e criar a função vinculada ao serviço do ECI.

5. Clique na guia JSON Editor e substitua o documento de política pelo seguinte: A política mapeia cada requisito para uma chave de condição específica:

   • acs:RequestTag verifica a tag enviada na solicitação (usada para operações de criação e descrição).

   • acs:ResourceTag verifica a tag já presente no recurso de destino (usada para operações de execução).

   Cada instrução inclui Effect , Action , Resource e, opcionalmente, Condition . Para obter mais informações, consulte Policy structure and syntax e Policy elements .

   Requisito	Ação	Chave de condição	Valor da condição
   Crie com tag	eci:Create*	acs:RequestTag/env	test
   Operar recursos com tag	eci:*	acs:ResourceTag/env	test
   Visualize recursos com tag	eci:Describe*	acs:RequestTag/env	test

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "eci:Create*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:ResourceTag/env": "test"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "eci:Describe*",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "acs:RequestTag/env": "test"
           }
         }
       },
       {
         "Action": ["ecs:DescribeSecurityGroups"],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": [
           "vpc:DescribeVSwitches",
           "vpc:DescribeVpcs",
           "vpc:DescribeEipAddresses"
         ],
         "Resource": "*",
         "Effect": "Allow"
       },
       {
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": [
               "eci.aliyuncs.com",
               "vnode.eci.aliyuncs.com"
             ]
           }
         }
       }
     ]
   }

6. Clique em Next to edit policy information, insira um nome para a política e clique em OK.

7. Anexe a política ao usuário do RAM:

   1. No painel de navegação à esquerda, escolha Identities > Users.

   2. Se você ainda não tiver um usuário do RAM, crie um. Para obter mais informações, consulte Criar um usuário RAM.

   3. Anexe a política personalizada ao usuário do RAM. Para obter mais informações, consulte Gerenciar permissões de usuário RAM.

   A política acima abrange o acesso baseado em API. Se o usuário do RAM também precisar de acesso ao console, anexe políticas adicionais. Para obter mais informações, consulte Grant permissions to RAM users .

Etapa 2: Verifique a política

Faça logon no console do OpenAPI Explorer como o usuário do RAM e teste cada operação: