Use grupos de recursos para controle de acesso granular - : Central de Documentação do Alibaba Cloud

Você pode usar o Resource Group para gerenciar recursos do Elastic Block Storage (EBS) como um conjunto e aplicar políticas do Resource Access Management (RAM) que autorizam ações apenas nos recursos dentro de um grupo específico. Isso permite aplicar o princípio do menor privilégio (PoLP) na sua conta Alibaba Cloud.

Nota

É possível restringir permissões a um grupo de recursos apenas para tipos de recursos compatíveis e ações. Para ações não compatíveis, qualquer escopo de grupo de recursos em uma política é ignorado, e as permissões devem ser concedidas no nível da conta.

Como funciona

Grupos de recursos organizam seus recursos por projeto ou ambiente. Após agrupar os recursos, você pode associar uma política do RAM a uma identidade (como um usuário do RAM, grupo de usuários ou função) que restrinja suas permissões exclusivamente a esse grupo. Para mais informações, consulte Agrupamento de recursos e autorização.

Essa abordagem oferece dois benefícios principais:

Controle de acesso granular: Em vez de conceder permissões em toda a conta, você pode limitar o acesso de uma identidade apenas aos recursos dentro de um grupo específico. Isso ajuda a isolar cargas de trabalho específicas de projetos e reduzir o risco de acesso não intencional.
Gerenciamento simplificado: Quando novos recursos são adicionados a um grupo de recursos, as identidades do RAM com permissões restritas a esse grupo obtêm acesso automaticamente. Não é necessário atualizar as políticas do RAM sempre que um novo recurso for criado.

Conceder permissões no nível de grupo de recursos a um usuário do RAM

Esta seção demonstra como conceder a um usuário do RAM permissão para acessar apenas os recursos do Elastic Block Storage (EBS) dentro de um grupo de recursos específico.

1. Pré-requisitos

Crie um usuário do RAM.
Crie um grupo de recursos e verifique se os recursos de destino estão nele. Se precisar de ajuda, consulte Criar um grupo de recursos, Adicionar recursos a um grupo de recursos automaticamente e Adicionar recursos a um grupo de recursos manualmente.

2. Conceder permissões

Você pode conceder permissões no nível de grupo de recursos pelo console do Resource Management ou pelo console do RAM.

Resource Management console

Faça logon no Resource Management console.
Na página Resource Group, localize o grupo de recursos de destino e clique em Manage Permission na coluna Actions.
Na aba Permissions, clique em Grant Permission.
No painel Grant Permission, configure o principal e a política de acesso.
- Principal: Selecione um usuário do RAM.
- Policy: Selecione uma System Policy ou uma Custom Policy. Para mais informações, consulte Criar uma política de permissão personalizada.
Clique em Grant permissions.

Para mais informações, consulte Conceder permissões em grupos de recursos a uma identidade do RAM.

RAM console

Faça logon no RAM console usando uma conta Alibaba Cloud ou uma conta de administrador do RAM.
No painel de navegação à esquerda, escolha Identities > Users. Na página Users, localize o usuário do RAM de destino e clique em Add Permissions na coluna Actions.
No painel Grant Permission, adicione permissões para o usuário do RAM.
- Resource Scope: Selecione Resource Group.
- Principal: Selecione um usuário do RAM existente ou o usuário do RAM criado na etapa anterior.
- Policy: Selecione uma System Policy ou uma Custom Policy. Para mais informações, consulte Criar uma política de permissão personalizada.
Clique em OK.

Para mais informações, consulte Gerenciar permissões de usuário do RAM.

Recursos compatíveis

Os seguintes recursos do Elastic Block Storage (EBS) oferecem suporte à autorização no nível de grupo de recursos:

Serviço Alibaba Cloud	Código do serviço	Tipo de recurso
Elastic Block Storage (EBS)	ebs	dedicatedblockstoragecluster : cluster de armazenamento em bloco dedicado
Elastic Block Storage (EBS)	ebs	disk : disco em nuvem
Elastic Block Storage (EBS)	ebs	diskreplicagroup : grupo consistente de pares de replicação
Elastic Block Storage (EBS)	ebs	diskreplicapair : par de replicação
Elastic Block Storage (EBS)	ebs	enterprisesnapshotpolicy : política de snapshot de nível empresarial
Elastic Block Storage (EBS)	ebs	solutioninstance : instância de solução

Nota

Para solicitar suporte para tipos de recursos não listados aqui, envie feedback pelo Resource Management console.

Ações não compatíveis

As seguintes ações do Elastic Block Storage (EBS) não oferecem suporte à autorização no nível de grupo de recursos:

Ação	Descrição
ebs:ApplyLensService	Cancela o Elastic Block Storage data insight (CloudLens for EBS).
ebs:BatchCreateDiagnoseReport	-
ebs:CancelLensService	Cancela o Elastic Block Storage data insight (CloudLens for EBS).
ebs:CreateApp	-
ebs:CreateDiagnoseReport	-
ebs:DeleteApp	-
ebs:DeleteDedicatedBlockStorageCluster	-
ebs:DescribeApps	-
ebs:DescribeDiagnoseReport	-
ebs:DescribeDiskEvents	Consulta os eventos de risco de um disco. Esta operação está sendo descontinuada. Migre para a nova operação DescribeEvents.
ebs:DescribeDiskMonitorData	Consulta dados de monitoramento detalhados de um disco.
ebs:DescribeDiskMonitorDataList	Consulta dados de monitoramento detalhados de vários discos. É possível consultar apenas os dados de desempenho de pico de discos ESSD AutoPL. Os dados são agregados por hora.
ebs:DescribeEvents	Consulta os eventos de risco de um disco.
ebs:DescribeLensMonitorDisks	Consulta um ou mais dispositivos do Elastic Block Storage (EBS) criados por você.
ebs:DescribeLensServiceStatus	Consulta o status do CloudLens for EBS.
ebs:DescribeMetricData	Consulta informações de monitoramento de métrica única
ebs:DescribeRegions	Consulta os detalhes das regiões nas quais os recursos do Elastic Block Storage (EBS) (como replicação assíncrona, CloudLens for EBS e Dedicated Block Storage Cluster) são suportados.
ebs:DescribeSolution	-
ebs:DescribeSolutionInstanceConfiguration	Consulta as configurações padrão de uma solução.
ebs:DescribeUserTagKeys	Função centralizada: Consulta tagKeys de snapshot de disco do usuário
ebs:DescribeUserTagValues	Função centralizada: Consulta tagValues de disco e snapshot do usuário
ebs:GetReport	Função centralizada: Obtém relatório de uso do usuário com reportId
ebs:ListAvailableDisksForReplicaPair	-
ebs:ListReplicaEdgeSupported	-
ebs:ListReports	Consulta relatórios históricos de um aplicativo específico.
ebs:ModifyApp	-
ebs:QueryDedicatedBlockStorageClusterDiskThroughputStatus	Consulta o status de throughput de um disco de cluster de armazenamento em bloco dedicado definido pela API SetDedicatedBlockStorageClusterDiskThroughput.
ebs:QueryDedicatedBlockStorageClusterInventoryData	Consulta os dados de tendência de capacidade de um cluster dedicado do Elastic Block Storage (EBS) dentro de um período específico, incluindo a capacidade disponível e a capacidade total.
ebs:QueryDedicatedBlockStorageClusterLogicalSpaceInventoryData	-
ebs:SetDedicatedBlockStorageClusterDiskThroughput	No cluster de armazenamento em bloco dedicado do tipo elástico, é possível definir o throughput (Bps) desejado para o disco de destino. Basta informar o ID do disco em nuvem e o throughput alvo, simplificando o processo de configuração.

Para essas ações, é necessário criar uma política personalizada com o escopo definido como Account.

Personalize os seguintes exemplos de política conforme necessário:

Permitir acesso somente leitura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ebs:DescribeApps",
        "ebs:DescribeDiagnoseReport",
        "ebs:DescribeDiskEvents",
        "ebs:DescribeDiskMonitorData",
        "ebs:DescribeDiskMonitorDataList",
        "ebs:DescribeEvents",
        "ebs:DescribeLensMonitorDisks",
        "ebs:DescribeLensServiceStatus",
        "ebs:DescribeMetricData",
        "ebs:DescribeRegions",
        "ebs:DescribeSolution",
        "ebs:DescribeSolutionInstanceConfiguration",
        "ebs:DescribeUserTagKeys",
        "ebs:DescribeUserTagValues",
        "ebs:GetReport",
        "ebs:ListAvailableDisksForReplicaPair",
        "ebs:ListReplicaEdgeSupported",
        "ebs:ListReports"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acesso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ebs:ApplyLensService",
        "ebs:BatchCreateDiagnoseReport",
        "ebs:CancelLensService",
        "ebs:CreateApp",
        "ebs:CreateDiagnoseReport",
        "ebs:DeleteApp",
        "ebs:DeleteDedicatedBlockStorageCluster",
        "ebs:DescribeApps",
        "ebs:DescribeDiagnoseReport",
        "ebs:DescribeDiskEvents",
        "ebs:DescribeDiskMonitorData",
        "ebs:DescribeDiskMonitorDataList",
        "ebs:DescribeEvents",
        "ebs:DescribeLensMonitorDisks",
        "ebs:DescribeLensServiceStatus",
        "ebs:DescribeMetricData",
        "ebs:DescribeRegions",
        "ebs:DescribeSolution",
        "ebs:DescribeSolutionInstanceConfiguration",
        "ebs:DescribeUserTagKeys",
        "ebs:DescribeUserTagValues",
        "ebs:GetReport",
        "ebs:ListAvailableDisksForReplicaPair",
        "ebs:ListReplicaEdgeSupported",
        "ebs:ListReports",
        "ebs:ModifyApp",
        "ebs:QueryDedicatedBlockStorageClusterDiskThroughputStatus",
        "ebs:QueryDedicatedBlockStorageClusterInventoryData",
        "ebs:QueryDedicatedBlockStorageClusterLogicalSpaceInventoryData",
        "ebs:SetDedicatedBlockStorageClusterDiskThroughput"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Conceder permissões no nível da conta permite acesso a todos os recursos relevantes na conta. Sempre siga o PoLP.

Perguntas frequentes

Como descubro a qual grupo de recursos um recurso pertence?

Método 1: Pelo console do serviço
- Acesse o console do serviço onde o recurso foi criado. Na página de detalhes do recurso, geralmente é possível encontrar o grupo de recursos listado na seção de informações básicas.
Método 2: Pelo Resource Management console
- Faça logon no Resource Management console.
- Escolha Resource Center > Resource Search.
- No painel à esquerda, selecione a conta proprietária do recurso de destino (o padrão é Current Account).
- Use condições de filtro para localizar o recurso.
- A coluna Resource Group mostra a qual grupo o recurso pertence.

Como visualizo todos os recursos em um grupo de recursos específico?

Método 1:
- Faça logon no Resource Management console.
- Escolha Resource Center > Resource Search.
- No painel à esquerda, na conta proprietária dos recursos (o padrão é Current Account), clique no nome do grupo de recursos desejado.
- No painel à direita, selecione o serviço em nuvem na lista suspensa Select resource types.
- Todos os recursos desse grupo serão exibidos.
Método 2:
- Faça logon no Resource Management console.
- Escolha Resource Group > Resource Group.
- Localize o grupo de recursos desejado e clique em Manage Resource na coluna Actions.
- Na página de gerenciamento de recursos, selecione o serviço em nuvem na lista suspensa Service.
- Todos os recursos desse grupo serão exibidos.

Como movo vários recursos para outro grupo de recursos em lote?

Faça logon no Resource Management console.
Escolha Resource Group > Resource Group.
Localize o grupo de recursos desejado e clique em Manage Resource na coluna Actions.
Na página de gerenciamento de recursos, use condições de filtro para localizar os recursos que deseja mover.
Marque a caixa de seleção de cada recurso.
Na parte inferior da página, clique em Transfer.
Na caixa de diálogo, selecione o grupo de recursos de destino e clique em Confirm.