Elastic Compute Service:Control access to ECS using RAM users

O Resource Access Management (RAM) da Alibaba Cloud oferece recursos avançados de gerenciamento de permissões com granularidade fina. Essa solução é ideal para cenários em que vários departamentos ou funções dentro de uma empresa precisam acessar recursos do Elastic Compute Service (ECS). Para proteger informações sensíveis e processos de negócios críticos, você pode atribuir diferentes níveis de acesso com base nas responsabilidades específicas de cada departamento ou função. A implementação de uma política de separação de permissões aumenta a eficiência da gestão e reduz o risco de vazamento de informações. Este tópico descreve como controlar o acesso aos recursos do ECS por meio do gerenciamento das permissões dos usuários do RAM.

Descrição do cenário

Suponha que sua empresa utilize o ECS para hospedar aplicações e serviços. Os gerentes lideram o planejamento da arquitetura de TI e têm controle total sobre todos os recursos do ECS. Suas principais responsabilidades incluem criar recursos, ajustar alocações e configurar políticas de segurança. Os desenvolvedores são responsáveis pela iteração contínua dos projetos e pela inovação de funcionalidades, além de implantar projetos nas instâncias do ECS. Já os engenheiros de Operações e Manutenção (O&M) garantem o funcionamento normal dos sistemas, mantendo os serviços existentes por meio da criação de snapshots e imagens, bem como da execução de scripts.

Com base nas necessidades dessas três funções, foi elaborado o seguinte plano de permissões:

• Gerentes: Possuem permissões completas para operações no ECS, como criar e excluir instâncias do ECS e modificar regras de grupos de segurança.

• Desenvolvedores: Podem visualizar informações de todas as instâncias do ECS, mas não podem modificar nenhuma configuração. Também podem fazer login nas instâncias do ECS para realizar operações.

• Engenheiros de O&M: Têm permissão para criar determinados recursos, como snapshots e imagens, e executar scripts. Não possuem permissão para excluir recursos.

Procedimento

1. Criar usuários do RAM

Faça login no console do Resource Access Management (RAM) usando sua conta Alibaba Cloud. Crie três usuários do RAM: Manager, Developer e Operator. Isso permite atribuir as permissões adequadas a cada colaborador. Ao criar os usuários do RAM, selecione Console Logon. Para mais informações, consulte Criar um usuário do RAM.

2. Criar políticas de acesso

Crie três políticas personalizadas para implementar um controle de acesso e gerenciamento mais refinado. Para mais informações, consulte Criar uma política personalizada.

{
    "Version": "1",
    "Statement": [
        {
            "Action": "ecs:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:CheckCanAllocateVpcPrivateIpAddress",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "bss:ModifyAgreementRecord"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:List*",
                "ecs:Describe*",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "ecs-workbench:LoginInstance"
            ],
            "Resource": "*"
        }
    ]
}

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:Describe*",
                "ecs:AttachDisk",
                "ecs:CreateSnapshot",
                "ecs:CreateImage",
                "ecs:RunCommand",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

3. Conceder permissões aos usuários do RAM

Atribua diferentes políticas personalizadas aos usuários do RAM para controlar com precisão seu acesso e suas operações em recursos específicos. Caso um usuário do RAM realize uma operação anormal, você também poderá revogar a autorização ou restringir o escopo das permissões para responder à ameaça e tratá-la adequadamente. Para mais informações, consulte Gerenciar permissões de usuários do RAM.

4. Testar o controle de acesso

1. Acesse a página de login de usuário do RAM. Faça login como cada um dos três usuários do RAM que você criou.

2. Acesse o console do ECS. Execute operações, como visualizar a lista de instâncias do ECS, criar uma instância do ECS e criar uma imagem, para verificar se o controle de acesso está funcionando corretamente.

   Manager

   • Pode visualizar a lista de instâncias do ECS.

   • Pode criar instâncias do ECS.

   • Pode excluir instâncias do ECS.

   • Pode criar imagens.

   Developer

   • Pode visualizar a lista de instâncias do ECS.

   • Não tem permissão para criar instâncias do ECS.

   • Não tem permissão para criar imagens.

   • Pode usar o Workbench para se conectar remotamente e fazer login em uma instância do ECS. Após o login, o desenvolvedor pode usar comandos para implantar projetos na instância.

   Operator

   • Pode visualizar a lista de instâncias do ECS.

   • Não tem permissão para criar instâncias do ECS.

   • Pode criar imagens.

Referências

• O RAM é um serviço da Alibaba Cloud que permite gerenciar identidades de usuários e permissões de acesso a recursos. Para mais informações, consulte O que é o RAM

• Você pode visualizar os métodos, instruções e limites de autenticação multifator (MFA) para usuários do RAM. Para mais informações, consulte MFA para usuários do RAM.

• O ECS fornece diversas políticas personalizadas. Para mais informações, consulte Políticas personalizadas.

• Você pode usar o Workbench para fazer login em uma instância do ECS. Para mais informações, consulte Conectar-se a uma instância usando o Workbench.