Use resource groups for horizontal permission management - Elastic Compute Service: Central de Documentação do Alibaba Cloud

Se vários administradores precisarem gerenciar recursos do ECS, como equipes de departamentos diferentes, use grupos de recursos para organizar instâncias do ECS e recursos relacionados, incluindo discos, imagens, grupos de segurança, pares de chaves e vSwitches. Essa abordagem impede que administradores visualizem ou operem recursos de outros responsáveis e viabiliza o gerenciamento horizontal de permissões.

Riscos de segurança

Por padrão, um usuário do RAM com permissões de gerenciamento do ECS, como AliyunECSFullAccess, pode operar em todas as instâncias do ECS e recursos relacionados da conta. Conforme as equipes crescem, essa autorização ampla gera riscos de segurança:

Abuso de permissões e erros operacionais: Um administrador do Departamento A pode visualizar, modificar ou excluir servidores de produção do Departamento B, intencionalmente ou por acidente.
Violação do princípio de menor privilégio: O usuário do RAM possui permissões muito superiores às necessárias para sua função. Isso contraria o princípio de menor privilégio, pilar da defesa em profundidade que restringe cada usuário, programa ou processo ao acesso mínimo indispensável.
Dificuldades de auditoria e conformidade: Com todas as operações misturadas, torna-se complexo rastrear qual departamento alterou determinado recurso, o que dificulta o cumprimento de requisitos de conformidade.

Melhores práticas

Utilize grupos de recursos e políticas do RAM baseadas em identidade para estabelecer limites lógicos de gerenciamento na sua conta Alibaba Cloud. O cenário a seguir usa dois departamentos, DepartmentA e DepartmentB, para demonstrar o isolamento horizontal de permissões.

Cenário: Crie administradores de ECS separados para o Departamento A e o Departamento B, restringindo cada um aos recursos do próprio departamento.

Crie grupos de recursos
1. Faça login com uma conta Alibaba Cloud ou identidade RAM que possua permissões de gerenciamento de grupos de recursos.
2. Acesse o console do Resource Group. Clique em Create Resource Group, preencha as informações obrigatórias e clique em OK.
  - Resource Group Identifier: Insira DepartmentA.
  - Resource Group Name: Insira Department A Resource Group.
3. Repita o processo para criar um grupo de recursos com o ID DepartmentB.
Crie usuários do RAM
1. Acesse o console do RAM. No painel de navegação à esquerda, escolha Identities > User.
2. Clique em Create User e preencha as informações conforme solicitado.
  1. Logon Name/Display Name: Insira AdminA.
  2. Access Mode: Selecione Console Access e configure a política de senha.
3. Clique em OK e conclua a autenticação de segurança.
4. Repita o procedimento para criar o usuário AdminB.
Conceda permissões aos grupos de recursos
1. Retorne ao console do Resource Group.
2. Localize o grupo de recursos DepartmentA e clique em Manage Permission na coluna Actions.
3. Clique em Grant Permission.
  1. Resource Scope: O padrão é o grupo de recursos atual, DepartmentA.
  2. Principal: Selecione RAM User e escolha AdminA.
  3. Policy: Pesquise por ecs. Selecione AliyunECSFullAccess e AliyunBSSFullAccess.
  4. Clique em OK.
5. Repita os passos para conceder permissões ao usuário AdminB no grupo de recursos DepartmentB.
7. Verifique o isolamento
  - Faça logout. Em seguida, faça login no console Alibaba Cloud separadamente como AdminA e AdminB.
  - Após fazer login como AdminA: Crie uma instância personalizada. Para o grupo de recursos, selecione Department A Resource Group.
    
    Acesse a página Console do ECS - Instâncias. Apenas as instâncias do ECS pertencentes ao grupo de recursos DepartmentA estarão visíveis.
  - Após fazer login como AdminB: O comportamento será semelhante, porém totalmente isolado. Todas as operações ficarão restritas ao grupo de recursos DepartmentB.