Use resource groups for fine-grained access control - E-MapReduce: Central de Documentação do Alibaba Cloud

Use o Resource Group para gerenciar os recursos do EMR Serverless StarRocks como um conjunto e aplique políticas do Resource Access Management (RAM) que autorizem ações apenas nos recursos de um grupo específico. Essa abordagem permite aplicar o princípio do menor privilégio (PoLP) na sua conta Alibaba Cloud.

Nota

A limitação de permissões por grupo de recursos aplica-se somente aos supported resource types e às ações correspondentes. Para unsupported actions, o sistema ignora qualquer escopo de grupo de recursos definido na política; nesse caso, conceda as permissões no nível da conta.

Como funciona

Os Resource groups organizam seus recursos por projeto ou ambiente. Após agrupar os recursos, associe uma política RAM a uma identidade (como usuário RAM, grupo de usuários ou função) para restringir as permissões exclusivamente àquele grupo. Para mais informações, consulte Resource grouping and authorization.

Essa estratégia oferece dois benefícios principais:

Controle de acesso refinado: Em vez de conceder permissões em toda a conta, restrinja o acesso de uma identidade apenas aos recursos de um grupo específico. Isso ajuda a isolar cargas de trabalho de projetos distintos e reduz o risco de acessos não intencionais.
Gestão simplificada: Ao adicionar novos recursos a um grupo de recursos, as identidades RAM com permissões vinculadas a esse grupo obtêm acesso automaticamente. Assim, não é necessário atualizar as políticas RAM sempre que um novo recurso for criado.

Conceder permissões no nível de grupo de recursos a um usuário RAM

Esta seção demonstra como conceder a um usuário RAM permissão para acessar apenas os recursos do EMR Serverless StarRocks em um grupo de recursos específico.

1. Pré-requisitos

Create a RAM user.
Crie um grupo de recursos e garanta que os recursos desejados estejam nele. Caso precise de orientação, consulte Create a resource group, Add resources to a resource group automatically e Add resources to a resource group manually.

2. Conceder permissões

Você pode conceder permissões no nível de grupo de recursos pelo console do Resource Management ou pelo console RAM.

Console do Resource Management

Faça login no console do Resource Management.
Na página Resource Group, localize o grupo de recursos desejado e clique em Permission Management na coluna Actions.
Na aba Permissions, clique em Grant Permission.
No painel Grant Permission, configure o principal e a política de acesso.
- Principal: Selecione um usuário RAM.
- Policy: Escolha uma System Policy ou uma Custom Policy. Para mais detalhes, consulte Create a custom permission policy.
Clique em OK.

Para mais informações, consulte Grant permissions on resource groups to a RAM identity.

Console RAM

Faça login no console RAM com uma conta Alibaba Cloud ou uma conta de administrador RAM.
No painel de navegação à esquerda, escolha Identities > Users. Na página Users, localize o usuário RAM desejado e clique em Attach Policy na coluna Actions.
No painel Attach Policy, adicione permissões ao usuário RAM.
- Resource Scope: Selecione Resource Group.
- Principal: Selecione um usuário RAM existente ou aquele criado na etapa anterior.
- Policy: Escolha uma System Policy ou uma Custom Policy. Para mais detalhes, consulte Create a custom permission policy.
Clique em OK.

Para mais informações, consulte Manage RAM user permissions.

Recursos compatíveis

Os seguintes recursos do EMR Serverless StarRocks oferecem suporte à autorização no nível de grupo de recursos:

Serviço Alibaba Cloud

Código do service

Tipo de recurso

EMR Serverless StarRocks

starrocks

instance : instance

Nota

Para solicitar suporte a tipos de recursos não listados aqui, envie feedback pelo console do Resource Management.

Ações não compatíveis

As ações abaixo do EMR Serverless StarRocks não oferecem suporte à autorização no nível de grupo de recursos:

Ação

Descrição

sr:AddBackupPolicy

sr:ApplyScalingRules

sr:CancelBackupTask

sr:CheckInventory

sr:CreateInnerIpWhitelistGroup

sr:CreateInstance

sr:CreateNodeGroup

sr:CreateScalingRule

sr:CreateServiceLinkedRole

sr:DeleteBackupPolicy

sr:DeleteInnerIpWhitelistGroup

sr:DeleteScalingRule

sr:DescribeBackups

sr:DescribeElasticScalingTasks

sr:DescribeEventNames

sr:DescribeEvents

sr:DescribeMaintainableTimePeriods

sr:DescribeTimeTriggerScalingRules

sr:DiagnosticWorkloadResultV1

sr:DiagnosticWorkloadTaskMetricsV1

sr:DiagnosticWorkloadTasksV1

sr:DiagnosticWorkloadV1

sr:EnableMultiAz

sr:EnableSSLConnection

sr:GetDmsConnectionInfo

sr:GetFeatureGate

sr:InnerDescribeNodeGroups

sr:KillBigQuery

sr:ListKmsKeys

sr:ListTagResources

sr:ModifyScalingRule

sr:QueryCreateNodeGroupPrice

sr:QueryEnableMultiAzPrice

sr:QueryMinorVersion

sr:QueryPrice

sr:RestoreInstance

sr:TagResources

sr:UnTagResources

sr:UninstallAuditLoader

sr:UpdateBackup

sr:UpdateBackupPolicy

sr:UpdateInnerIpWhitelistGroup

sr:UpdateNodeGroupDescription

Para essas ações, crie uma política personalizada com o escopo definido como Account.

Adapte os exemplos de política abaixo conforme sua necessidade:

Permitir acesso somente leitura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sr:CheckInventory",
        "sr:DescribeBackups",
        "sr:DescribeElasticScalingTasks",
        "sr:DescribeEventNames",
        "sr:DescribeEvents",
        "sr:DescribeMaintainableTimePeriods",
        "sr:DescribeTimeTriggerScalingRules",
        "sr:GetDmsConnectionInfo",
        "sr:GetFeatureGate",
        "sr:ListKmsKeys",
        "sr:ListTagResources",
        "sr:QueryCreateNodeGroupPrice",
        "sr:QueryEnableMultiAzPrice",
        "sr:QueryMinorVersion",
        "sr:QueryPrice"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acesso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sr:AddBackupPolicy",
        "sr:ApplyScalingRules",
        "sr:CancelBackupTask",
        "sr:CheckInventory",
        "sr:CreateInnerIpWhitelistGroup",
        "sr:CreateInstance",
        "sr:CreateNodeGroup",
        "sr:CreateScalingRule",
        "sr:CreateServiceLinkedRole",
        "sr:DeleteBackupPolicy",
        "sr:DeleteInnerIpWhitelistGroup",
        "sr:DeleteScalingRule",
        "sr:DescribeBackups",
        "sr:DescribeElasticScalingTasks",
        "sr:DescribeEventNames",
        "sr:DescribeEvents",
        "sr:DescribeMaintainableTimePeriods",
        "sr:DescribeTimeTriggerScalingRules",
        "sr:DiagnosticWorkloadResultV1",
        "sr:DiagnosticWorkloadTaskMetricsV1",
        "sr:DiagnosticWorkloadTasksV1",
        "sr:DiagnosticWorkloadV1",
        "sr:EnableMultiAz",
        "sr:EnableSSLConnection",
        "sr:GetDmsConnectionInfo",
        "sr:GetFeatureGate",
        "sr:InnerDescribeNodeGroups",
        "sr:KillBigQuery",
        "sr:ListKmsKeys",
        "sr:ListTagResources",
        "sr:ModifyScalingRule",
        "sr:QueryCreateNodeGroupPrice",
        "sr:QueryEnableMultiAzPrice",
        "sr:QueryMinorVersion",
        "sr:QueryPrice",
        "sr:RestoreInstance",
        "sr:TagResources",
        "sr:UnTagResources",
        "sr:UninstallAuditLoader",
        "sr:UpdateBackup",
        "sr:UpdateBackupPolicy",
        "sr:UpdateInnerIpWhitelistGroup",
        "sr:UpdateNodeGroupDescription"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Conceder permissões no nível da conta permite o acesso a todos os recursos relevantes nela contidos. Siga sempre o princípio do menor privilégio (PoLP).

Perguntas frequentes

Como identifico o grupo de recursos ao qual um recurso pertence?

Método 1: Pelo console do service
- Acesse o console do service onde o recurso foi criado. Na página de detalhes do recurso, geralmente é possível encontrar o grupo de recursos listado na seção de informações básicas.
Método 2: Pelo console do Resource Management
- Faça login no console do Resource Management.
- Escolha Resource Center > Resource Search.
- No painel esquerdo, selecione a conta proprietária do recurso desejado (o padrão é Current Account).
- Use condições de filtro para localizar seu recurso.
- A coluna Resource Group Name indica a qual grupo o recurso pertence.

Como visualizo todos os recursos de um grupo específico?

Método 1:
- Faça login no console do Resource Management.
- Escolha Resource Center > Resource Search.
- No painel esquerdo, sob a conta proprietária dos recursos (o padrão é Current Account), clique no nome do grupo de recursos desejado.
- No painel direito, selecione o service de cloud na lista suspensa Select resource types.
- Todos os recursos desse grupo serão exibidos.
Método 2:
- Faça login no console do Resource Management.
- Escolha Resource Group > Resource Group.
- Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions.
- Na página de gerenciamento de recursos, selecione o service de cloud na lista suspensa Service.
- Todos os recursos desse grupo serão exibidos.

Como movo vários recursos para outro grupo de recursos em lote?

Faça login no console do Resource Management.
Escolha Resource Group > Resource Group.
Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions.
Na página de gerenciamento de recursos, use condições de filtro para encontrar os recursos que deseja mover.
Marque a caixa de seleção de cada recurso.
Na parte inferior da página, clique em Transfer.
Na caixa de diálogo, selecione o grupo de recursos de destino e clique em Confirm.