Controle refinado com grupos de recursos - Elasticsearch: Central de Documentação do Alibaba Cloud

Use grupos de recursos com o RAM para implementar isolamento de recursos e controle de acesso refinado em uma única conta Alibaba Cloud. Este tópico resume o suporte do Alibaba Cloud Elasticsearch a grupos de recursos e descreve como conceder permissões no nível do grupo de recursos.

Nota

A autorização no nível do grupo de recursos aplica-se apenas aos tipos de recursos compatíveis com grupos de recursos e às ações que também oferecem esse suporte.
Para tipos de recursos incompatíveis com grupos de recursos, as permissões definidas nesse escopo não surtem efeito. Para conceder autorização no nível da conta, selecione o nível da conta como escopo do recurso. Para mais informações, consulte Ações sem suporte à autorização no nível do grupo de recursos.

Autorização por grupo de recursos

Os grupos de recursos permitem organizar e gerenciar os recursos da sua conta Alibaba Cloud. Por exemplo, crie um grupo de recursos para cada projeto e adicione os recursos correspondentes para gerenciamento centralizado. Para mais informações, consulte O que é um grupo de recursos?.

Após agrupar seus recursos, conceda permissões aos principais do RAM (como usuários RAM, grupos de usuários RAM e funções RAM) sobre um grupo de recursos específico. Essa ação restringe o principal a gerenciar apenas os recursos dentro do grupo especificado. Para mais informações, consulte Agrupamento e autorização de recursos.

Essa abordagem oferece as seguintes vantagens:

Permissões refinadas: conceda a cada identidade apenas as permissões necessárias para acessar recursos específicos. Isso mantém os recursos de diferentes projetos separados em uma única conta.
Escalabilidade: ao adicionar novos recursos, basta incluí-los no grupo de recursos. A identidade RAM associada obtém automaticamente as permissões para os novos recursos, sem necessidade de autorização adicional.

Conceder permissões de grupo de recursos a um usuário RAM

Este tópico descreve como conceder permissões a um RAM user para recursos do Alibaba Cloud Elasticsearch em um grupo de recursos específico.

1. Pré-requisitos

Crie um RAM user. Para mais informações, consulte Create a RAM user.
Crie um resource group e mova os recursos existentes para ele. Para mais informações, consulte Create a resource group, Automatically transfer resources to a resource group e Manually transfer resources to a resource group.

2. Conceder permissões no nível do grupo de recursos

Conceda permissões no nível do grupo de recursos usando um dos métodos a seguir.

Resource management console

Este método utiliza o recurso de gerenciamento de permissões do grupo de recursos para conceder permissões a um usuário RAM. Para instruções detalhadas, consulte Grant permissions on a resource group to a RAM identity.

Faça login no Resource Management console.
Na página Resource Groups, localize o grupo de recursos desejado e clique em Permission Management na coluna Actions.
Na aba Permission Management, clique em Add Authorization.
No painel Add Authorization, configure o principal e a política.
- principal: selecione um usuário RAM existente.
- policy: selecione uma system policy ou uma custom policy existente. Para mais informações, consulte Create a custom policy.
Clique em OK.

RAM console

No RAM console, conceda permissões no nível do grupo de recursos a um usuário RAM. Para instruções detalhadas, consulte Manage permissions of RAM users.

Faça login no RAM console como uma conta Alibaba Cloud (conta principal) ou administrador RAM.
No painel de navegação à esquerda, escolha Identity Management > Users. Na página Users, localize o usuário RAM desejado e clique em Add Permission na coluna Actions.
No painel Add Authorization, autorize o usuário RAM.
- resource scope: selecione Resource Group Level.
- principal: selecione um usuário RAM existente ou aquele criado nos pré-requisitos.
- policy: selecione uma system policy ou uma custom policy existente. Para mais informações, consulte Create a custom policy.
Clique em OK.

Tipos de recursos compatíveis

A tabela a seguir lista os tipos de recursos do Alibaba Cloud Elasticsearch compatíveis com grupos de recursos.

Serviço de nuvem	Código do serviço de nuvem	Tipo de recurso
Alibaba Cloud Elasticsearch	elasticsearch	APM: Application Performance Monitoring
Alibaba Cloud Elasticsearch	elasticsearch	instance: Instance
Alibaba Cloud Elasticsearch	elasticsearch	logstash: Logstash

Nota

Para solicitar suporte a um tipo de recurso não listado, envie feedback no console de grupos de recursos.

Ações sem suporte à autorização por grupo de recursos

As seguintes ações do Alibaba Cloud Elasticsearch não aceitam autorização no nível do grupo de recursos:

Ações	Descrição
elasticsearch:ActivePhone	-
elasticsearch:AddWhiteListTemplate	-
elasticsearch:AttachMigrationJob	-
elasticsearch:CreateCollector	Cria um coletor para coletar dados de um serviço especificado.
elasticsearch:CreateComponentIndex	Cria um modelo de componente do Elasticsearch.
elasticsearch:CreateEmonAlarmGroup	-
elasticsearch:CreateEmonAlarmRule	-
elasticsearch:CreateEmonContact	-
elasticsearch:CreateEmonContactGroup	-
elasticsearch:CreateEmonContactGroupContact	-
elasticsearch:CreateEmonProject	-
elasticsearch:CreateMigrationJob	-
elasticsearch:DeleteCollector	Exclui um coletor especificado.
elasticsearch:DeleteEmonAlarmGroup	-
elasticsearch:DeleteEmonAlarmRule	-
elasticsearch:DeleteEmonProject	-
elasticsearch:DeleteMigrationJobResource	-
elasticsearch:DeleteWhiteListTemplate	-
elasticsearch:DescribeAckOperator	Descreve o operador do Elasticsearch instalado em um cluster Container Service for Kubernetes (ACK) especificado.
elasticsearch:DescribeCollector	Recupera os detalhes de uma instância de coletor especificada.
elasticsearch:DescribeMigrationMergeConfig	-
elasticsearch:DescribeVpcs	-
elasticsearch:DescribeVswitches	-
elasticsearch:DisableEmonAlarmRule	-
elasticsearch:DisableEmonContact	-
elasticsearch:DisableEmonContactGroup	-
elasticsearch:EnableEmonAlarmRule	-
elasticsearch:EnableEmonContact	-
elasticsearch:EnableEmonContactGroup	-
elasticsearch:FeedbackReport	-
elasticsearch:GetClusterDataInformation	Recupera dados relacionados à migração de índices.
elasticsearch:GetEmonAlarmEventList	-
elasticsearch:GetEmonAlarmEventStatistics	-
elasticsearch:GetEmonAlarmGroup	-
elasticsearch:GetEmonAlarmGroupList	-
elasticsearch:GetEmonAlarmRecordList	-
elasticsearch:GetEmonAlarmRecordStatistics	-
elasticsearch:GetEmonAlarmRecordStatisticsDistribute	-
elasticsearch:GetEmonAlarmRule	-
elasticsearch:GetEmonAlarmRuleList	-
elasticsearch:GetEmonConsoleConfig	-
elasticsearch:GetEmonContact	-
elasticsearch:GetEmonContactGroup	-
elasticsearch:GetEmonContactGroupList	-
elasticsearch:GetEmonContactList	-
elasticsearch:GetEmonGrafanaAlerts	Recupera uma lista de alertas do Grafana.
elasticsearch:GetEmonGrafanaDashboards	Recupera uma lista de painéis do Grafana.
elasticsearch:GetEmonProject	-
elasticsearch:GetEmonProjectList	-
elasticsearch:GetEmonUserConfig	-
elasticsearch:GetMigrationJob	-
elasticsearch:GetRegionConfiguration	-
elasticsearch:GetSingleEmonUserConfig	-
elasticsearch:GetWhiteListTemplates	-
elasticsearch:InitCustomModel	-
elasticsearch:InitializeOperationRole	Cria uma função vinculada ao serviço.
elasticsearch:InstallAckOperator	Instala um operador em um cluster Container Service for Kubernetes (ACK) especificado.
elasticsearch:ListAckClusters	Recupera uma lista de clusters Container Service for Kubernetes (ACK).
elasticsearch:ListAckNamespaces	Recupera todos os namespaces em um cluster Container Service for Kubernetes (ACK) especificado.
elasticsearch:ListApm	-
elasticsearch:ListCollectors	Recupera uma lista de coletores da conta atual.
elasticsearch:ListDefaultCollectorConfigurations	Recupera as configurações padrão de um coletor.
elasticsearch:ListDistinctEventInstanceIds	-
elasticsearch:ListEcsInstances	-
elasticsearch:ListEventRecords	-
elasticsearch:ListInstanceHistoryEvents	Recupera uma lista de eventos de O&M de hardware acionados por um cluster Elasticsearch.
elasticsearch:ListMigrationJobs	-
elasticsearch:ListNodes	Recupera uma lista de nós em um cluster especificado.
elasticsearch:ListStatsEventRecords	-
elasticsearch:ListTags	Recupera todas as tags na conta e região atuais.
elasticsearch:ModifyDeployMachine	Altera a instância ECS onde um coletor está implantado.
elasticsearch:PostEmonAck	-
elasticsearch:PostEmonCheckin	-
elasticsearch:PostEmonTryAlarmRule	Envia uma mensagem de alerta de teste.
elasticsearch:QueryEmonMetrics	Consulta métricas de monitoramento do Grafana para uma instância Elasticsearch.
elasticsearch:ReinstallCollector	Tenta novamente uma instalação de coletor com falha.
elasticsearch:RestartCollector	Reinicia um coletor para retomar a coleta de dados.
elasticsearch:StartCollector	Inicia um coletor para começar a coleta de dados.
elasticsearch:StopCollector	Interrompe um coletor em execução.
elasticsearch:SuggestEmonMetric	-
elasticsearch:SuggestEmonMetricTagKey	-
elasticsearch:SuggestEmonMetricTagValue	-
elasticsearch:TagResources	-
elasticsearch:UntagResources	-
elasticsearch:UpdateCollector	Atualiza a configuração de um coletor.
elasticsearch:UpdateCollectorName	Atualiza o nome de um coletor.
elasticsearch:UpdateComponentIndex	Atualiza um modelo de componente do Elasticsearch.
elasticsearch:UpdateEmonAlarmGroup	-
elasticsearch:UpdateEmonAlarmRule	-
elasticsearch:UpdateEmonContact	-
elasticsearch:UpdateEmonContactGroup	-
elasticsearch:UpdateEmonProject	-
elasticsearch:UpdateMigrationJob	-
elasticsearch:UpdateWhiteListTemplate	-
elasticsearch:ValidateSlrPermission	Valida as permissões da função vinculada ao serviço para a conta atual.
elasticsearch:createInstance	-

Para operações sem suporte à autorização por grupo de recursos, selecionar resource group level como escopo do recurso não surte efeito. Se um usuário RAM ainda precisar dessas permissões, crie uma política personalizada e selecione account level como escopo do recurso.

Veja a seguir dois exemplos de políticas de permissão personalizadas que você pode modificar conforme necessário.

Permite todas as operações somente leitura incompatíveis com autorização no nível do grupo de recursos. O elemento Action especifica essas operações.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "elasticsearch:DescribeAckOperator",
        "elasticsearch:DescribeCollector",
        "elasticsearch:DescribeMigrationMergeConfig",
        "elasticsearch:DescribeVpcs",
        "elasticsearch:DescribeVswitches",
        "elasticsearch:GetClusterDataInformation",
        "elasticsearch:GetEmonAlarmEventList",
        "elasticsearch:GetEmonAlarmEventStatistics",
        "elasticsearch:GetEmonAlarmGroup",
        "elasticsearch:GetEmonAlarmGroupList",
        "elasticsearch:GetEmonAlarmRecordList",
        "elasticsearch:GetEmonAlarmRecordStatistics",
        "elasticsearch:GetEmonAlarmRecordStatisticsDistribute",
        "elasticsearch:GetEmonAlarmRule",
        "elasticsearch:GetEmonAlarmRuleList",
        "elasticsearch:GetEmonConsoleConfig",
        "elasticsearch:GetEmonContact",
        "elasticsearch:GetEmonContactGroup",
        "elasticsearch:GetEmonContactGroupList",
        "elasticsearch:GetEmonContactList",
        "elasticsearch:GetEmonGrafanaAlerts",
        "elasticsearch:GetEmonGrafanaDashboards",
        "elasticsearch:GetEmonProject",
        "elasticsearch:GetEmonProjectList",
        "elasticsearch:GetEmonUserConfig",
        "elasticsearch:GetMigrationJob",
        "elasticsearch:GetRegionConfiguration",
        "elasticsearch:GetSinleEmonUserConfig",
        "elasticsearch:GetWhiteListTemplates",
        "elasticsearch:ListAckClusters",
        "elasticsearch:ListAckNamespaces",
        "elasticsearch:ListApm",
        "elasticsearch:ListCollectors",
        "elasticsearch:ListDefaultCollectorConfigurations",
        "elasticsearch:ListDistinctEventInstanceIds",
        "elasticsearch:ListEcsInstances",
        "elasticsearch:ListEventRecords",
        "elasticsearch:ListInstanceHistoryEvents",
        "elasticsearch:ListMigrationJobs",
        "elasticsearch:ListNodes",
        "elasticsearch:ListStatsEventRecords",
        "elasticsearch:ListTags",
        "elasticsearch:QueryEmonMetrics",
        "elasticsearch:SuggestEmonMetric",
        "elasticsearch:SuggestEmonMetricTagKey",
        "elasticsearch:SuggestEmonMetricTagValue"
      ],
      "Resource": "*"
    }
  ]
}

Permite todas as operações incompatíveis com autorização no nível do grupo de recursos. O elemento Action especifica essas operações.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "elasticsearch:ActivePhone",
        "elasticsearch:AddWhiteListTemplate",
        "elasticsearch:AttachMigrationJob",
        "elasticsearch:CreateCollector",
        "elasticsearch:CreateComponentIndex",
        "elasticsearch:CreateEmonAlarmGroup",
        "elasticsearch:CreateEmonAlarmRule",
        "elasticsearch:CreateEmonContact",
        "elasticsearch:CreateEmonContactGroup",
        "elasticsearch:CreateEmonContactGroupContact",
        "elasticsearch:CreateEmonProject",
        "elasticsearch:CreateMigrationJob",
        "elasticsearch:DeleteCollector",
        "elasticsearch:DeleteEmonAlarmGroup",
        "elasticsearch:DeleteEmonAlarmRule",
        "elasticsearch:DeleteEmonProject",
        "elasticsearch:DeleteMigrationJobResource",
        "elasticsearch:DeleteWhiteListTemplate",
        "elasticsearch:DescribeAckOperator",
        "elasticsearch:DescribeCollector",
        "elasticsearch:DescribeMigrationMergeConfig",
        "elasticsearch:DescribeVpcs",
        "elasticsearch:DescribeVswitches",
        "elasticsearch:DisableEmonAlarmRule",
        "elasticsearch:DisableEmonContact",
        "elasticsearch:DisableEmonContactGroup",
        "elasticsearch:EnableEmonAlarmRule",
        "elasticsearch:EnableEmonContact",
        "elasticsearch:EnbaleEmonContactGroup",
        "elasticsearch:FeedbackReport",
        "elasticsearch:GetClusterDataInformation",
        "elasticsearch:GetEmonAlarmEventList",
        "elasticsearch:GetEmonAlarmEventStatistics",
        "elasticsearch:GetEmonAlarmGroup",
        "elasticsearch:GetEmonAlarmGroupList",
        "elasticsearch:GetEmonAlarmRecordList",
        "elasticsearch:GetEmonAlarmRecordStatistics",
        "elasticsearch:GetEmonAlarmRecordStatisticsDistribute",
        "elasticsearch:GetEmonAlarmRule",
        "elasticsearch:GetEmonAlarmRuleList",
        "elasticsearch:GetEmonConsoleConfig",
        "elasticsearch:GetEmonContact",
        "elasticsearch:GetEmonContactGroup",
        "elasticsearch:GetEmonContactGroupList",
        "elasticsearch:GetEmonContactList",
        "elasticsearch:GetEmonGrafanaAlerts",
        "elasticsearch:GetEmonGrafanaDashboards",
        "elasticsearch:GetEmonProject",
        "elasticsearch:GetEmonProjectList",
        "elasticsearch:GetEmonUserConfig",
        "elasticsearch:GetMigrationJob",
        "elasticsearch:GetRegionConfiguration",
        "elasticsearch:GetSinleEmonUserConfig",
        "elasticsearch:GetWhiteListTemplates",
        "elasticsearch:InitCustomModel",
        "elasticsearch:InitializeOperationRole",
        "elasticsearch:InstallAckOperator",
        "elasticsearch:ListAckClusters",
        "elasticsearch:ListAckNamespaces",
        "elasticsearch:ListApm",
        "elasticsearch:ListCollectors",
        "elasticsearch:ListDefaultCollectorConfigurations",
        "elasticsearch:ListDistinctEventInstanceIds",
        "elasticsearch:ListEcsInstances",
        "elasticsearch:ListEventRecords",
        "elasticsearch:ListInstanceHistoryEvents",
        "elasticsearch:ListMigrationJobs",
        "elasticsearch:ListNodes",
        "elasticsearch:ListStatsEventRecords",
        "elasticsearch:ListTags",
        "elasticsearch:ModifyDeployMachine",
        "elasticsearch:PostEmonAck",
        "elasticsearch:PostEmonCheckin",
        "elasticsearch:PostEmonTryAlarmRule",
        "elasticsearch:QueryEmonMetrics",
        "elasticsearch:ReinstallCollector",
        "elasticsearch:RestartCollector",
        "elasticsearch:StartCollector",
        "elasticsearch:StopCollector",
        "elasticsearch:SuggestEmonMetric",
        "elasticsearch:SuggestEmonMetricTagKey",
        "elasticsearch:SuggestEmonMetricTagValue",
        "elasticsearch:TagResources",
        "elasticsearch:UntagResources",
        "elasticsearch:UpdateCollector",
        "elasticsearch:UpdateCollectorName",
        "elasticsearch:UpdateComponentIndex",
        "elasticsearch:UpdateEmonAlarmGroup",
        "elasticsearch:UpdateEmonAlarmRule",
        "elasticsearch:UpdateEmonContact",
        "elasticsearch:UpdateEmonContactGroup",
        "elasticsearch:UpdateEmonProject",
        "elasticsearch:UpdateMigrationJob",
        "elasticsearch:UpdateWhiteListTemplate",
        "elasticsearch:ValidateSlrPermission",
        "elasticsearch:createInstance"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Um usuário RAM ou função RAM com permissões no nível da conta pode gerenciar todos os recursos da sua conta. Sempre verifique se as permissões concedidas correspondem à sua intenção e siga o princípio do menor privilégio ao atribuí-las.

Perguntas frequentes

Visualizar o grupo de recursos de um recurso

Método 1: clique em no nome do recurso para acessar sua página de detalhes, onde o grupo de recursos é exibido.
Método 2: faça login no Resource Management console e acesse Resource Center > Resource Search. No painel à esquerda, selecione a conta proprietária do recurso (a current account é selecionada por padrão). Use um filtro para localizar o recurso e visualizar seu grupo de recursos.

Visualizar recursos de produto em um grupo de recursos

Método 1: faça login no Resource Management console e acesse Resource Center > Resource Search. No painel à esquerda, sob a conta proprietária do recurso (a current account é selecionada por padrão), clique em no grupo de recursos desejado. Em seguida, na lista suspensa Select Resource Type à direita, selecione o produto para visualizar todos os seus recursos.
Método 2: faça login no Resource Management console e acesse Resource Group > Resource Group. Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions. Na página Resource Management, selecione o produto na lista suspensa Product para visualizar todos os seus recursos.

Alterar o grupo de recursos de múltiplos recursos

Faça login no Resource Management console e acesse Resource Group > Resource Group. Localize o grupo de recursos desejado e clique em Resource Management na coluna Actions. Use um filtro para encontrar os recursos, marque as caixas de seleção na primeira coluna, clique em Transfer Resource Group na parte inferior da página e siga as instruções na tela.