Express Connect:Controle refinado com grupos de recursos

Autorização de grupo de recursos

Os grupos de recursos permitem agrupar e gerenciar recursos na sua conta Alibaba Cloud. Por exemplo, crie um grupo de recursos para cada projeto e mova os recursos desse projeto para o grupo correspondente para facilitar o gerenciamento centralizado. Para obter mais informações, consulte O que é um grupo de recursos?.

Após agrupar seus recursos, conceda permissões com escopo limitado a um grupo de recursos específico para diferentes entidades do RAM, como usuários RAM, grupos de usuários RAM ou funções RAM. Isso restringe cada entidade ao gerenciamento exclusivo dos recursos contidos naquele grupo. Para obter mais informações, consulte Agrupamento e autorização de recursos.

Essa abordagem oferece os seguintes benefícios:

• Permissões refinadas: Cada identidade recebe apenas as permissões necessárias, o que isola o gerenciamento de recursos de diferentes projetos dentro de uma única conta.

• Escalabilidade: Ao adicionar novos recursos, basta incluí-los no grupo de recursos relevante. A identidade RAM obtém automaticamente as permissões adequadas para os novos recursos, sem necessidade de nova autorização.

Conceder permissões no nível de grupo de recursos a um usuário RAM

Este tópico descreve como conceder permissões a um RAM user para recursos do Express Connect dentro de um grupo de recursos específico.

Tipos de recursos compatíveis com grupos de recursos

O Express Connect oferece suporte aos seguintes tipos de recursos em grupos de recursos:

Operações sem autorização por grupo de recursos

As seguintes ações do Express Connect não oferecem suporte à autorização no nível de grupo de recursos:

Para operações que não oferecem suporte à autorização por grupo de recursos, definir o escopo do recurso como resource group level não surte efeito. Para conceder permissões a um usuário RAM para essas operações, crie uma política personalizada e defina o escopo do recurso como account level.

Veja abaixo dois exemplos de políticas de permissões personalizadas. Modifique o conteúdo da política conforme necessário.

• Permite todas as operações somente leitura que não oferecem suporte à autorização no nível de grupo de recursos: O elemento Action lista todas as operações somente leitura incompatíveis com autorização por grupo de recursos.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "vpc:CheckVpnBgpEnabled",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permite todas as operações que não oferecem suporte à autorização no nível de grupo de recursos: O elemento Action lista todas as operações incompatíveis com autorização por grupo de recursos.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "expressconnectrouter:CreateCarrierCloudLink",
          "expressconnectrouter:DeleteCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLink",
          "expressconnectrouter:DescribeCarrierCloudLinks",
          "expressconnectrouter:DescribeLineProviders",
          "expressconnectrouter:DescribePartnerAccessPointRegions",
          "expressconnectrouter:DescribePartnerAccessPoints",
          "expressconnectrouter:DescribePartnerVendors",
          "expressconnectrouter:DescribeVpcRelatedAssociation",
          "expressconnectrouter:ListExpressConnectRouterSupportedRegion",
          "expressconnectrouter:ModifyCarrierCloudLink",
          "vpc:AddBandwidthPackageIps",
          "vpc:AddGlobalAccelerationInstanceIp",
          "vpc:AddIPv6TranslatorAclListEntry",
          "vpc:AllocateVpcIpv6Cidr",
          "vpc:CancelExpressCloudConnection",
          "vpc:CheckVpnBgpEnabled",
          "vpc:ConvertBandwidthPackage",
          "vpc:CreaeNatGateway",
          "vpc:CreateBandwidthPackage",
          "vpc:CreateBondRouterInterfaceConnection",
          "vpc:CreateExpressCloudConnection",
          "vpc:CreateGlobalAccelerationInstance",
          "vpc:CreateIPv6Translator",
          "vpc:CreateIPv6TranslatorAclList",
          "vpc:CreateIPv6TranslatorEntry",
          "vpc:CreateNqa",
          "vpc:DeleteBandwidthPackage",
          "vpc:DeleteGlobalAccelerationInstance",
          "vpc:DeleteIPv6Translator",
          "vpc:DeleteIPv6TranslatorAclList",
          "vpc:DeleteIPv6TranslatorEntry",
          "vpc:DeleteIpv6EgressOnlyRule",
          "vpc:DescribeAccessPoints",
          "vpc:DescribeBandwidthPackageMonitorData",
          "vpc:DescribeBandwidthPackagePublicIpMonitorData",
          "vpc:DescribeGlobalAccelerationInstances",
          "vpc:DescribeGrantRulesToCbn",
          "vpc:DescribeIPv6TranslatorAclListAttributes",
          "vpc:DescribeIPv6TranslatorAclLists",
          "vpc:DescribeIPv6TranslatorEntries",
          "vpc:DescribeInstances",
          "vpc:DescribeNetworkQuotas",
          "vpc:DescribePublicIpAddress",
          "vpc:DescribeRouterInterfacesForGlobal",
          "vpc:DescribeServerRelatedGlobalAccelerationInstances",
          "vpc:DescribeVPCs",
          "vpc:DescribeVpnGatewayAvailableZones",
          "vpc:DescribeVrouters",
          "vpc:DescribeZones",
          "vpc:DiagnoseVpnConnections",
          "vpc:DiagnoseVpnConnectionsHistory",
          "vpc:DiagnoseVpnGateway",
          "vpc:DisableNatGatewayEcsMetric",
          "vpc:EnableNatGatewayEcsMetric",
          "vpc:GetBusinessAccessPointDetail",
          "vpc:GetFlowLogServiceStatus",
          "vpc:GetNatIpCidrAttribute",
          "vpc:GetObject",
          "vpc:GetPhysicalConnectionServiceStatus",
          "vpc:GetPublicIpAddressPoolServiceStatus",
          "vpc:GetTrafficMirrorServiceStatus",
          "vpc:GetVpcIpamServiceStatus",
          "vpc:GetVpnGatewayDiagnoseResult",
          "vpc:GrantInstanceToCbn",
          "vpc:InnerVpcCreateDscp",
          "vpc:InnerVpcDeleteDscp",
          "vpc:InnerVpcDescribeCrossBorderRouterInterface",
          "vpc:InnerVpcDescribeDscp",
          "vpc:InnerVpcModifyDscp",
          "vpc:InnerVpcRefreshDscp",
          "vpc:ListBusinessAccessPointPortUsage",
          "vpc:ListBusinessAccessPoints",
          "vpc:ListBusinessRegions",
          "vpc:ListGeographicSubRegions",
          "vpc:ListNatGatewayEcsMetric",
          "vpc:ListVpcCloudInstance",
          "vpc:ListVpcEndpointServicesByEndUser",
          "vpc:ModifyBandwidthPackageAttribute",
          "vpc:ModifyBandwidthPackageSpec",
          "vpc:ModifyBypassToaAttribute",
          "vpc:ModifyExpressCloudConnectionAttribute",
          "vpc:ModifyGlobalAccelerationInstanceAttributes",
          "vpc:ModifyGlobalAccelerationInstanceSpec",
          "vpc:ModifyIPv6TranslatorAclAttribute",
          "vpc:ModifyIPv6TranslatorAclListEntry",
          "vpc:ModifyIPv6TranslatorAttribute",
          "vpc:ModifyIPv6TranslatorBandwidth",
          "vpc:ModifyIPv6TranslatorEntry",
          "vpc:ModifyIpv6GatewaySpec",
          "vpc:OpenFlowLogService",
          "vpc:OpenPhysicalConnectionService",
          "vpc:OpenPublicIpAddressPoolService",
          "vpc:OpenTrafficMirrorService",
          "vpc:OpenVpcIpamService",
          "vpc:QueryPconnTrafficPrice",
          "vpc:QueryPhysicalConnectionPrice",
          "vpc:RejectVpcPeerConnection",
          "vpc:RemoveBandwidthPackageIps",
          "vpc:RemoveGlobalAccelerationInstanceIp",
          "vpc:RemoveIPv6TranslatorAclListEntry",
          "vpc:RevokeInstanceFromCbn",
          "vpc:SetHaVipMasterInstance",
          "vpc:TransformEipSegmentToPublicIpAddressPool",
          "vpc:UnAssociateEipAddress",
          "vpc:UnassociateGlobalAccelerationInstance",
          "vpc:UpdateCrossBoarderStatus",
          "vpc:associatevpccidrblock",
          "vpc:createvpc",
          "vpc:deleteBgpNetwork",
          "vpc:describeVpcs",
          "vpc:releaseIpv6Address"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ