Function Compute:Configure resource groups

Etapa 1: Criar um usuário e um grupo RAM

Use sua conta Alibaba Cloud para concluir as etapas a seguir:

1. Faça logon no console RAM para criar um usuário RAM, como developer.

   Para mais informações, consulte Create a RAM user.

2. Crie um grupo de usuários RAM, como developer, e adicione o usuário RAM criado a esse grupo.

   Para mais informações, consulte Create a RAM user group e Add a RAM user to a RAM user group.

Etapa 2: Criar um grupo de recursos

Faça logon no console Resource Management e crie um grupo de recursos, como dev. Para mais informações, consulte Create a resource group.

Etapa 3: Adicionar funções ao grupo de recursos

Adicione uma função a um grupo de recursos durante a criação da função. Para mais informações, consulte Create a function. Para adicionar uma função existente a um grupo de recursos, siga estas etapas:

1. Faça logon no console Function Compute. No painel de navegação à esquerda, escolha Function Management > Functions.

2. Na barra de navegação superior, selecione uma região. Na página Functions, clique na função desejada.

3. Na página de detalhes da função, clique na aba Configuration. Na seção Advanced Settings > More Configurations, clique no ícone ao lado do grupo de recursos.

4. Na caixa de diálogo Modify Resource Group, selecione o grupo de recursos criado em Step 2 e clique em Confirm.

Alternativamente, adicione funções a um grupo de recursos pelo console Resource Management. Para mais informações, consulte Manage resources in a resource group.

Etapa 4: Conceder permissões ao grupo de usuários

1. Faça logon no console RAM. No painel de navegação à esquerda, escolha . Na coluna Actions do grupo de usuários desejado, clique em Add Permissions.

2. No painel Attach Policy, defina Scope como Resource Group, selecione o grupo de recursos desejado, escolha uma política como AliyunFCFullAccess na seção Policy e clique em OK.

   Importante

   Como prática recomendada de segurança, siga o Princípio do Menor Privilégio (PoLP). Crie uma política personalizada que conceda apenas as permissões necessárias para o usuário RAM realizar seu trabalho. Para mais informações, consulte Create a custom policy.

Etapa 5: Verificar o resultado

1. Faça logon no console Function Compute como o usuário RAM. No painel de navegação à esquerda, escolha Function Management > Functions.

   Para obter informações sobre como fazer logon no console como um usuário RAM, consulte Log on to the Alibaba Cloud Management Console as a RAM user.

2. Na barra de navegação superior, selecione a mesma região da função em Step 3 e selecione o grupo de recursos dev.

   O usuário RAM deve selecionar o grupo de recursos correspondente para visualizar as funções na lista. Caso contrário, a lista aparecerá vazia.

3. Na página Functions, visualize e gerencie as funções dentro do grupo de recursos selecionado. Tente alternar para outros grupos de recursos para verificar se você não consegue visualizar funções em grupos de recursos para os quais não tem autorização de acesso.

Criar uma política personalizada

Para um controle mais granular sobre recursos do Function Compute, como camadas e domínios personalizados, crie uma política personalizada para seus usuários RAM. Essa abordagem está alinhada com o Princípio do Menor Privilégio (PoLP).

1. Faça logon no console RAM com sua conta Alibaba Cloud e create a custom policy chamada FCPolicyForDevelopers usando o seguinte documento de política:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "log:Get*",
           "log:List*",
           "log:Query*",
           "log:CreateProject",
           "log:CreateLogStore",
           "log:CreateIndex"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "fc:GetLayerVersionByArn",
           "fc:ListLayers",
           "fc:PutLayerACL",
           "fc:ListLayerVersions",
           "fc:CreateLayerVersion",
           "fc:DeleteLayerVersion",
           "fc:GetLayerVersion"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "fc:ListCustomDomains",
           "fc:GetCustomDomain",
           "fc:DeleteCustomDomain",
           "fc:UpdateCustomDomain",
           "fc:CreateCustomDomain"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "ram:ListRoles",
         "Resource": "*"
       }
     ]
   }
   

2. Conceda a política personalizada FCPolicyForDevelopers ao grupo de usuários RAM developer criado na Etapa 1.

   Para mais informações, consulte Grant permissions to a RAM user group.

Permissões para outros services Alibaba Cloud

Se suas funções precisarem acessar outros services Alibaba Cloud, você também deve conceder as permissões necessárias para esses services. Exemplos incluem a política de sistema AliyunLogFullAccess para Simple Log Service (SLS), AliyunOSSFullAccess para Object Storage Service (OSS) e AliyunNASFullAccess para File Storage NAS.

Para mais informações, consulte Policies and examples.