:Use grupos de recursos para controle granular de recursos

Como funciona a autorização por grupo de recursos

Grupos de recursos permitem organizar conjuntos de recursos na sua conta Alibaba Cloud. Por exemplo, crie grupos distintos para diferentes projetos e mova os recursos correspondentes para cada grupo, facilitando a gestão centralizada. Para mais detalhes, consulte O que é um grupo de recursos?.

Após agrupar seus recursos, conceda permissões a diferentes principais do RAM — como usuários, grupos de usuários ou funções do RAM — sobre um grupo de recursos específico. Isso restringe o principal a gerenciar apenas os recursos contidos naquele grupo. Consulte também Agrupamento e autorização de recursos.

Essa abordagem de autorização traz os seguintes benefícios:

• Permissões granulares: garanta que cada identidade tenha somente as permissões necessárias para acessar recursos específicos. Isso evita o gerenciamento cruzado de recursos entre projetos na sua conta.

• Escalabilidade: ao adicionar novos recursos a um grupo, o principal do RAM recebe automaticamente as permissões correspondentes, sem necessidade de reconfiguração manual.

Conceder permissões no nível do grupo de recursos

O exemplo a seguir demonstra como conceder a um RAM user permissões sobre recursos do Logic Composer dentro de um grupo de recursos específico.

Tipos de recursos compatíveis

A tabela a seguir lista os tipos de recursos do Logic Composer compatíveis com grupos de recursos.

Ações sem autorização no nível do grupo de recursos

As seguintes ações do Logic Composer não suportam autorização no nível do grupo de recursos.

Para operações incompatíveis com autorização por grupo de recursos, definir o escopo como Resource Group Level não produz efeito. Caso um usuário RAM precise executar essas operações, crie uma política personalizada e defina o escopo do recurso como Account Level.

A seguir, dois exemplos de políticas personalizadas. Ajuste o conteúdo conforme necessário.

• Esta política permite todas as ações de somente leitura incompatíveis com autorização no nível do grupo de recursos, listando-as no elemento Action.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "composer:DescribeConnectorAttribute",
          "composer:DescribeConnectorCapability",
          "composer:ListConnectorTriggers",
          "composer:ListConnectors",
          "composer:ListTagResources",
          "composer:ListTemplates"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Esta política permite todas as ações incompatíveis com autorização no nível do grupo de recursos, listando-as no elemento Action.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "composer:CloneFlow",
          "composer:DescribeConnectorAttribute",
          "composer:DescribeConnectorCapability",
          "composer:GetTemplate",
          "composer:InvokeDefinition",
          "composer:ListConnectorTriggers",
          "composer:ListConnectors",
          "composer:ListTagResources",
          "composer:ListTemplates",
          "composer:TagResources",
          "composer:UntagResources",
          "composer:UpdateConnection"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes