Microservices Engine:Políticas personalizadas para o MSE

O que é uma política personalizada?

As políticas do Resource Access Management (RAM) dividem-se em políticas de sistema e personalizadas. Gerencie as políticas personalizadas conforme os requisitos do seu negócio.

• Após criar uma política personalizada, anexe-a a um usuário RAM, grupo de usuários RAM ou função RAM. Assim, as permissões definidas na política são concedidas ao principal.

• Exclua políticas RAM que não estejam anexadas a um principal. Se a política estiver vinculada a um principal, desanexe-a antes da exclusão.

• Políticas personalizadas oferecem suporte a controle de versão. Gerencie essas versões por meio do mecanismo de gerenciamento do RAM.

Referências

• Criar uma política personalizada

• Modificar uma política personalizada

• Excluir uma política personalizada

• Gerenciar concessões de política

• Gerenciar versões de políticas personalizadas

Criar uma política personalizada na aba Visual editor

1. Faça login no RAM console como um usuário RAM com direitos administrativos.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Na página Policies, clique em Create Policy.

4. Na página Create Policy, clique na aba Visual editor.

5. Configure a política.

   1. Na seção Effect, selecione Allow ou Deny.

   2. Na seção Service, selecione um serviço da Alibaba Cloud.

      Nota

      Os serviços da Alibaba Cloud disponíveis para seleção aparecem na seção Service.

   3. Na seção Actions, selecione All action(s) ou Select action(s).

      O sistema exibe as ações configuráveis com base no serviço da Alibaba Cloud escolhido na seção Service. Se você selecionar Select action(s), escolha as ações desejadas.

   4. Na seção Resources, selecione All Resources ou Specified resource(s).

      O sistema mostra os recursos configuráveis conforme as ações selecionadas na seção Action. Ao optar por Specified resource(s), clique em Add resource para definir um ou mais Alibaba Cloud Resource Names (ARNs). Você também pode clicar em Match all para selecionar todos os recursos associados a cada ação escolhida.

      Nota

      Os ARNs de recurso obrigatórios para uma ação recebem a tag Required. Recomendamos fortemente configurar os ARNs marcados como Required para garantir que a política personalizada funcione conforme o esperado.

   5. Na seção Condition, clique em Add Condition para definir condições.

      As condições incluem parâmetros comuns da Alibaba Cloud e específicos do serviço. O sistema lista as condições configuráveis de acordo com o serviço e as ações selecionadas. Escolha uma chave de condição e defina os parâmetros Operator e Value.

   6. Clique em Add statement e repita os passos anteriores para adicionar múltiplas instruções à política personalizada.

6. Revise e otimize o conteúdo da política personalizada.

   • Otimização básica

     O sistema otimiza automaticamente a instrução da política. Durante a otimização básica, ocorrem as seguintes operações:

     • Remoção de condições desnecessárias.

     • Eliminação de arrays redundantes.

   • (Opcional) Otimização avançada

     Para aplicar a otimização avançada, passe o mouse sobre Optional: advanced optimize e clique em Execute. A otimização avançada executa as seguintes tarefas:

     • Separação de recursos ou condições incompatíveis com as ações.

     • Refinamento do escopo de recursos.

     • Deduplicação ou mesclagem de instruções de política.

7. Insira o Name e as Remarks da política.

8. Clique em OK.

Exemplos de políticas personalizadas comuns para o Microservices Registry

• Conceder permissão somente leitura a um usuário para serviços em instâncias específicas.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosNaming"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

• Conceder permissões de leitura e atualização a um usuário para serviços em instâncias específicas.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

  Nota

  ${instanceId1} e ${instanceId2} representam os IDs das instâncias do registro.

• Conceder permissão somente leitura a um usuário para serviços em um namespace específico de uma instância.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosNaming",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}"
          }
      ],
      "Version": "1"
  }

• Conceder permissões de leitura e atualização a um usuário para serviços no grupo ${group} dentro de um namespace específico de uma instância.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}"
          }
      ],
      "Version": "1"
  }

• Conceder permissão somente leitura a um usuário para o serviço ${serviceName} no grupo ${group}.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosNaming",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/naming/${serviceName}"
          }
      ],
      "Version": "1"
  }

• Conceder permissões de leitura e atualização a um usuário para o serviço ${serviceName} no grupo ${group}.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/naming/${serviceName}"
          }
      ],
      "Version": "1"
  }

Exemplos de políticas personalizadas comuns para o Microservices Governance

Acesso somente leitura a todas as aplicações

Atribua esta política a membros da equipe que precisam monitorar o status e as métricas das aplicações, mas não devem modificar configurações.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": "mse:GetApplicationList",
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

Acesso total a uma aplicação específica

Utilize esta política para proprietários de aplicações que gerenciam seus próprios recursos sem poder alterar os de outros. A configuração combina permissões totais para uma aplicação com acesso somente leitura ao restante do ambiente.

A política contém três instruções:

• Instrução 1: Permissões totais (mse:*) restritas à aplicação alvo.

• Instruções 2--3: Acesso somente leitura a todas as aplicações para permitir a navegação no console.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "mse:*",
      "Resource": "acs:mse:*:*:namespace/${ns}/application/${appName}"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": "mse:GetApplicationList",
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

Acesso total a um namespace específico

Destinada a testadores que gerenciam todas as aplicações em um ambiente de testes, sem acesso aos recursos de produção.

A política possui três instruções:

• Instrução 1: Permissões completas para todas as aplicações no namespace alvo.

• Instrução 2: Acesso somente leitura a recursos globais do console, incluindo listas de aplicações, configurações de faixas de tráfego, políticas de autenticação e listas de serviços.

• Instrução 3: Permissões no nível do namespace para listagem de aplicações e gerenciamento de faixas de tráfego.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "mse:*",
      "Resource": "acs:mse:*:*:namespace/${ns}/application/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList",
        "mse:QueryAllSwimmingLaneGroup",
        "mse:QueryAllSwimmingLane",
        "mse:ListAppBySwimmingLaneGroupTags",
        "mse:ListAppBySwimmingLaneGroupTag",
        "mse:QuerySwimmingLaneById",
        "mse:GetTagsBySwimmingLaneGroupId",
        "mse:ListSwimmingLaneGateway",
        "mse:ListSwimmingLaneGatewayRoute",
        "mse:ListAuthPolicy",
        "mse:GetServiceList",
        "mse:GetServiceListPage"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:GetApplicationList",
        "mse:CreateOrUpdateSwimmingLaneGroup",
        "mse:CreateOrUpdateSwimmingLane",
        "mse:DeleteSwimmingLaneGroup",
        "mse:DeleteSwimmingLaneGroup",
        "mse:DeleteSwimmingLane"
      ],
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

Exemplos de políticas para o Cloud-native Gateway

Conceder permissões em todos os recursos a um usuário ou função

Para conceder permissões operacionais em todos os gateways nativos da nuvem a um usuário ou função RAM, anexe as seguintes políticas de sistema:

• Permissão somente leitura: AliyunMSEReadOnlyAccess

• Permissões de leitura e escrita: AliyunMSEFullAccess

Conceder permissões em recursos específicos do gateway a um usuário ou função

Para conceder permissões operacionais apenas para um gateway específico, atribua permissões no nível de recurso ao usuário ou função RAM.

• Exemplo 1: Conceder permissão somente leitura a um usuário RAM no gateway nativo da nuvem chamado gw-8090caa2a3ab447a8bc5fdf3****.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:Query*",
                  "mse:List*",
                  "mse:Get*",
                  "mse:Select*",
                  "mse:Pull*",
                  "mse:GatewayBlackWhite*",
                  "mse:GatewayHealthCheckList",
                  "mse:GatewayQueryMonitor",
                  "mse:UploadWasmFile"
              ],
              "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "mse:QueryDefaultAlertStatus",
                  "mse:ListGatewayZone",
                  "mse:ListUpgradableGatewayVersions",
                  "mse:ListTagResources",
                  "mse:ListGatewayIngressMigrateTask",
                  "mse:ListEventRecords",
                  "mse:GetEventFilterOptions",
                  "mse:GetEventDetail",
                  "mse:GetGatewaySelection",
                  "mse:GetGatewayAlarms",
                  "mse:GetGatewayMigrateNamespacedServices",
                  "mse:GetGatewayIngressMigrateTaskDetail",
                  "mse:GetPluginGuide",
                  "mse:GetRegExpCheck",
                  "mse:GetRegExpTest",
                  "mse:CheckPluginLua"
              ],
              "Resource": "acs:mse:*:*:*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "log:DescribeService",
                  "log:ListProject",
                  "log:GetProductDataCollection"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "arms:SearchContactGroup"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

• Exemplo 2: Conceder permissões de leitura e escrita a um usuário RAM em um gateway nativo da nuvem chamado gw-8090caa2a3ab447a8bc5fdf3****.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:*"
              ],
              "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "mse:QueryDefaultAlertStatus",
                  "mse:CreateDefaultAlert",
                  "mse:ListGatewayZone",
                  "mse:ListUpgradableGatewayVersions",
                  "mse:ListEventRecords",
                  "mse:GetEventFilterOptions",
                  "mse:GetEventDetail",
                  "mse:GetGatewaySelection",
                  "mse:GetGatewayAlarms",
                  "mse:GetGatewayMigrateNamespacedServices",
                  "mse:GetPluginGuide",
                  "mse:GetRegExpCheck",
                  "mse:GetRegExpTest",
                  "mse:CheckPluginLua",
                  "mse:*TagResources",
                  "mse:*CustomPlugin",
                  "mse:*GatewayIngressMigrateTask*"
              ],
              "Resource": "acs:mse:*:*:*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "log:DescribeService",
                  "log:ListProject",
                  "log:GetProductDataCollection",
                  "log:OpenProductDataCollection"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "arms:SearchContactGroup"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

Observações de uso

As permissões acima permitem apenas a execução das operações necessárias no console do MSE. Como funcionalidades específicas dos gateways nativos da nuvem dependem de outros serviços, configure as permissões do usuário ou função RAM consultando a documentação dos respectivos serviços. Isso habilita o uso completo de todos os recursos dos gateways. A tabela abaixo detalha o mapeamento entre os serviços dependentes e os módulos correspondentes do gateway.

Serviço da Alibaba Cloud	Módulo do Cloud-native Gateway	Referências
Simple Log Service	Log Center. Para acessar a aba Log Center, navegue até Cloud-native Gateway > Gateways. Na página Gateways, clique no nome do gateway desejado para abrir a página de detalhes. Em seguida, selecione Observation Analysis > Log Center. Plug-in Logs. Para visualizar os logs de plug-ins, vá para Cloud-native Gateway > Gateways. Clique no nome do gateway na página Gateways para ver os detalhes. Na página seguinte, clique em Plug-in Marketplace e selecione o cartão do plug-in correspondente. Por fim, clique em Plug-in Logs na página de detalhes do plug-in.	Políticas personalizadas para o Simple Log Service
ARMS	Tracing Analysis. Acesse a aba Tracing Analysis navegando até Cloud-native Gateway > Gateways. Clique no nome do gateway na página Gateways para entrar nos detalhes e selecione Observation Analysis > Tracing Analysis. Alertas. Para utilizar o recurso de alertas, acesse Cloud-native Gateway > Alerts.	Políticas de sistema para o ARMS

Referências de informações de autorização

Autorização do RAM