Autorização RAM - Managed Security Service: Central de Documentação do Alibaba Cloud

O Resource Access Management (RAM) é um serviço fornecido pela Alibaba Cloud para gerenciar identidades de usuários e permissões de acesso a recursos. O uso do RAM ajuda a evitar o compartilhamento das chaves da sua conta da Alibaba Cloud com outros usuários e permite conceder aos usuários o acesso com privilégio mínimo. O RAM usa políticas de permissão para definir autorizações. Este tópico descreve a estrutura geral de uma política RAM e os elementos de instrução de política (Action, Resource e Condition) definidos por Managed Security Service para políticas de permissão RAM. O código RAM (RamCode) para Managed Security Service é yundun-mss , e a granularidade de autorização suportada é OPERATION .

Estrutura geral de uma política

As políticas de permissão suportam o formato JSON com a seguinte estrutura geral:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A lista a seguir descreve os campos da política:

Version: Especifica o número da versão da política. É fixo em 1.
Statement:
- Effect: Especifica o resultado da autorização. Valores válidos: Allow e Deny.
- Action: Especifica uma ou mais operações que são permitidas ou negadas.
- Resource: Especifica os objetos específicos afetados pelas operações. Você pode usar os Alibaba Cloud Resource Names (ARNs) para descrever recursos específicos.
- Condition: Especifica as condições para que a autorização entre em vigor. Este campo é opcional.
  - Operador de condição: Especifica os operadores condicionais. Diferentes tipos de condições suportam diferentes operadores condicionais.
  - Condition_key: Especifica as chaves de condição.
  - Condition_value: Especifica os valores de condição.

Action

A tabela a seguir lista as ações definidas por Managed Security Service. As colunas da tabela são descritas a seguir:

Action: As ações podem ser usadas no elemento Action das instruções de política de permissão RAM para conceder permissões para realizar a operação.
API: A API que você pode chamar para realizar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para realizar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o ARN correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se apenas a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, a Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços integrados ao RAM. Para mais informações, consulte Chaves de condição comuns.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para realizar todas as ações dependentes.

Action	API	Nível de acesso	Tipo de recurso	Chave de condição	Ação dependente
yundun-mss:DeleteDjbhReport	DeleteDjbhReport	delete	All Resource ``	Nenhum	Nenhum
yundun-mss:GetWorkTaskSummary	GetWorkTaskSummary	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetSafetyCover	GetSafetyCover	get	All Resource ``	Nenhum	Nenhum
yundun-mss:PageServiceCustomer	PageServiceCustomer	list	All Resource ``	Nenhum	Nenhum
yundun-mss:GetBaselineSummary	GetBaselineSummary	get	All Resource ``	Nenhum	Nenhum
yundun-mss:SendCustomEvent	SendCustomEvent	create	All Resource ``	Nenhum	Nenhum
yundun-mss:GetDetailById	GetDetailById	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetSowList	GetSowList	list	All Resource ``	Nenhum	Nenhum
yundun-mss:GetSuspPageSummary	GetSuspPageSummary	list	All Resource ``	Nenhum	Nenhum
yundun-mss:GetVulSummary	GetVulSummary	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetVulPageSummary	GetVulPageSummary	list	All Resource ``	Nenhum	Nenhum
yundun-mss:GetAttackedAssetDeal	GetAttackedAssetDeal	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetVulItemPage	GetVulItemPage	list	All Resource ``	Nenhum	Nenhum
yundun-mss:GetVulListById	GetVulListById	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetDocumentPage	GetDocumentPage	list	All Resource ``	Nenhum	Nenhum
yundun-mss:DisposeServiceWorkOrder	DisposeServiceWorkOrder	update	All Resource ``	Nenhum	Nenhum
yundun-mss:GetDocumentSummary	GetDocumentSummary	get	All Resource ``	Nenhum	Nenhum
yundun-mss:ConfirmDjbhReport	ConfirmDjbhReport	update	All Resource ``	Nenhum	Nenhum
yundun-mss:DisposeWorkTask	DisposeWorkTask	update	All Resource ``	Nenhum	Nenhum
yundun-mss:GetUserStatus	GetUserStatus	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetRecentDocument	GetRecentDocument	get	All Resource ``	Nenhum	Nenhum
yundun-mss:DescribeServiceLinkedRole	DescribeServiceLinkedRole	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetDocumentDownloadUrl	GetDocumentDownloadUrl	get	All Resource ``	Nenhum	Nenhum
yundun-mss:CreateServiceWorkOrder	CreateServiceWorkOrder	create	All Resource ``	Nenhum	Nenhum
yundun-mss:GetAlarmDetailById	GetAlarmDetailById	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetSuspEventPage	GetSuspEventPage	list	All Resource ``	Nenhum	Nenhum
yundun-mss:CreateServiceLinkedRole	CreateServiceLinkedRole	create	All Resource ``	Nenhum	Nenhum
yundun-mss:GetConsoleScore	GetConsoleScore	get	All Resource ``	Nenhum	Nenhum
yundun-mss:GetSuspEventSummary	GetSuspEventSummary	list	All Resource ``	Nenhum	Nenhum

Resource

A tabela a seguir lista os recursos definidos por Managed Security Service. Especifique-os no elemento Resource das instruções de política RAM para conceder permissões para operações específicas. Eles são identificados de forma exclusiva por ARNs. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: A sigla do serviço da Alibaba Cloud, que indica a nuvem pública da Alibaba Cloud.
{#ramcode}: O código usado no RAM para indicar um serviço da Alibaba Cloud.
{#regionId}: O ID da região. Se o recurso abrange todas as regiões, defina-o como um asterisco (*).
{#accountId}: O ID da conta da Alibaba Cloud. Se o recurso abrange todas as contas da Alibaba Cloud, defina-o como um asterisco (*).
{#resourceType}: O identificador de recurso definido pelo serviço. Suporta uma estrutura hierárquica, semelhante a um caminho de arquivo. Se a instrução abrange recursos globais, defina-o como um asterisco (*).

Tipo de recurso

ARN

Condition

Managed Security Service não define chaves de condição em nível de produto. No entanto, você pode usar as chaves de condição comuns da Alibaba Cloud para controle de acesso. Para mais informações, consulte Chaves de condição comuns.

Como criar políticas RAM personalizadas?

Você pode criar políticas personalizadas e concedê-las a usuários RAM, grupos de usuários RAM ou funções RAM. Para instruções, consulte: