File Storage NAS:Uso de grupos de recursos para controle granular de recursos

Autorização por grupo de recursos

Grupos de recursos permitem organizar os recursos da sua conta Alibaba Cloud. Por exemplo, crie um grupo para cada projeto e adicione seus respectivos recursos para gerenciamento centralizado. Para mais informações, consulte O que é um grupo de recursos.

Após agrupar os recursos, conceda permissões com escopo limitado a um grupo específico para diferentes identidades RAM, como usuários RAM, grupos de usuários RAM ou funções RAM. Isso garante que uma identidade gerencie apenas os recursos dentro daquele grupo. Para mais informações, consulte Agrupamento e autorização de recursos.

Esse método de autorização oferece os seguintes benefícios:

• Permissões granulares: Conceda a cada identidade exatamente as permissões necessárias. Isso facilita o isolamento do gerenciamento de recursos por projeto e evita que recursos de projetos distintos sejam gerenciados em conjunto.

• Escalabilidade: Ao adicionar novos recursos, basta atribuí-los ao grupo de recursos correspondente. As identidades RAM associadas recebem automaticamente as permissões para os novos recursos, eliminando a necessidade de autorizações adicionais.

Concessão de permissões no nível de grupo de recursos

Este tópico descreve como conceder permissões a um RAM user sobre recursos do NAS em um grupo de recursos específico.

Tipos de recursos compatíveis

A tabela a seguir lista os tipos de recursos do Apsara File Storage NAS que podem ser adicionados a um grupo de recursos.

Ações sem autorização por grupo de recursos

As ações listadas abaixo do Apsara File Storage NAS não oferecem suporte à autorização no nível de grupo de recursos:

Para ações que não oferecem suporte à autorização no nível de grupo de recursos, conceder permissões no nível de resource group não surte efeito. Para autorizar um usuário RAM a executar essas ações, crie uma política personalizada e conceda a permissão no nível da account.

Os exemplos a seguir mostram políticas personalizadas que podem ser adaptadas conforme suas necessidades específicas.

• A política abaixo permite todas as ações de somente leitura que não oferecem suporte à autorização por grupo de recursos, listando-as no elemento Action.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "nas:DescribeAccessGroups",
          "nas:DescribeAccessRules",
          "nas:DescribeAutoSnapshotPolicies",
          "nas:DescribeAutoSnapshotTasks",
          "nas:DescribeBlackListClients",
          "nas:DescribeFileSystemBriefInfos",
          "nas:DescribeFileSystemFlowControlSetting",
          "nas:DescribeFileSystemStatistics",
          "nas:DescribeFilesystemsAssociatedHpnZones",
          "nas:DescribeFilesystemsVscAttachInfo",
          "nas:DescribeLogAnalysis",
          "nas:DescribeMountedClients",
          "nas:DescribeProtocolMountTarget",
          "nas:DescribeProtocolMountTarget007",
          "nas:DescribeProtocolService",
          "nas:DescribeRegions",
          "nas:DescribeResourceStatistics",
          "nas:DescribeSnapshots",
          "nas:DescribeStoragePackages",
          "nas:DescribeVscMountPointAttachInfo",
          "nas:DescribeVscMountPoints",
          "nas:DescribeZones",
          "nas:GetLifecycleRuleTimeRange",
          "nas:GetViperGrayConfig"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Esta política permite todas as ações incompatíveis com autorização por grupo de recursos, relacionando-as no elemento Action.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "nas:AddClientToBlackList",
          "nas:AddTags",
          "nas:ApplyAutoSnapshotPolicy",
          "nas:AttachVscMountPoint",
          "nas:AttachVscToFilesystems",
          "nas:BindStoragePackage",
          "nas:CancelAutoSnapshotPolicy",
          "nas:CancelLifecycleRetrieveJob",
          "nas:CancelRecycleBinJob",
          "nas:ClientMount",
          "nas:ClientRootAccess",
          "nas:ClientWrite",
          "nas:CreateAccessGroup",
          "nas:CreateAccessRule",
          "nas:CreateAutoSnapshotPolicy",
          "nas:CreateFile",
          "nas:CreateLDAPConfig",
          "nas:CreateLogAnalysis",
          "nas:CreateMountTargetInternal",
          "nas:CreateProtocolMountTarget",
          "nas:CreateProtocolService",
          "nas:CreateServicePolicy",
          "nas:CreateSnapshot",
          "nas:CreateVscMountPoint",
          "nas:DeleteAccessGroup",
          "nas:DeleteAccessRule",
          "nas:DeleteAutoSnapshotPolicy",
          "nas:DeleteLDAPConfig",
          "nas:DeleteLogAnalysis",
          "nas:DeleteMountTargetSpecial",
          "nas:DeleteProtocolMountTarget",
          "nas:DeleteProtocolService",
          "nas:DeleteSnapshot",
          "nas:DeleteVscMountPoint",
          "nas:DemoCloneTest",
          "nas:DescribeAccessGroups",
          "nas:DescribeAccessRules",
          "nas:DescribeAutoSnapshotPolicies",
          "nas:DescribeAutoSnapshotTasks",
          "nas:DescribeBlackListClients",
          "nas:DescribeFileSystemBriefInfos",
          "nas:DescribeFileSystemFlowControlSetting",
          "nas:DescribeFileSystemStatistics",
          "nas:DescribeFilesystemsAssociatedHpnZones",
          "nas:DescribeFilesystemsVscAttachInfo",
          "nas:DescribeLogAnalysis",
          "nas:DescribeMountedClients",
          "nas:DescribeProtocolMountTarget",
          "nas:DescribeProtocolMountTarget007",
          "nas:DescribeProtocolService",
          "nas:DescribeRegions",
          "nas:DescribeResourceStatistics",
          "nas:DescribeSnapshots",
          "nas:DescribeStoragePackages",
          "nas:DescribeVscMountPointAttachInfo",
          "nas:DescribeVscMountPoints",
          "nas:DescribeZones",
          "nas:DetachVscFromFilesystems",
          "nas:DetachVscMountPoint",
          "nas:GetLifecycleRuleTimeRange",
          "nas:GetViperGrayConfig",
          "nas:ModifyAccessGroup",
          "nas:ModifyAccessRule",
          "nas:ModifyAutoSnapshotPolicy",
          "nas:ModifyDataFlowTasks",
          "nas:ModifyLDAPConfig",
          "nas:ModifyProtocolMountTarget",
          "nas:ModifyProtocolService",
          "nas:OpenNasService",
          "nas:RemoveClientFromBlackList",
          "nas:ResetFileSystem",
          "nas:RetryLifecycleRetrieveJob",
          "nas:SetFileSystemFlowControl",
          "nas:TagResources",
          "nas:TestDemoDescribeProtocolMountTarget",
          "nas:TestDemoDescribeProtocolMountTarget03",
          "nas:TestDescribeProtocolMountTarget",
          "nas:TestDescribeProtocolMountTarget02",
          "nas:UntagResources"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes