Controle o acesso ao sistema de arquivos NAS com políticas do RAM - Alibaba Cloud - File Storage NAS: Central de Documentação do Alibaba Cloud

Aviso

Ao conceder acesso ao NAS para usuários do RAM, siga o princípio do menor privilégio. Permissões excessivamente amplas criam riscos de segurança.

Procedimento

Create a RAM user.
Selecione uma política de permissões para o usuário do RAM.
As políticas de permissões incluem {type} e {type}.
- {type}: A Alibaba Cloud disponibiliza políticas padrão para tarefas comuns. Políticas do sistema para NAS:
  - AliyunNASFullAccess (Não recomendada): Concede controle total sobre os sistemas de arquivos NAS. Não é recomendada devido às permissões de alto risco.
  - AliyunNASReadOnlyAccess: Concede acesso somente leitura aos sistemas de arquivos NAS.
- {type}: Crie políticas personalizadas para controle de acesso refinado.
  
  Use o editor JSON para criar uma política personalizada com base nos exemplos abaixo. Create a custom permission policy.
Conceda permissões ao usuário do RAM.

Conceda ao usuário do RAM a política selecionada em Step 2. Manage the permissions of a RAM user.

Exemplo 1: Conceder permissões em um sistema de arquivos

Conceder controle total sobre um sistema de arquivos

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

Nota

O RAM não oferece suporte à concessão de permissões de visualização em um único sistema de arquivos. Para conceder controle total sobre um sistema de arquivos específico, primeiro conceda permissões para visualizar todos os sistemas de arquivos e, em seguida, conceda permissões para operações como modificação e exclusão nesse sistema de arquivos.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "nas:*",
            "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "nas:CreateMountTarget",
            "Resource": "acs:vpc:*:*:vswitch/*"
        },
        {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "nas:DescribeFileSystems",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "nas:DescribeAccessGroups",
                "nas:DescribeAccessRules"
            ],
            "Resource": "acs:nas:*:*:accessgroup/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*"
        }
    ]
}

Conceder permissões para modificar atributos do sistema de arquivos

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:DescribeFileSystems",
            "nas:ModifyFileSystem"
        ],
        "Resource": "acs:nas:*:*:filesystem/07d****294"
    }],
    "Version": "1"
}

Conceder permissões para visualizar todos os sistemas de arquivos

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "nas:DescribeFileSystems",
        "Resource": "*"
    }],
    "Version": "1"
}

Exemplo 2: Conceder permissões em um ponto de montagem

A política a seguir concede controle total sobre os pontos de montagem do sistema de arquivos 07d****294.

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateMountTarget",
            "nas:DescribeMountTargets",
            "nas:ModifyMountTarget",
            "nas:DeleteMountTarget"
        ],
        "Resource": [
            "acs:nas:*:*:filesystem/07d****294",
            "acs:vpc:*:*:vswitch/*"
        ]
    }],
    "Version": "1"
}

Exemplo 3: Conceder permissões em um grupo de permissões

A política a seguir concede controle total sobre todos os grupos de permissões.

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateAccessGroup",
            "nas:DescribeAccessGroups",
            "nas:ModifyAccessGroup",
            "nas:DeleteAccessGroup",
            "nas:CreateAccessRule",
            "nas:DescribeAccessRules",
            "nas:ModifyAccessRule",
            "nas:DeleteAccessRule"
        ],
        "Resource": "acs:nas:*:*:accessgroup/*"
    }],
    "Version": "1"
}

Exemplo 4: Conceder permissões para visualizar métricas de desempenho

A política a seguir concede permissões para visualizar métricas de desempenho de qualquer sistema de arquivos no console.

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "cms:Query*",
        "Resource": "*"
    }],
    "Version": "1"
}

Exemplo 5: Conceder permissões para gerenciar a lixeira

Conceder controle total sobre a lixeira

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:EnableRecycleBin",
                "nas:DisableAndCleanRecycleBin ",
                "nas:UpdateRecycleBinAttribute",
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinRestoreJob",
                "nas:CreateRecycleBinDeleteJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

Conceder permissões para restaurar arquivos da lixeira

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinRestoreJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

Conceder permissões para excluir arquivos da lixeira

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:GetRecycleBinAttribute",
                "nas:CreateRecycleBinDeleteJob",
                "nas:CancelRecycleBinJob",
                "nas:ListRecycleBinJobs",
                "nas:ListRecycledDirectoriesAndFiles",
                "nas:ListRecentlyRecycledDirectories"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

Conceder permissões para modificar configurações da lixeira

A política a seguir usa o sistema de arquivos 07d****294 como exemplo. Substitua pelo ID real do seu sistema de arquivos.

{
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "nas:EnableRecycleBin",
                "nas:UpdateRecycleBinAttribute",
                "nas:DisableAndCleanRecycleBin",
                "nas:GetRecycleBinAttribute"
            ],
            "Resource": [
                "acs:nas:*:*:filesystem/07d****294"
            ]
        }
    ],
    "Version": "1"
}

Apêndice: Referência de Action e Resource

Para criar uma política personalizada no console do RAM, defina Configuration Mode como Script e insira a política em JSON. Use os valores de Action e Resource da tabela a seguir. Basic elements of a permission policy.

API		Action	Resource	Descrição
Sistema de arquivos	CreateFileSystem	nas:CreateFileSystem	acs:nas:<region>:<account-id>:filesystem/*	Cria um sistema de arquivos.
	DeleteFileSystem	nas:DeleteFileSystem	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Exclui um sistema de arquivos.
	ModifyFileSystem	nas:ModifyFileSystem	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Modifica as configurações do sistema de arquivos.
	DescribeFileSystems	nas:DescribeFileSystems	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Consulta sistemas de arquivos.
Ponto de montagem	CreateMountTarget	nas:CreateMountTarget	acs:nas:<region>:<account-id>:filesystem/<filesystemid> acs:vpc:::vswitch/*	Cria um ponto de montagem.
	DeleteMountTarget	nas:DeleteMountTarget	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Exclui um ponto de montagem.
	ModifyMountTarget	nas:ModifyMountTarget	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Modifica as configurações do ponto de montagem.
	DescribeMountTargets	nas:DescribeMountTargets	acs:nas:<region>:<account-id>:filesystem/<filesystemid>	Consulta os pontos de montagem de um sistema de arquivos.
Grupo de permissões	CreateAccessGroup	nas:CreateAccessGroup	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Cria um grupo de permissões.
	DeleteAccessGroup	nas:DeleteAccessGroup	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Exclui um grupo de permissões.
	ModifyAccessGroup	nas:ModifyAccessGroup	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Modifica um grupo de permissões.
	DescribeAccessGroups	nas:DescribeAccessGroups	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Consulta grupos de permissões.
	CreateAccessRule	nas:CreateAccessRule	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Cria uma regra de permissão.
	DeleteAccessRule	nas:DeleteAccessRule	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Exclui uma regra de permissão.
	ModifyAccessRule	nas:ModifyAccessRule	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Modifica uma regra de permissão.
	DescribeAccessRules	nas:DescribeAccessRules	acs:nas:<region>:<account-id>:accessgroup/<accessgroupname>	Consulta regras de permissão.

File Storage NAS:Controle o acesso ao NAS com políticas do RAM

Procedimento

Exemplo 1: Conceder permissões em um sistema de arquivos

Conceder controle total sobre um sistema de arquivos

Conceder permissões para modificar atributos do sistema de arquivos

Conceder permissões para visualizar todos os sistemas de arquivos

Exemplo 2: Conceder permissões em um ponto de montagem

Exemplo 3: Conceder permissões em um grupo de permissões

Exemplo 4: Conceder permissões para visualizar métricas de desempenho

Exemplo 5: Conceder permissões para gerenciar a lixeira

Conceder controle total sobre a lixeira

Conceder permissões para restaurar arquivos da lixeira

Conceder permissões para excluir arquivos da lixeira

Conceder permissões para modificar configurações da lixeira

Apêndice: Referência de Action e Resource

Perguntas frequentes