OpenAPI Explorer:Permissões para diagnóstico de erros de API entre contas

Etapa 1: Crie uma política personalizada

1. Faça login no RAM console com sua conta Alibaba Cloud ou com um usuário RAM que tenha permissões de gerenciamento do RAM.

2. No painel de navegação à esquerda, escolha Permissions e clique em Policies.

3. Na página Policies, clique em Create Policy.

4. Na página Create Policy, clique na aba JSON.

   O editor exibe um modelo de política padrão com Version definido como "1" e um array Statement contendo um único objeto. Esse objeto possui Effect igual a "Allow" e elementos Action, Resource e Condition vazios.

5. Substitua o conteúdo do editor pela política a seguir e clique em OK.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "openapiexplorer:GetRequestLog",
                   "ram:DecodeDiagnosticMessage"
               ],
               "Resource": "*"
           }
       ]
   }

   Nota

   Esta política permite que o usuário visualize todos os logs de chamadas de API e informações detalhadas sobre permissões insuficientes dentro da conta Alibaba Cloud.

6. Insira um Policy Name e uma Description e clique em OK.

Etapa 2: Conceder permissões a um usuário RAM

Conceda permissões ao usuário RAM utilizando um dos métodos abaixo:

• Para conceder permissões a um usuário RAM, consulte Gerencie as permissões de usuário RAM.

• Para conceder permissões a um grupo de usuários RAM, consulte Grant permissions to a RAM user group.

Etapa 3: Visualize o resultado do diagnóstico de API

Acesse OpenAPI TroubleshootOpenAPI Troubleshoot, insira o RequestId e clique em Diagnose.

O resultado do diagnóstico indica que o service de cloud é ECS, o ErrorCode é Forbidden.RAM e o ErrorMessage informa que o usuário RAM não tem autorização para operar no recurso especificado. Os detalhes do diagnóstico identificam o chamador como um usuário RAM tentando executar a ação ecs:ModifyInstanceAttribute, com decisão de permissões insuficientes. A solução recomendada é entrar em contato com um administrador para conceder uma política de sistema relevante, como AliyunECSFullAccess ou AliyunECSReadOnlyAccess, ou crie uma política personalizada.

Etapa 1: Configure uma função RAM na Conta A

1. Crie uma função RAM.

   Faça login no RAM console com a Conta A. Crie uma função RAM com Principal Type definido como Cloud Account. Para mais informações, consulte Create a RAM role for a trusted Alibaba Cloud account.

   Nota

   Na página Create Role, em Principal Name, selecione Other Account e insira o UID da Conta B.

2. Crie uma política personalizada.

   Para instruções, consulte Step 1: Create a custom policy na seção anterior.

3. Conceda permissões à função RAM.

   Anexe a política personalizada criada na etapa anterior à função RAM. Para mais informações, consulte Manage permissions for a RAM role.

Etapa 2: Configure um usuário RAM na Conta B

1. Crie um usuário RAM.

   Faça login no RAM console com a Conta B e crie um usuário RAM. Para mais informações, consulte Create a RAM user.

   Nota

   Por segurança, configure apenas um modo de acesso para o usuário RAM conforme suas necessidades. Mantenha o acesso ao console e o acesso programático separados.

   Neste exemplo, o Logon Name está definido como GetApiLogUser, o Display Name como "Para consultar logs de chamadas de API de outra conta Alibaba Cloud" e, em Access Mode, tanto console access quanto programmatic access estão selecionados.

2. Conceda permissões ao usuário RAM.

   Anexe a política AliyunSTSAssumeRoleAccess ao usuário RAM. Essa política permite que o usuário assuma qualquer função RAM. Para mais informações, consulte Gerencie as permissões de usuário RAM.

   Nota

   Se desejar que o usuário RAM possa assumir apenas funções RAM específicas, consulte RAM roles and STS Token FAQs.

Etapa 3: Assumir a função e visualizar informações de diagnóstico

1. Utilize o usuário RAM da Conta B para fazer login na página de login de usuário RAM.

2. Passe o mouse sobre sua foto de perfil no canto superior direito e clique em Switch Identity.

3. Na página Switch Role, insira o UID da Conta A e o nome da função RAM e clique em Submit.

4. Visualize as informações de diagnóstico de API.

   Acesse OpenAPI TroubleshootOpenAPI Troubleshoot, insira o RequestId e clique em Diagnose.

   O resultado do diagnóstico mostra que o service de cloud é ECS, o ErrorCode é Forbidden.RAM e o ErrorMessage é User not authorized to operate on the specified resource, or this API doesn't support RAM.. Os detalhes do diagnóstico indicam que uma política baseada em identidade no nível de grupo de recursos negou o acesso. Eles também mostram que o chamador era um usuário RAM tentando executar a ação ecs:ModifyInstanceAttribute enquanto estava conectado com a função GetApiLogRole.