Resource Access Management:Limitations

Como lidar com o excesso de limites de políticas

Se o número de políticas anexadas a um usuário do RAM, grupo de usuários do RAM ou função do RAM atingir o limite, ou se o conteúdo de uma política personalizada exceder o limite de caracteres, use os métodos a seguir.

• Aumentar a cota: Acesse o console do Quota Center, insira Resource Access Management como nome do product e pesquise Number of System Policies That a RAM Role Can Bind ou Number of Custom Policies That a RAM Role Can Bind. Em seguida, envie uma solicitação de aumento de cota.

  • Por padrão, cada função do RAM aceita até 20 políticas de sistema (aumentável para 40) e até 10 políticas personalizadas (aumentável para 20).

  • O limite máximo de uma política personalizada é de 6.144 caracteres e não é ajustável.

• Consolidar políticas: Na página Policies  do RAM console, clique em Create Policy, alterne para o modo Json Editor e consolide os elementos Action de várias políticas de sistema em uma única política personalizada. Use curingas, como oss:Get*, para simplificar a lista de ações e reduzir o uso de caracteres.

• Se o aumento de cota ainda não for suficiente, como quando o número de políticas de sistema de somente leitura necessárias excede o novo limite, mescle políticas para reduzir ainda mais o número de slots utilizados. Para ilustrar, mescle as permissões de somente leitura do API Gateway, Data Transmission Service (DTS) e Auto Scaling (ESS) em uma única política personalizada:

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "apigateway:Describe*",
          "apigateway:List*",
          "dts:Describe*",
          "dts:List*",
          "ess:Describe*",
          "ess:List*"
        ],
        "Resource": "*"
      }
    ]
  }

  Este exemplo consolida as permissões de somente leitura de três services em uma única política personalizada, economizando dois slots de política em comparação com a anexação de três políticas de sistema separadamente. A quantidade de services que uma política personalizada pode consolidar não é fixa. Isso é restrito pelo limite de caracteres no conteúdo da política, portanto, avalie conforme o comprimento real da sua lista Action.

• Lidar com o limite de caracteres: O conteúdo de uma política personalizada não pode exceder 6.144 caracteres, e esse limite não é ajustável. Se o conteúdo mesclado ainda exceder o limite, divida-o em várias políticas personalizadas ou use curingas em vez de nomes de Action específicos para encurtar o conteúdo.

• Cobertura do ReadOnlyAccess: A política de sistema AliyunReadOnlyAccess usa curingas como *:Describe*, *:List*, *:Get* e *:Read* para cobrir a maioria das operações de somente leitura. Ações que não seguem essas convenções de nomenclatura, como hbr:BrowseFiles, alikafka:DashboardList, actiontrail:Lookup*, dm:Desc* e hbr:Search*, não têm cobertura automática e você deve adicioná-las separadamente a uma política personalizada.

• Usar uma única política de somente leitura para todos os products em vez de uma política por product: Para conceder a um usuário do RAM permissões de somente leitura em todos os products Alibaba Cloud, anexe a política de sistema AliyunReadOnlyAccess. Por exemplo, você não precisa anexar separadamente as políticas de sistema de somente leitura do OSS e ECS AliyunOSSReadOnlyAccess e AliyunECSReadOnlyAccess. Anexar uma política por product consome rapidamente a cota, que é de 20 políticas de sistema por usuário do RAM. Ao atingir o limite, anexar outra política gera o erro LimitExceeded.User.Policy. A política única AliyunReadOnlyAccess cobre as operações de somente leitura da maioria dos products Alibaba Cloud e ocupa apenas um slot de política de sistema.