Resource Access Management:Gerencie permissões para VPC

Informações básicas

Você pode conceder permissões de VPC a usuários do RAM com políticas do sistema ou criando políticas personalizadas.

• Políticas do sistema: O RAM oferece políticas predefinidas para casos de uso comuns. Para VPC, incluem:

  • AliyunVPCFullAccess: concede permissões administrativas totais para todos os recursos de VPC.

  • AliyunECSReadOnlyAccess: concede permissões somente leitura para todos os recursos de VPC.

• Políticas personalizadas: se as políticas do sistema forem muito abrangentes, crie políticas personalizadas para conceder permissões granulares. Assim, é possível restringir o acesso a recursos ou ações específicas conforme seus requisitos de segurança.

Procedimento

Para conceder permissões de VPC a um usuário do RAM, siga estas etapas gerais:

1. Crie um usuário do RAM para receber as permissões.

2. Crie uma política personalizada que defina as permissões específicas de VPC. Para mais informações, consulte a seção a seguir.

3. Anexe a política personalizada ao usuário do RAM.

Exemplos de políticas

• Exemplo 1: conceder permissão para gerenciar todas as VPCs

  A política a seguir concede a um usuário do RAM permissão para gerenciar todos os recursos de VPC na conta Alibaba Cloud 123456789012. Ela também inclui acesso somente leitura aos recursos do Elastic Compute Service (ECS), fornecendo o contexto necessário para trabalhar com VPCs no console.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*"
        ],
        "Resource": [
          "acs:vpc:*:1234567:*/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }

• Exemplo 2: conceder permissão para gerenciar vSwitches em uma região específica

  Esta política concede a um usuário do RAM permissão para gerenciar vSwitches e tabelas de rotas na região China (Qingdao). O usuário também recebe permissões somente leitura para recursos de VPC nas demais regiões, permitindo visualizar, mas não modificar, esses recursos.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*",
          "vpc:*VSwitch*",
          "vpc:*RouteTable*"
        ],
        "Resource": [
          "acs:vpc:cn-qingdao:*:*/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }

• Exemplo 3: conceder permissão para gerenciar tabelas de rotas em uma região específica

  A política abaixo concede a um usuário do RAM permissão para gerenciar entradas de rota e tabelas de rotas na região China (Hangzhou). Também inclui permissões somente leitura para recursos do ECS, Server Load Balancer (SLB) e ApsaraDB RDS (RDS). Tais permissões costumam ser necessárias para executar tarefas de gerenciamento de rede com eficiência, pois fornecem contexto sobre os serviços conectados à VPC.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "slb:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "rds:*Describe*"
        ],
        "Resource": [
          "*"
        ],
        "Condition": {}
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*",
          "vpc:*RouteEntry*",
          "vpc:*RouteTable*"
        ],
        "Resource": [ 
          "acs:vpc:cn-hangzhou:1234567:*/*"
        ],
        "Condition": {}
      }
    ]
  }

• Exemplo 4: conceder permissão para gerenciar rotas em uma tabela de rotas específica

  Esta política concede a um usuário do RAM permissão para gerenciar entradas de rota em uma tabela de rotas específica (vtb-m5e64ujkb7xn5zlq0xxxx). Trata-se de um exemplo de permissões no nível de recurso. O usuário também recebe acesso somente leitura a todos os recursos de VPC e ECS para fins de contexto.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*RouteEntry*"
        ],
        "Resource": [
          "acs:vpc:cn-qingdao:*:routetable/vtb-m5e64ujkb7xn5zlq0xxxx"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "vpc:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "ecs:*Describe*"
        ],
        "Resource": [
          "*"
        ]
      }
    ]
  }