Resource Access Management:Restrict access by IP address

Casos de uso

Uma empresa utiliza diversos recursos do Alibaba Cloud para operar seus negócios, como instâncias ECS, instâncias ApsaraDB RDS, instâncias Server Load Balancer (SLB) e buckets OSS. Para proteger seus serviços e dados, a empresa precisa permitir o acesso a esses recursos apenas a partir de endereços IP específicos.

Para isso, crie uma política personalizada e um usuário RAM e, em seguida, anexe a política a esse usuário. Assim, o usuário RAM poderá acessar os recursos do Alibaba Cloud apenas a partir dos endereços IP especificados.

Procedimento

Este exemplo demonstra como permitir que um usuário RAM acesse instâncias ECS exclusivamente a partir dos endereços IP 192.0.2.0/24 e 203.0.113.2.

1. Crie uma política personalizada.

   Faça login no RAM console. No painel de navegação à esquerda, escolha Permissions > Policies. Na página Policies, clique em Create Policy. Crie a política personalizada no editor visual ou na guia JSON. Para mais informações, consulte Create a custom policy.

   O código a seguir apresenta um exemplo de política de permissão:

   {
     "Statement": [
       {
         "Action": "ecs:*",
         "Effect": "Allow",
         "Resource": "*",
         "Condition": {
           "IpAddress": {
             "acs:SourceIp":[
             "192.0.2.0/24",
             "203.0.113.2"
            ]
           }
         }
       }
     ],
     "Version": "1"
   }

   Nota

   Ao usar esta política, substitua o valor de acs:SourceIp pelos seus endereços IP reais.

2. Crie um usuário RAM.

   No painel de navegação à esquerda, escolha Identities > Users e clique em Create User. Por questões de segurança, selecione apenas um modo de acesso para o usuário RAM e separe usuários humanos de usuários de aplicação. Para mais informações, consulte Create a RAM user.

   Nos campos Logon Name e Display Name, insira Bob. Para Access Mode, selecione Console Access.

3. Conceda permissões ao usuário RAM.

   Na página Users, encontre o usuário RAM e anexe a política personalizada. Para mais informações, consulte Grant permissions to a RAM user.

   Na página Add Permissions, selecione Account Level para Resource Scope. Encontre e selecione a política personalizada que você criou, como ECS-test1, e clique em OK.

4. Faça login como o usuário RAM e acesse uma instância ECS para verificar a política.

   Se o usuário RAM acessar uma instância ECS a partir de um endereço IP permitido, como um no intervalo 192.0.2.0/24 ou 203.0.113.2, o acesso será bem-sucedido. Se o usuário RAM tentar acessar a instância a partir de qualquer outro endereço IP, o acesso será negado.

FAQ

A política não surte efeito

Se uma política de permissão não surtir efeito após ser concedida a um usuário RAM, os endereços IP na política podem estar incorretos. Para Alibaba Cloud services that are integrated with ActionTrail, visualize os eventos relacionados no ActionTrail console. Nos detalhes do evento, é possível encontrar o endereço IP de origem da requisição. Em seguida, modifique os endereços IP na política e verifique-a novamente.

No painel de navegação à esquerda, escolha Event Query. Filtre os eventos por Cloud Service Name. Na lista de eventos, encontre o evento relevante e clique em View Details na coluna Actions.

Documentação relacionada

• Este tópico foca no uso da instrução Allow com a chave de condição IpAddress. Use também a instrução Deny com a chave de condição NotIpAddress e especifique os endereços IP permitidos. Para mais exemplos de políticas, consulte Control access based on IP addresses.

• Para mais informações sobre elementos de política, como Effect, Action, Resource e Condition, consulte Basic elements of a permission policy.

• Para mais informações sobre como visualizar eventos no ActionTrail, consulte Query events.

• Com o Terraform Explorer, execute o modelo deste tutorial para implantar o ambiente diretamente. Terraform Explorer.