Resource Management:Visão geral

Cenários

Ao organizar todos os departamentos em um diretório de recursos, a empresa precisa impor regras em toda a organização — como proibir o registro de domínios ou a exclusão de logs — sem depender da autorregulação de cada departamento. A Control Policy permite que a conta de gerenciamento defina políticas de controle de acesso centralmente e as anexe a pastas ou membros no diretório de recursos. Isso garante conformidade de segurança e controle de custos em toda a organização.

Tipos de políticas de controle de acesso

• System access control policy

  O Resource Directory fornece uma política de controle de acesso do sistema integrada: FullAliyunAccess. Essa política permite todas as operações em todos os recursos de nuvem e é anexada automaticamente a cada pasta e membro quando você ativa a Control Policy. Você pode visualizá-la, mas não pode criá-la, modificá-la ou excluí-la.

• Custom access control policy

  Você cria e gerencia as políticas de controle de acesso personalizadas. Após criar uma política, anexe-a às pastas ou membros onde ela deve ser aplicada. Desanexe-a quando não for mais necessária.

Funcionamento

1. Ative a Control Policy usando a conta de gerenciamento do seu diretório de recursos. Para obter mais informações, consulte Ativar política de controle.

   Após ativar a Control Policy, o sistema anexa a FullAliyunAccess a todas as pastas e membros por padrão. Isso evita falhas de acesso enquanto você configura políticas personalizadas.

2. Crie uma política de controle de acesso personalizada usando a conta de gerenciamento. Para obter mais informações, consulte Criar uma política de controle personalizada.

3. Anexe a política a pastas ou membros. Para obter mais informações, consulte Anexar uma política de controle de acesso personalizada.

   As políticas anexadas a uma pasta aplicam-se automaticamente a todas as suas subpastas e membros. Por exemplo, se a Política A estiver anexada a uma pasta e a Política B a uma de suas subpastas, ambas as políticas se aplicarão a todos os membros dessa subpasta.

   Nota

   Comece anexando uma política de controle de acesso personalizada a um pequeno conjunto de pastas ou membros para verificar se ela funciona conforme o esperado antes de implantá-la em maior escala.

4. Quando um usuário ou função do RAM em uma conta membro faz uma solicitação de acesso, o sistema avalia a solicitação com base em todas as políticas de controle de acesso anexadas. A avaliação percorre a hierarquia do diretório de recursos do membro para cima:

   • A avaliação começa no membro proprietário do recurso de destino e sobe nível por nível pelas pastas pai.

   • Se uma instrução Deny corresponder, a avaliação para imediatamente e a solicitação é negada, sem verificar as permissões do usuário ou da função do RAM.

   • Caso nenhuma instrução Deny ou Allow corresponda em qualquer nível, a solicitação será negada.

   • Se não houver correspondência de Deny, mas houver uma de Allow, a avaliação continua até a pasta Root. Depois que a pasta Root for aprovada, o sistema prosseguirá para verificar as permissões do usuário ou da função do RAM. Para obter mais informações, consulte Processo de avaliação de política.

   • As políticas de controle de acesso não se aplicam a funções vinculadas a serviço. Para obter mais informações sobre funções vinculadas a serviço, consulte Funções vinculadas a serviço.

   • As políticas anexadas a uma pasta aplicam-se a todos os membros nessa pasta e em quaisquer subpastas dela.

   Importante

   As políticas de controle aplicam-se a todos os principais do RAM (usuários e funções) dentro de uma conta membro, mas não se aplicam ao proprietário dessa conta nem a quaisquer principais na conta de gerenciamento do Resource Directory.

Permitir que serviços específicos da Alibaba Cloud ignorem uma política de controle de acesso personalizada

As políticas de controle de acesso personalizadas restringem o acesso a recursos para os membros aos quais estão anexadas. Como os serviços da Alibaba Cloud frequentemente usam funções de serviço para acessar recursos da conta em seu nome, uma política personalizada que negue as permissões necessárias pode interromper esses recursos do serviço. Para excluir uma função de serviço de uma política, atualize a política para incluir uma condição que isente a função.

1. Encontre o nome da função de serviço usada pelo serviço que você deseja isentar.

   Faça logon no console do RAM para visualizar todas as funções de serviço em sua conta.

2. Adicione a chave "acs:PrincipalARN" ao parâmetro Condition no documento da política e defina seu valor como o nome da função de serviço. O exemplo a seguir nega ram:UpdateUser para todos os principais, exceto para a função de serviço especificada:

   {
       "Statement": [
           {
               "Action": [
                   "ram:UpdateUser"
               ],
               "Resource": "*",
               "Effect": "Deny",         
               "Condition": {
                   "StringNotLike": {
                       "acs:PrincipalARN":"acs:ram:*:*:role/<Name of the service role>"
                  }
              }
           }
       ],
       "Version": "1"
   }

   Para obter mais informações sobre a sintaxe das políticas de controle de acesso, consulte Linguagem da política de controle de acesso.

Limites

Para obter mais informações, consulte Limites dos diretórios de recursos.

Serviços da Alibaba Cloud que não suportam o recurso Control Policy

• O Microservices Engine (MSE), em versões específicas do mecanismo, suporta o recurso Control Policy.

  Para obter mais informações sobre as versões do mecanismo MSE, consulte Recursos das edições.

• Os seguintes aplicativos e clusters no ApsaraMQ for RocketMQ não suportam o recurso Control Policy:

  • O aplicativo mq-http não oferece suporte ao recurso Control Policy.

  • O aplicativo onsbroker não oferece suporte ao recurso Control Policy nas seguintes regiões:

    • EAU (Dubai).

    • China (Xangai): Os clusters sh-share9 e shvip-st21ujm8f01 nesta região não suportam o recurso Control Policy.

    • China North 2 Ali Gov 1: Os clusters beijing.gov.vip.v0h0ovmfp02, beijing.gov.vip.nif1zmrlf02 e vip-cn-north-2-gov-1-45914plw301 nesta região não suportam o recurso Control Policy.