Resource Management:Overview

Cenários

Quando uma empresa organiza todos os departamentos em um diretório de recursos, ela precisa de uma forma de aplicar regras em toda a organização — como proibir o registro de domínios ou a exclusão de logs — sem depender de cada departamento para se autopoliciar. O Control Policy permite que a conta de gerenciamento defina políticas de controle de acesso de forma centralizada e as vincule a pastas ou membros no diretório de recursos, garantindo conformidade de segurança e controle de custos em toda a organização.

Tipos de políticas de controle de acesso

• System access control policy

  O Resource Directory fornece uma política de controle de acesso do sistema integrada: FullAliyunAccess. Essa política permite todas as operações em todos os recursos de cloud e é vinculada automaticamente a cada pasta e membro quando você ativa o Control Policy. Você pode visualizá-la, mas não pode criá-la, modificá-la nem excluí-la.

• Custom access control policy

  Você crie e gerencia as políticas de controle de acesso personalizadas. Após crie uma política, vincule-a às pastas ou membros onde ela deve ser aplicada. Desvincule-a quando não for mais necessária.

Como funciona

1. Ative o Control Policy usando a conta de gerenciamento do seu diretório de recursos. Para obter mais informações, consulte Enable control policy.

   Após ative o Control Policy, o sistema vincula a política FullAliyunAccess a todas as pastas e membros por padrão. Isso evita falhas de acesso enquanto você configura as políticas personalizadas.

2. Crie uma política de controle de acesso personalizada usando a conta de gerenciamento. Para obter mais informações, consulte Create a custom control policy.

3. Vincule a política a pastas ou membros. Para obter mais informações, consulte Attach a custom access control policy.

   As políticas vinculadas a uma pasta se aplicam automaticamente a todas as suas subpastas e membros. Por exemplo, se a Política A estiver vinculada a uma pasta e a Política B a uma de suas subpastas, ambas as políticas se aplicam a todos os membros dessa subpasta.

   Nota

   Comece vinculando uma política de controle de acesso personalizada a um conjunto pequeno de pastas ou membros para verifique se ela funciona conforme esperado antes de expandir a aplicação.

4. Quando um usuário RAM ou uma função RAM em uma conta membro faz uma solicitação de acesso, o sistema avalia a solicitação com base em todas as políticas de controle de acesso vinculadas, percorrendo a hierarquia do diretório de recursos do membro para cima:

   • A avaliação começa no membro proprietário do recurso de destino e sobe nível a nível pelas pastas pai.

   • Se uma instrução Deny corresponder, a avaliação para imediatamente e o sistema nega a solicitação — sem verifique as permissões do usuário ou da função RAM.

   • Caso nenhuma instrução Deny ou Allow corresponda em nenhum nível, o sistema nega a solicitação.

   • Se nenhuma instrução Deny corresponder, mas uma instrução Allow corresponder, a avaliação continua até a pasta Root. Após a aprovação na pasta Root, o sistema passa a verifique as permissões do usuário ou da função RAM. Para obter mais informações, consulte Policy evaluation process.

   • As políticas de controle de acesso não se aplicam a funções vinculadas a service. Para obter mais informações sobre funções vinculadas a service, consulte Service-linked roles.

   • As políticas vinculadas a uma pasta se aplicam a todos os membros dessa pasta e de todas as suas subpastas.

   Importante

   As políticas de controle se aplicam a todos os principals RAM (usuários e funções) dentro de uma conta membro, mas não se aplicam ao proprietário dessa conta nem a quaisquer principals na conta de gerenciamento do Resource Directory.

Permitir que serviços específicos da Alibaba Cloud ignorem uma política de controle de acesso personalizada

As políticas de controle de acesso personalizadas restringem o acesso a recursos para os membros aos quais estão vinculadas. Como os serviços da Alibaba Cloud frequentemente usam funções de service para acessar recursos da conta em seu nome, uma política personalizada que nega as permissões necessárias pode comprometer esses recursos de service. Para excluir uma função de service de uma política, atualize a política incluindo uma condição que isente essa função.

1. Encontre o nome da função de service usada pelo service que você deseja isentar.

   Faça logon no console do RAM para visualize todas as funções de service na sua conta.

2. Adicione a chave "acs:PrincipalARN" ao parâmetro Condition no documento da política e defina o valor como o nome da função de service. O exemplo a seguir nega ram:UpdateUser para todos os principals, exceto a função de service especificada:

   {
       "Statement": [
           {
               "Action": [
                   "ram:UpdateUser"
               ],
               "Resource": "*",
               "Effect": "Deny",         
               "Condition": {
                   "StringNotLike": {
                       "acs:PrincipalARN":"acs:ram:*:*:role/<Name of the service role>"
                  }
              }
           }
       ],
       "Version": "1"
   }

   Para obter mais informações sobre a sintaxe das políticas de controle de acesso, consulte Access control policy language.

Limites

Para obter mais informações, consulte Limits on resource directories.

Serviços da Alibaba Cloud que não oferecem suporte ao recurso Control Policy

• O Microservices Engine (MSE) de uma versão específica de engine oferece suporte ao recurso Control Policy.

  Para obter mais informações sobre as versões de engine do MSE, consulte Edition features.

• Os seguintes aplicativos e clusters no ApsaraMQ for RocketMQ não oferecem suporte ao recurso Control Policy:

  • O aplicativo mq-HTTP não oferece suporte ao recurso Control Policy.

  • O aplicativo onsbroker não oferece suporte ao recurso Control Policy nas seguintes regiões:

    • UAE (Dubai).

    • China (Shanghai): os clusters sh-share9 e shvip-st21ujm8f01 nesta região não oferecem suporte ao recurso Control Policy.

    • China North 2 Ali Gov 1: os clusters beijing.gov.vip.v0h0ovmfp02, beijing.gov.vip.nif1zmrlf02 e vip-cn-north-2-gov-1-45914plw301 nesta região não oferecem suporte ao recurso Control Policy.