Use tags to control resource access - Resource Management: Central de Documentação do Alibaba Cloud

Tags combinadas com o Resource Access Management (RAM) permitem controle de acesso refinado. Crie uma política personalizada do RAM que restrinja uma identidade do RAM, como um usuário ou função do RAM, apenas aos recursos com tags específicas. Essa abordagem oferece boa escalabilidade, pois, ao adicionar novos recursos, basta aplicar as tags corretas em vez de atualizar várias políticas.

Tipos de recurso compatíveis com autorização baseada em tags

Para verificar quais tipos de recurso oferecem suporte à autorização baseada em tags, faça login no Tag Console. Na página Resource Types Supported by Tag, consulte a coluna Tag-based Authorization.

Como funciona

A figura a seguir ilustra o funcionamento do controle de acesso baseado em tags para um usuário do RAM.

Em uma política personalizada, use Conditions para especificar as tags autorizadas. As tags aceitam as seguintes condições:

Condição	Descrição
`acs:RequestTag/<tag-key>`	Especifica uma tag obrigatória na solicitação. O espaço reservado `<tag-key>` representa a chave real da tag.
`acs:ResourceTag/<tag-key>`	Especifica uma tag que deve estar associada ao recurso acessado. O espaço reservado `<tag-key>` representa a chave real da tag.

Procedimento

Crie e anexe tags.

Crie e anexe tags aos recursos no Tag Console, no console do Resource Center ou no console de um service cloud específico. Para obter instruções, consulte Create a tag e Attach tags to resources.
Crie uma política personalizada.

No console do RAM, crie uma política personalizada e configure as condições de autorização baseadas em tags no elemento Condition. Para mais detalhes, consulte Create a custom policy.

Por exemplo, a política abaixo permite que um usuário execute todas as operações de gerenciamento em instâncias do ECS com as tags owner:alice e environment:production.
```
{
	"Effect": "Allow",
	"Action": "ecs:*",
	"Resource": "*",
	"Condition": {
		"StringEquals": {
			"acs:ResourceTag/owner": [
				"alice"
			],
			"acs:ResourceTag/environment": [
				"production"
			]
		}
	}
}
```
Crie um usuário do RAM e conceda permissões.

No console do RAM, crie um usuário do RAM e anexe a política personalizada a ele. Para obter instruções, consulte Create a RAM user e Grant permissions to a RAM user.

Melhores práticas

Service cloud	Exemplo de autorização por tag
ECS	Use tags to control a RAM user's access to specific ECS instances Use tags to authorize groups of ECS instances Use tags to control the execution of Cloud Assistant commands
ECI	Use tags to authorize a RAM user
Auto Scaling (ESS)	Use tags to configure management permissions for scaling groups
SMC	Use tags to implement fine-grained access control
ApsaraDB RDS	Use tags to authorize groups of ApsaraDB RDS instances