Resource Orchestration Service:Use grupos de recursos para controle granular de recursos

Como funciona a autorização por grupo de recursos

Use um grupo de recursos para organizar os ativos da sua conta Alibaba Cloud. Por exemplo, crie um grupo separado para cada projeto e mova os recursos correspondentes para facilitar o gerenciamento centralizado. Para mais informações, consulte O que é um grupo de recursos?.

Após organizar seus recursos, conceda permissões com escopo limitado a um grupo específico para diferentes entidades do RAM, como usuários, grupos de usuários ou funções do RAM. Isso garante que a entidade gerencie apenas os recursos contidos naquele grupo. Para mais informações, consulte Agrupamento e autorização de recursos.

Essa abordagem oferece os seguintes benefícios:

• Permissões granulares: Garante que cada entidade tenha apenas as permissões necessárias para acessar os recursos, evitando a mistura de ativos de projetos diferentes na mesma conta.

• Escalabilidade: Ao adicionar novos recursos a um grupo, a entidade do RAM obtém automaticamente as permissões exigidas para eles, eliminando a necessidade de novas concessões manuais.

Conceder permissões no nível de grupo de recursos a um usuário do RAM

Os passos a seguir descrevem como conceder permissões a um RAM user para gerenciar recursos do ROS em um grupo de recursos específico.

Tipos de recursos do ROS compatíveis

A tabela a seguir lista os tipos de recursos do ROS compatíveis com grupos de recursos.

Ações sem autorização no nível de grupo de recursos

As seguintes ações do ROS não suportam autorização no nível de grupo de recursos:

Para ações que não suportam autorização no nível de grupo de recursos, selecionar Resource Group como escopo autorizado é ineficaz. Para conceder essas permissões a um usuário do RAM, crie uma política personalizada e selecione Account como escopo autorizado.

Veja abaixo dois exemplos de políticas personalizadas. Ajuste o conteúdo da política conforme necessário.

• Permite todas as ações somente leitura que não suportam autorização no nível de grupo de recursos: O elemento Action lista todas as ações somente leitura incompatíveis com autorização por grupo de recursos.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ros:DescribeStacks",
          "ros:GetAITask",
          "ros:GetDiagnostic",
          "ros:GetResourceType",
          "ros:GetResourceTypeRecommendedTemplate",
          "ros:GetResourceTypeTemplate",
          "ros:GetServiceAccess",
          "ros:GetSession",
          "ros:ListAITaskEvents",
          "ros:ListAITasks",
          "ros:ListChatMessages",
          "ros:ListChatSessions",
          "ros:ListDiagnostics",
          "ros:ListPrivateTemplates",
          "ros:ListResourceTypeRegistrations",
          "ros:ListResourceTypeVersions",
          "ros:ListResourceTypes",
          "ros:ListSessions",
          "ros:ListSummaries",
          "ros:ListTagKeys",
          "ros:ListTagValues",
          "ros:ValidateTemplate"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permite todas as ações que não suportam autorização no nível de grupo de recursos: O elemento Action lista todas as ações incompatíveis com autorização por grupo de recursos.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ros:ChatROS",
          "ros:CompareTemplates",
          "ros:CreateAITask",
          "ros:CreateDiagnostic",
          "ros:DeleteDiagnostic",
          "ros:DeregisterResourceType",
          "ros:DescribeStacks",
          "ros:DisableServiceAccess",
          "ros:EnableServiceAccess",
          "ros:EnableServices",
          "ros:GetAITask",
          "ros:GetDiagnostic",
          "ros:GetResourceType",
          "ros:GetResourceTypeRecommendedTemplate",
          "ros:GetResourceTypeTemplate",
          "ros:GetServiceAccess",
          "ros:GetSession",
          "ros:ListAITaskEvents",
          "ros:ListAITasks",
          "ros:ListChatMessages",
          "ros:ListChatSessions",
          "ros:ListDiagnostics",
          "ros:ListPrivateTemplates",
          "ros:ListResourceTypeRegistrations",
          "ros:ListResourceTypeVersions",
          "ros:ListResourceTypes",
          "ros:ListSessions",
          "ros:ListSummaries",
          "ros:ListTagKeys",
          "ros:ListTagValues",
          "ros:OpsSetResourceTypeVersion",
          "ros:RegisterResourceType",
          "ros:SetResourceType",
          "ros:StartChat",
          "ros:ValidateTemplate"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes