Secure Access Service Edge:Autorizar o SASE a acessar recursos da cloud

Pré-requisitos

• O SASE está ativado.

• Você utiliza uma conta Alibaba Cloud ou um usuário RAM com permissões para crie e exclua funções vinculadas a service.

Informações básicas

No primeiro uso do SASE, a Alibaba Cloud cria automaticamente uma função vinculada a service chamada AliyunServiceRoleForCsas. Essa função permite que o SASE acesse outros services da Alibaba Cloud em seu nome. Não é necessária criação ou modificação manual. Para mais informações, consulte Service-linked roles.

Procedimento

1. Faça login no console do Secure Access Service Edge.

2. Na caixa de diálogo Welcome to SASE, clique em Confirm Authorization.

   Após ative o secure access service edge, o sistema orienta você na criação de uma função vinculada a service durante o primeiro acesso ao console.

   Ao clique em Confirm Creation, a Alibaba Cloud cria automaticamente a função vinculada a service AliyunServiceRoleForCsas para o SASE. Visualize essa função na página Roles do console do RAM. A instância do SASE só acessa services da cloud, como IDaaS e SAG, após a criação dessa função.

Função vinculada a service do SASE

A função vinculada a service do secure access service edge tem os seguintes atributos:

• Nome da função: AliyunServiceRoleForCsas

• Nome da política: AliyunServiceRolePolicyForCsas

  Nota

  Esta é uma política de sistema. Não é possível alterar o nome nem o conteúdo da política.

• Exemplo de política:

  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "ecs:DescribeInstances",
          "ecs:CreateSecurityGroup",
          "ecs:DeleteSecurityGroup",
          "ecs:AuthorizeSecurityGroup",
          "ecs:DescribeSecurityGroups",
          "ecs:DescribeSecurityGroupReferences",
          "ecs:ModifySecurityGroupPolicy",
          "ecs:ModifySecurityGroupRule",
          "ecs:ModifySecurityGroupEgressRule",
          "ecs:CreateNetworkInterface",
          "ecs:DeleteNetworkInterface",
          "ecs:DescribeNetworkInterfaces",
          "ecs:CreateNetworkInterfacePermission",
          "ecs:DescribeNetworkInterfacePermissions",
          "ecs:DeleteNetworkInterfacePermission",
          "ecs:AttachNetworkInterface",
          "ecs:DetachNetworkInterface",
          "ecs:RevokeSecurityGroup"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "rds:DescribeDBInstances",
          "rds:DescribeSecurityGroupConfiguration",
          "rds:ModifySecurityGroupConfiguration",
          "rds:DescribeDBInstanceIPArrayList",
          "rds:ModifySecurityIps"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "kvstore:DescribeInstances",
          "kvstore:DescribeGlobalDistributeCache",
          "kvstore:DescribeSecurityIps",
          "kvstore:ModifySecurityIps",
          "kvstore:DescribeSecurityGroupConfiguration",
          "kvstore:ModifySecurityGroupConfiguration"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "dds:DescribeDBInstances",
          "dds:DescribeSecurityIps",
          "dds:ModifySecurityIps",
          "dds:DescribeSecurityGroupConfiguration",
          "dds:ModifySecurityGroupConfiguration"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "polardb:DescribeDBClusters",
          "polardb:DescribeDBClusterAccessWhitelist",
          "polardb:ModifyDBClusterAccessWhitelist"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "vpc:DescribeVpcs",
          "vpc:DescribeVSwitches",
          "vpc:CreateVpc",
          "vpc:DeleteVpc",
          "vpc:CreateVSwitch",
          "vpc:DeleteVSwitch",
          "vpc:DescribeZones",
          "vpc:DescribePhysicalConnections",
          "vpc:DescribeVirtualBorderRouters",
          "vpc:DescribeVirtualBorderRoutersForPhysicalConnection",
          "vpc:DescribeVpnGateways",
          "vpc:DescribeVpnGateway",
          "vpc:DescribeCustomerGateways",
          "vpc:DescribeVpnConnections",
          "vpc:DescribeVpcAttribute",
          "vpc:DescribeRouteTables",
          "vpc:DescribeRouteTableList",
          "vpc:DescribeRouteEntryList"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "cen:DescribeCens",
          "cen:DescribeCenAttachedChildInstances",
          "cen:DescribeCenAttachedChildInstanceAttribute",
          "cen:AttachCenChildInstance",
          "cen:DetachCenChildInstance",
          "cen:GrantInstanceToCen",
          "cen:RevokeInstanceFromCen"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "smartag:CreateSmartAGTrafficService",
          "smartag:UpdateSmartAGTrafficService",
          "smartag:DeleteSmartAGTrafficSerivce",
          "smartag:ListSmartAGTrafficService",
          "smartag:DescribeSmartAccessGateways",
          "smartag:DescribeCloudConnectNetworks",
          "smartag:CreateCloudConnectNetwork",
          "smartag:ModifyCloudConnectNetwork",
          "smartag:DeleteCloudConnectNetwork",
          "smartag:CreateSmartAccessGatewaySoftware",
          "smartag:UpgradeSmartAccessGatewaySoftware",
          "smartag:DowngradeSmartAccessGatewaySoftware",
          "smartag:BindSmartAccessGateway",
          "smartag:UnbindSmartAccessGateway"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "log:PostLogStoreLogs",
          "log:GetProject",
          "log:ListProject",
          "log:GetLogStore",
          "log:ListLogStores",
          "log:CreateLogStore",
          "log:CreateProject",
          "log:GetIndex",
          "log:CreateIndex",
          "log:UpdateIndex",
          "log:CreateDashboard",
          "log:ClearLogStoreStorage",
          "log:UpdateLogStore",
          "log:UpdateDashboard",
          "log:CreateSavedSearch",
          "log:UpdateSavedSearch",
          "log:DeleteLogStore",
          "log:DeleteSavedSearch",
          "log:GetSavedSearch",
          "log:ListSavedSearch",
          "log:DeleteDashboard",
          "log:GetDashboard",
          "log:ListDashboard"
        ],
        "Resource": "acs:log:*:*:project/csas-project-*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "pvtz:DescribeZones",
          "pvtz:DescribeZoneInfo",
          "pvtz:DescribeZoneRecords"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": "ram:DeleteServiceLinkedRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "ram:ServiceName": "csas.aliyuncs.com"
          }
        }
      }
    ]
  }

Exclua a função vinculada a service

Se não precisar mais do SASE, exclua a função vinculada a service do SASE chamada AliyunServiceRoleForCsas. Libere todas as instâncias existentes do SASE antes de exclua a função no console do RAM.

1. Faça login no console do RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles .

3. Use a caixa de pesquisa para localizar a função vinculada a service do SASE chamada AliyunServiceRoleForCsas e clique em Delete Role na coluna Actions.

4. Na caixa de diálogo Delete Role, clique em OK.

Perguntas frequentes

Por que não consigo crie automaticamente a função vinculada a service do SASE ao usar um usuário RAM?

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:ACCOUNT_ID:role/*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "csas.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}