STAROps:Configuração de permissões

Configurar PassRole para Digital Employees personalizados

A permissão ram:PassRole é concedida aos usuários para controlar se eles podem passar uma função RAM específica de Digital Employee para o serviço STAROps.

Quando um usuário cria, atualiza ou utiliza um Digital Employee personalizado vinculado a uma função RAM, todas as condições abaixo devem ser atendidas:

• O usuário possui as permissões de operação correspondentes ao Digital Employee ou à Long-Term Mission.

• Existe permissão ram:PassRole para a função RAM alvo do Digital Employee.

• A política de confiança da função RAM alvo permite que os serviços relacionados ao STAROps assumam a função.

• A política de permissões da função RAM alvo autoriza o acesso aos dados e recursos necessários para a tarefa.

A permissão ram:PassRole não concede acesso direto a dados para os Digital Employees; ela apenas determina se o usuário tem o direito de repassar uma função RAM específica ao STAROps. O acesso real aos dados continua sendo regido pela política de permissões da própria função RAM do Digital Employee.

Recomendamos restringir o campo Resource da permissão ram:PassRole exclusivamente às funções RAM dedicadas ao STAROps. Evite o uso prolongado de Resource: "*".

O exemplo abaixo permite que um usuário passe a função vinculada a serviço AliyunServiceRoleForCloudMonitor para o STAROps. Caso utilize uma função personalizada, substitua o valor de Resource pelo RoleArn correspondente.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/aliyunserviceroleforcloudmonitor",
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "operation-platform.aliyuncs.com",
            "cloudmonitor.aliyuncs.com"
          ]
        }
      }
    }
  ]
}

Configurar permissões de visualização de dados para usuários

O acesso a dados pelos Digital Employees e a visualização de dados pelos usuários no console seguem caminhos distintos.

Como os Digital Employees integrados herdam as permissões da conta do chamador, o usuário precisa ter as permissões correspondentes aos dados ou recursos.

Já os Digital Employees personalizados usam as permissões da função RAM durante a execução. Portanto, quando os usuários forem validar resultados nos consoles do SLS, CMS ou ARMS, ainda precisarão de suas próprias permissões de visualização.

Configure permissões de somente leitura para as source de dados alvo conforme a necessidade, permitindo que os usuários validem logs, métricas ou análises de recursos retornadas pelos Digital Employees.

Utilizar Digital Employees integrados

Indicado para testes rápidos, perguntas e respostas controladas e consultas leves.

Configurações necessárias:

• Conceda permissões de uso do STAROps aos usuários RAM, como visualize Digital Employees, iniciar sessões e ver registros de sessão.

• Atribua permissões de visualização somente leitura para as source de dados alvo aos usuários RAM, conforme necessário para validação no console.

• Não configure função RAM separada nem ram:PassRole para Digital Employees integrados.

Criar e usar Digital Employees personalizados

Recomendado para criar especialistas dedicados de O&M por linha de negócios ou para cenários que exigem extensões como Skills, MCP e AliyunCLI.

Criar Long-Term Missions

Ideal para inspeções periódicas, análise de alertas, geração de relatórios e monitoramento contínuo.

1. Conceda permissões de operação de Mission aos usuários RAM, incluindo criação, visualização, atualização e exclusão de Long-Term Missions.

2. Autorize os usuários RAM a visualize artefatos e relatórios das Missions.

3. Verifique se o Digital Employee selecionado para a Long-Term Mission possui as permissões de acesso a dados exigidas na execução.

4. Caso a Long-Term Mission utilize um Digital Employee personalizado, confirme se o usuário tem a permissão ram:PassRole para a função RAM correspondente.

Para etapas detalhadas, consulte Configuração de permissões de Mission.

Configurar políticas de menor privilégio

Aplicável a colaboração multiusuário, conformidade de segurança e isolamento por linha de negócios.

Recomenda-se primeiro separar os usuários por responsabilidade funcional e depois escolher o modelo de política adequado:

• Administrador do STAROps.

• Administrador de configuração de Digital Employees.

• Usuário geral de O&M.

• Operador de Long-Term Missions.

• Auditor somente leitura.

Para modelos detalhados, consulte Melhores práticas para políticas de permissões personalizadas do STAROps.

Após conceder permissões à função RAM do Digital Employee, posso usá-lo diretamente?

Não. Apenas as permissões da função RAM não são suficientes. Essa função define somente quais dados e recursos o Digital Employee pode acessar durante a execução. O usuário também precisa ter permissões de uso sobre o próprio Digital Employee. Além disso, se for um Digital Employee personalizado, o usuário deve possuir a permissão ram:PassRole para a função RAM alvo.

O usuário consegue ver dados no console. Por que o Digital Employee ainda não consegue acessá-los?

Ao visualizar dados no console, o sistema utiliza as permissões do próprio usuário. Já durante a execução de um Digital Employee personalizado, são aplicadas as permissões da função RAM vinculada. Como se tratam de identidades diferentes, ambas exigem autorização separada. Verifique se a função RAM do Digital Employee possui permissões de acesso à source de dados ou ao recurso de nuvem desejado.

O Digital Employee acessa os dados. Por que o usuário ainda não consegue validá-los no console?

Os Digital Employees personalizados acessam dados usando a função RAM. Por outro lado, os usuários visualizam informações nos consoles do SLS, CMS ou ARMS através de suas próprias permissões de usuário RAM. Se o usuário precisar validar os resultados retornados pelo Digital Employee, configure as permissões de somente leitura necessárias nas source de dados para esse usuário específico.

Após selecionar ServiceRoleForCloudMonitor, o Digital Employee pode realizar operações de atualização em serviços de nuvem?

Não. A função AliyunServiceRoleForCloudMonitor, correspondente à ServiceRoleForCloudMonitor, destina-se principalmente à leitura de dados em cenários do CloudMonitor 2.0. Ela serve para consultas, diagnósticos, inspeções e geração de relatórios, mas não inclui permissões para modificar configurações de serviços ou alterar estados de recursos. Para execute ações de O&M que envolvam atualizações, utilize uma função personalizada e conceda as permissões separadamente.

Qual a diferença entre PassRole e AssumeRole?

A ação ram:PassRole controla se um usuário RAM pode repassar uma função específica de Digital Employee para o serviço STAROps. Já sts:AssumeRole é a ação que o serviço executa para assumir essa função em tempo de execução. O fato de uma política de confiança permitir que um serviço assuma uma função não significa que qualquer usuário RAM possa repassá-la automaticamente.

Por que preciso verificar as permissões do Digital Employee ao criar uma Long-Term Mission?

As permissões de Mission controlam apenas se o usuário pode criar e gerenciar Long-Term Missions. No entanto, a execução real ocorre pelos Digital Employees. Portanto, confirme se o Digital Employee selecionado possui as permissões de acesso a dados necessárias. Caso a Long-Term Mission utilize um Digital Employee personalizado, verifique também se o usuário tem a permissão ram:PassRole para a função RAM correspondente.