Criar uma política de controle personalizada - Tablestore: Central de Documentação do Alibaba Cloud

As políticas de controle de acesso personalizadas permitem definir os limites de permissão para acesso a recursos. O Tablestore oferece suporte a essas políticas. Por exemplo, use-as para restringir as versões de TLS no acesso ao Tablestore e limitar a criação apenas a instâncias sem suporte a acesso público. Configure as políticas de controle de acesso personalizadas conforme as necessidades do seu negócio.

Informações básicas

Uma política de controle do resource directory é uma política de controle de acesso baseada na estrutura dos recursos, como pastas e membros. Essa política permite gerenciar centralizadamente os limites de permissão das pastas ou membros em um resource directory. Para obter mais informações, consulte Visão geral.

Sintaxe da política de controle de acesso

Uma política de controle de acesso consiste em quatro elementos básicos: Effect, Action, Resource e Condition. Para obter mais informações, consulte Linguagens das políticas de controle de acesso.

Elementos

Elemento	Descrição
Effect	Define se o resultado da instrução é uma permissão explícita ou uma negação explícita. Valores válidos: Allow e Deny.
Action	Especifica uma ou mais operações de API permitidas ou negadas. Para obter mais informações, consulte a seção Action no tópico "Configurar uma política personalizada".
Resource	Indica um ou mais objetos aos quais a política se aplica. Para obter mais informações, consulte a seção Resource no tópico "Configurar uma política personalizada".
Condition	Estabelece as condições necessárias para que a política entre em vigor. Para obter mais informações, consulte a seção Exemplos deste tópico.

Exemplos

O Tablestore oferece suporte a políticas de controle de acesso personalizadas. Por exemplo, use essas políticas para restringir as versões de TLS no acesso ao Tablestore e limitar a criação apenas a instâncias sem suporte a acesso público. Configure as políticas de controle de acesso personalizadas de acordo com os requisitos do seu negócio.

Restringir as versões de TLS para acesso ao Tablestore

Use uma política de controle de acesso personalizada para restringir o acesso ao Tablestore apenas a versões específicas do TLS. Isso aumenta a segurança de acesso ao Tablestore.

A política de exemplo abaixo permite o acesso ao Tablestore somente via TLS 1.2 e TLS 1.3. Se um cliente solicitar acesso ao Tablestore usando uma versão do TLS anterior à 1.2 ou posterior à 1.3, a solicitação falhará.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

Restringir a criação de instâncias apenas para aquelas sem acesso público

Use uma política de controle de acesso personalizada para limitar os usuários à criação exclusiva de instâncias que não suportam acesso público.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ots:InsertInstance",
        "ots:CreateInstance",
        "ots:UpdateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "Bool": {
          "ots:AllowInstanceInternetAccess": [
            "true"
          ]
        }
      }
    }
  ]
}

Cenários típicos

Antes de acessar um resource directory, certifique-se de atender aos seguintes pré-requisitos:

Receber um convite para usar o Resource Directory.
A conta Alibaba Cloud usada para ativar o resource directory deve ter aprovado a verificação de nome real corporativo. Contas com apenas verificação de nome real individual não podem ativar um resource directory. Para obter mais informações, consulte Ativar um resource directory.
Criar pastas alinhadas à estrutura organizacional da sua empresa. Para obter mais informações, consulte Criar uma pasta.
Criar membros ou convidar contas Alibaba Cloud existentes para o seu resource directory e movê-los para as pastas correspondentes. Para obter mais informações, consulte Criar um membro, Convidar uma conta Alibaba Cloud para entrar em um resource directory e Mover um membro.

Cenário 1: Restringir as versões de TLS para acesso ao Tablestore

Use uma conta de gerenciamento para ativar o recurso de política de controle.
1. Faça login no console do Resource Management.
2. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
3. Clique em Enable Control Policy.
4. Clique em OK.
5. Clique em Refresh para visualizar o status.
Use a conta de gerenciamento para criar uma política de controle de acesso personalizada na aba JSON.
1. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
2. Na aba Policies, clique em Create Policy.
3. Na página Create Policy, clique na aba JSON.
4. Insira o conteúdo da política abaixo e clique em Next to edit policy information.
```
{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}
```
5. Insira um Name e uma Description para a Control Policy.
6. Revise e otimize o conteúdo da política de controle de acesso conforme necessário.
Use a conta de gerenciamento do seu resource directory para anexar a política de controle de acesso personalizada criada às pastas ou membros do resource directory.

Após concluir a configuração, os membros especificados poderão acessar o Tablestore apenas via TLS 1.2 e TLS 1.3.
1. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
2. Na aba Attachments, clique na pasta ou membro de destino na árvore de estrutura organizacional à esquerda.
3. No lado direito da página, clique em Attach Policy.
4. Na caixa de diálogo Attach Policy, selecione a Control Policy a ser anexada.
5. Clique em OK.

Cenário 2: Restringir a criação de instâncias apenas para aquelas sem acesso público

Use uma conta de gerenciamento para ativar o recurso de política de controle.
1. Faça login no console do Resource Management.
2. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
3. Clique em Enable Control Policy.
4. Clique em OK.
5. Clique em Refresh para visualizar o status.
Use a conta de gerenciamento para criar uma política de controle de acesso personalizada na aba JSON.
1. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
2. Na aba Policies, clique em Create Policy.
3. Na página Create Policy, clique na aba JSON.
4. Insira o conteúdo da política abaixo e clique em Next to edit policy information.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ots:InsertInstance",
        "ots:CreateInstance",
        "ots:UpdateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "Bool": {
          "ots:AllowInstanceInternetAccess": [
            "true"
          ]
        }
      }
    }
  ]
}
```
5. Insira um Name e uma Description para a Control Policy.
6. Revise e otimize o conteúdo da política de controle de acesso conforme necessário.
Use a conta de gerenciamento do seu resource directory para anexar a política de controle de acesso personalizada criada às pastas ou membros do resource directory.

Após concluir a configuração, os membros especificados poderão criar apenas instâncias do Tablestore que não suportam acesso público.
1. No painel de navegação à esquerda, escolha Resource Directory > Control Policy.
2. Na aba Attachments, clique na pasta ou membro de destino na árvore de estrutura organizacional à esquerda.
3. No lado direito da página, clique em Attach Policy.
4. Na caixa de diálogo Attach Policy, selecione a Control Policy a ser anexada.
5. Clique em OK.