Tablestore:Use grupos de recursos para controle granular de recursos

Como funciona a autorização por grupo de recursos

Use um grupo de recursos para organizar os recursos na sua conta Alibaba Cloud. Por exemplo, crie grupos distintos para diferentes projetos e mova os recursos específicos de cada projeto para seus respectivos grupos, facilitando o gerenciamento centralizado. Para obter mais informações, consulte O que é um grupo de recursos?

Após agrupar seus recursos, conceda permissões a diferentes entidades RAM, como usuários RAM, grupos de usuários RAM ou funções RAM, limitando o escopo a um grupo de recursos específico. Isso garante que a entidade gerencie apenas os recursos contidos naquele grupo. Para obter mais informações, consulte Agrupamento e autorização de recursos.

Essa abordagem oferece os seguintes benefícios:

• Permissões granulares: Garanta que cada identidade tenha apenas as permissões necessárias para acessar recursos específicos. Essa prática evita o gerenciamento conjunto de recursos de projetos diferentes na mesma conta.

• Escalabilidade: Ao adicionar novos recursos, basta incluí-los no grupo de recursos. A identidade RAM obtém automaticamente as permissões correspondentes para os novos recursos, sem necessidade de nova concessão manual.

Conceder permissões de grupo de recursos a um usuário RAM

Esta seção demonstra como conceder permissões sobre recursos do Tablestore dentro de um grupo de recursos específico, utilizando um RAM user como exemplo.

Tipos de recursos compatíveis com grupos de recursos

A tabela a seguir lista os tipos de recursos do Tablestore compatíveis com grupos de recursos.

Operações sem autorização no nível do grupo de recursos

As ações do Tablestore listadas abaixo não suportam autorização no nível do grupo de recursos.

Para operações incompatíveis com autorização no nível do grupo de recursos, conceder permissões com o escopo Resource group não surte efeito. Se um usuário RAM precisar dessas permissões, crie uma política de permissões personalizada e selecione Account como escopo do recurso durante a concessão.

Os exemplos a seguir mostram duas políticas de permissões personalizadas. Modifique-as conforme suas necessidades.

• Permitir todas as operações somente leitura sem suporte a autorização no nível do grupo de recursos: O elemento Action lista todas as operações somente leitura incompatíveis com esse nível de autorização.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ots:DescribeIndex",
          "ots:GetOtsServiceStatus",
          "ots:GetTrigger",
          "ots:ListClusterType",
          "ots:ListInstances",
          "ots:ListTags",
          "ots:ListTrigger",
          "ots:ListVpcInfoByVpc"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permitir todas as operações sem suporte a autorização no nível do grupo de recursos: O elemento Action relaciona todas as operações incompatíveis com autorização nesse nível.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ots:CheckSLR",
          "ots:CreateTimeseriesAnalyticalStore",
          "ots:CreateTrigger",
          "ots:DeleteIndex",
          "ots:DeleteTags",
          "ots:DeleteTrigger",
          "ots:DescribeIndex",
          "ots:GetOtsServiceStatus",
          "ots:GetTrigger",
          "ots:InsertTags",
          "ots:ListClusterType",
          "ots:ListInstances",
          "ots:ListTags",
          "ots:ListTrigger",
          "ots:ListVpcInfoByVpc",
          "ots:OpenOtsService",
          "ots:TagResources",
          "ots:UntagResources"
        ],
        "Resource": "*"
      }
    ]
  }
  

Perguntas frequentes