Elastic Desktop Service:Controle de acesso com o módulo de permissões do EDS

Casos de uso

Ao fazer logon no Elastic Desktop Service (EDS) console com sua conta Alibaba Cloud, você tem permissões totais para acessar todos os recursos e gerenciar todos os recursos. Para grandes organizações com estruturas complexas e numerosos cloud computers, depender de um único administrador pode gerar uma carga de trabalho excessiva e violar as políticas internas de isolamento de permissões. Para resolver isso, crie um ou mais subadministradores para compartilhar as tarefas de gerenciamento. Essa abordagem geralmente envolve os seguintes requisitos:

• Isolamento de permissões no nível de recurso: por exemplo, o subadministrador A: crie e gerencie usuários, mas não cloud computers, enquanto o subadministrador B: visualize todos os dados.

• Isolamento de permissões no nível de dados: por exemplo, o subadministrador C: gerencie apenas os cloud computers do departamento de P&D, enquanto o subadministrador D: gerencie apenas os cloud computers do departamento de design.

Solução

O módulo de gerenciamento de permissões do Elastic Desktop Service (EDS) foi projetado para atender a esses requisitos.

O módulo resolve esses desafios a partir das seguintes dimensões:

• Dimensão de pessoal: crie subadministradores. A função atribuída a um subadministrador define suas permissões de recursos, enquanto os grupos de recursos que ele está autorizado a gerenciar definem suas permissões de dados.

• Dimensão de recurso: use funções integradas ou crie funções personalizadas. Uma função é um conjunto de permissões que define quais módulos do console um usuário pode acessar e quais ações ele pode executar. Isso implementa o isolamento de permissões no nível de recurso. As funções integradas incluem:

  • Super Administrator: tem permissões totais para usar todas as funcionalidades e gerenciar todos os recursos de cloud. Somente o Super Administrator pode criar e gerenciar outros administradores.

  • System Administrator: tem permissões para gerenciar recursos de cloud, autorizar acesso a recursos, monitorar o status do sistema e executar tarefas de O&M. Não tem permissão para criar ou gerenciar usuários.

  • Security Audit Administrator: tem permissão somente leitura e não pode executar nenhuma operação.

  • Security Administrator: tem permissões para criar e gerenciar usuários e monitorar o status do processamento de dados de segurança, mas não pode gerenciar recursos de cloud.

• Dimensão de dados: crie grupos de recursos. Um grupo de recursos é uma coleção de recursos de cloud computers usada para implementar o isolamento de permissões.

Portanto, o módulo de gerenciamento de permissões permite que você resolva facilmente os casos de uso descritos acima.

Criar uma função

Use funções integradas ou crie funções personalizadas conforme necessário. Em seguida, atribua funções aos subadministradores para implementar o isolamento de permissões no nível de recurso.

1. Faça logon no EDS enterprise console.

2. No painel de navegação à esquerda, escolha Security & Audits > Administrator Permissions. Na página Administrator Permissions, clique em Role.

3. Na guia Role, clique em Create Role, configure os seguintes parâmetros e clique em OK.

   • Name: insira um nome para a função.

   • Parent Role: selecione uma função pai entre as funções integradas.

     Ao selecionar uma função pai, o sistema carrega as permissões dela na seção Configure Permission para que você possa personalizar.

   • (Opcional) Description: insira uma descrição para a função a fim de distingui-la das outras.

Criar um grupo de recursos

Crie grupos de recursos e adicione cloud computers a eles conforme necessário. Em seguida, autorize subadministradores a acessar grupos de recursos específicos para implementar o isolamento de permissões no nível de dados.

1. No painel de navegação à esquerda, escolha Resources > Resource Group.

2. Na página Resource Group, clique em Create Resource Group e insira um Name na caixa de diálogo exibida.

   Nota

   Requisitos de nome: o nome pode ter até 30 caracteres. Deve começar com uma letra maiúscula ou minúscula, ou um caractere chinês, e não pode começar com http:// ou https://. Os caracteres suportados incluem caracteres chineses, letras do alfabeto inglês, dígitos, dois-pontos (:), sublinhados (_), pontos (.) e hifens (-).

3. Na caixa de diálogo Configure Resources and Authorize, clique em Go Now.

4. Na guia Resource Management, clique em Transfer In, selecione os cloud computers que deseja adicionar ao grupo de recursos e clique em OK.

Criar e autorizar um subadministrador

Ao criar um subadministrador, atribua uma função para o isolamento de permissões no nível de recurso e conceda permissões com base em tipos de recursos e grupos de recursos para o isolamento de permissões no nível de dados.

1. No painel de navegação à esquerda, escolha Security & Audits > Administrator Permissions.

2. Na página Administrator Permissions, clique em Create Administrator, configure os seguintes parâmetros e clique em Create.

   • Associate with RAM User: subadministradores exigem um usuário RAM para fazer logon no console e executar tarefas de gerenciamento. Execute uma das seguintes operações:

     • Selecione um usuário RAM existente na conta Alibaba Cloud atual: selecione Existing RAM Users e escolha um usuário na lista suspensa.

     • Crie um novo usuário RAM: selecione Create RAM User e clique em Confirm.

       Nota

       O sistema envia o nome de usuário e a senha inicial do usuário RAM para o endereço de e-mail ou número de celular que você fornecer.

   • Nickname: insira o nome de exibição do subadministrador.

   • Role: selecione uma função integrada ou personalizada para o subadministrador. Isso determina as permissões de recursos do usuário.

   • Email: insira o endereço de e-mail do subadministrador para receber notificações, como as credenciais de logon do usuário RAM.

   • (Opcional) Phone: insira o número de celular do subadministrador para receber notificações, como as credenciais de logon do usuário RAM.

3. Na página Administrator Permissions, encontre o subadministrador criado e clique em Actions na coluna Manage Authorization.

4. No painel Manage Authorization, defina o escopo de autorização para o subadministrador e clique em OK. Conceda permissões por tipo de recurso e grupo de recursos. O escopo de autorização final do subadministrador é a união das permissões concedidas por ambos os métodos.

   1. Resource Type: selecione Cloud Computer ou User.

      Importante

      Se você selecionar um tipo de recurso, o subadministrador obterá permissões totais de gerenciamento para todos os recursos existentes e futuros desse tipo. Por exemplo, se selecionar Cloud Computer, o subadministrador poderá gerenciar todos os cloud computers existentes e futuros na conta Alibaba Cloud atual.

   2. Resource Group: na área Available Resource Group, selecione os grupos de recursos desejados e clique em para movê-los para a área Authorized Resource Group.