Alibaba Cloud Service Mesh：為RAM使用者和RAM角色授權

建立授予訪問ASM執行個體的權限原則

1. 使用Resource Access Management員登入RAM控制台。

2. 在左側導覽列，選擇权限管理 > 权限策略。

3. 在权限策略頁面，單擊创建权限策略。

4. 在创建权限策略頁面，單擊腳本編輯頁簽。

   頁面顯示 JSON 編輯器，預設原則範本包含 Version（值為 "1"）和 Statement 數組，其中每條語句包括 Effect（預設 "Allow"）、Action（待填寫）、Resource（待填寫）和 Condition 欄位。請根據實際需求在 Action 和 Resource 中填入對應的操作和資源。

5. 輸入您的授權策略內容，然後單擊繼續編輯基本信息。

   通過改變Statement中的Action欄位，可以實現API的細粒度鑒權。本文以授予受限存取權限策略為例，受限存取權限策略包括除RBAC授權之外的Service Mesh的所有RAM許可權，擁有該許可權的RAM使用者不可以對其他使用者進行RBAC授權，但擁有除此之外的其他所有許可權。關於權限原則文法結構的詳情，請參見權限原則文法和結構。

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "servicemesh:Add*",
                   "servicemesh:CRBatchDeletion",
                   "servicemesh:Create*",
                   "servicemesh:Delete*",
                   "servicemesh:Describe*",
                   "servicemesh:Enable*",
                   "servicemesh:Disable*",
                   "servicemesh:Get*",
                   "servicemesh:InvokeApiServer",
                   "servicemesh:List*",
                   "servicemesh:Modify*",
                   "servicemesh:Re*",
                   "servicemesh:Run*",
                   "servicemesh:Set*",
                   "servicemesh:Sync*",
                   "servicemesh:Update*",
                   "servicemesh:Upgrade*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "log:ListLogStores",
                   "log:ListDashboard",
                   "log:GetDashboard",
                   "log:ListSavedSearch",  
                   "log:ListProject"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/audit-*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/istio-*"
           },
           {
               "Action": "ram:CreateServiceLinkedRole",
               "Resource": "*",
               "Effect": "Allow",
               "Condition": {
                   "StringEquals": {
                       "ram:ServiceName": "servicemesh.aliyuncs.com"
                   }
               }
           }
       ],
       "Version": "1"
   }

6. 在基本信息地區輸入策略名稱稱，本文設定為ASMPolicy1，然後單擊确定。

授予RAM使用者和RAM角色權限原則

本文以授予RAM使用者權限為例，關於RAM角色許可權的具體操作，請參見管理RAM角色的許可權。

1. 使用Resource Access Management員登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 用戶。

3. 在用户頁面，找到已經建立好的RAM使用者，單擊操作列的新增授權。

   您也可以選中多個RAM使用者，單擊使用者列表下方的新增授權，為多個RAM使用者新增授權。

4. 在新增授权面板，為RAM使用者添加許可權。

   1. 選擇資源範圍：

      • 帳號層級：許可權在當前阿里雲帳號內全部資源生效。適用於通用、無需按資源群組隔離的情境。

      • 資源群組層級：許可權僅在指定資源群組內生效。適用於多團隊共用一個帳號、需按資源群組隔離許可權的情境。如果RAM使用者被授予了資源群組層級的許可權，該使用者登入控制台後，必須在頂部導覽列將資源範圍切換到被授權的資源群組，才能正常訪問和管理該資源群組內的資源。

        說明

        1. 系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），這些策略通常包含對所有雲資源的完全控制許可權或對存取控制（RAM）的完全系統管理權限等，請謹慎授予。

        2. 資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。

   2. 選擇授權主體：

      授權主體即需要添加許可權的RAM使用者。如果是從使用者頁面發起，系統會自動選擇當前的RAM使用者。如果是從授權頁面發起，需要手動選擇RAM使用者，支援批量選中多個。

   3. 在所有策略類型下單擊自定义策略，在文字框中輸入ASMPolicy1，然後單擊ASMPolicy1。

      說明

      每次最多綁定5條策略，如需綁定更多策略，請分次操作。

   4. 單擊確認新增授權。

5. 確認授權綁定操作結果，單擊關閉。

情境一：授予單個網格執行個體的系統管理權限

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "servicemesh:*",
      "Resource": "acs:servicemesh:*:*:servicemesh/<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "servicemesh:DescribeServiceMeshes",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/audit-<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/istio-<ServicemeshId>"
    }
  ],
  "Version": "1"
}

情境二：授予使用ASM控制台管理Istio資源的讀寫權限

ASM預設提供的AliyunASMReadOnlyAccess系統策略可以授予RAM使用者或RAM角色唯讀管理阿里雲Service MeshASM的許可權，但被授予此許可權的RAM使用者或RAM角色無法管理網格中的Istio資源。

您可以使用以下指令碼建立擁有Istio資源讀寫權限的策略，授予RAM使用者或RAM角色該權限原則後，RAM使用者或RAM角色可以正常使用ASM控制台管理網格中的Istio資源，同時無法對網格的其它部分（例如功能設定等）進行任何變更。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:List*",
                "servicemesh:Describe*",
                "servicemesh:Get*",
                "servicemesh:InvokeApiServer"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:ListLogStores",
                "log:ListDashboard",
                "log:GetDashboard",
                "log:ListSavedSearch"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/audit-*"
        }
    ],
    "Version": "1"
}

情境三：授予對其它使用者或角色進行RBAC授權的許可權

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:DescribeUserPermissions",
                "servicemesh:GrantUserPermissions",
                "servicemesh:DescribeServiceMeshes",
                "servicemesh:DescribeUsersWithPermissions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ims:ListUserBasicInfos",
            "Resource": "*"
        }
    ],
    "Version": "1"
}