Alibaba Cloud Resource Access Management (RAM), kimliklerin hangi kaynaklarda hangi eylemleri gerçekleştirebileceğini denetlemek için ilkeler kullanır. RAM iki tür ilke sunar:
Sistem ilkeleri: Alibaba Cloud tarafından önceden tanımlanır ve bakımı yapılır. Bu ilkeleri RAM kimliklerine ekleyerek ilke JSON'u yazmadan hızlıca erişim izni verebilirsiniz. Sistem ilkelerini değiştiremezsiniz.
Özel ilkeler: Siz tarafından oluşturulur ve yönetilir. Belirli API işlemleri ve kaynaklar üzerinde ayrıntılı erişim kontrolü sağlamak için özel ilkeler oluşturabilir, güncelleyebilir ve silebilirsiniz.
ApsaraMQ for RocketMQ (Ons) yeni özellikler yayınladığında, Alibaba Cloud ilgili sistem ilkelerini yeni izinlerle günceller. Bu güncellemeler, ilkenin eklendiği tüm RAM kimliklerine (RAM kullanıcıları, RAM kullanıcı grupları ve RAM rolleri dahil) otomatik olarak uygulanır. RAM ilke yapısı ve sözdizimi hakkında daha fazla bilgi için bkz. İlkelere genel bakış.
Sistem ilkeleri, yönetim konsolunu kullanmaya başlamak için uygundur; ancak API işlemleri ve CLI komutları gibi gelişmiş yöntemleri de destekler. Üretim ortamları için en az ayrıcalık ilkesini takip eden özel ilkeler oluşturun.
Sistem ilkeleri; hizmet sistem ilkeleri, hizmet rolü ilkeleri ve hizmete bağlı rol ilkeleri olarak sınıflandırılabilir. Bazı cloud hizmetleri bu türlerden yalnızca birini veya ikisini sunar.
Hizmet sistem ilkeleri
ApsaraMQ for RocketMQ kaynaklarına erişimi kontrol etmek için bu ilkeleri RAM kullanıcılarına, kullanıcı gruplarına veya rollere ekleyin.
| İlke | İzinler | Kullanım durumu |
|---|---|---|
| AliyunMQFullAccess | Yönetim Konsolu aracılığıyla MessageQueue for Apache RocketMQ için tam erişim | Tüm mesajlaşma kaynaklarını yöneten yöneticiler |
| AliyunMQPubOnlyAccess | Yönetim Konsolu aracılığıyla RocketMQ4,0 Service için yalnızca yayınlama erişimi | Yalnızca mesaj gönderen uygulamalar veya kullanıcılar |
| AliyunMQSubOnlyAccess | Yönetim Konsolu aracılığıyla RocketMQ4,0 Service için yalnızca abonelik erişimi | Yalnızca mesaj tüketen uygulamalar veya kullanıcılar |
Hizmete bağlı rol ilkeleri
Hizmete bağlı rol, ApsaraMQ for RocketMQ (Ons) tarafından sizin adınıza diğer Alibaba Cloud hizmetlerindeki kaynaklara erişmek için üstlenilen bir RAM rolüdür. İlişkili ilke tamamen hizmet tarafından yönetilir.
| İlke | Rol | Açıklama |
|---|---|---|
| AliyunServiceRolePolicyForOns | AliyunServiceRoleForOns | Ons'a diğer cloud hizmetlerindeki kaynaklara erişme izni verir |
Bu ilkeyi, AliyunServiceRoleForOns hizmete bağlı rolü dışındaki herhangi bir RAM kimliğine eklemeyin. Bu ilkeyi değiştiremez veya silemezsiniz.
RAM kimliklerine izin verin
Varsayılan olarak RAM kimliklerinin hiçbir izni yoktur. Bir hesap yöneticisi, erişim sağlamak için açıkça ilkeler eklemelidir. Güvenlik risklerini en aza indirmek için her kimliğin ihtiyaç duyduğu izinleri sadece verin.