Alibaba Cloud CLI:Safety policy

Senaryolar

• YZ aracı güvenlik sınırlamaları: Bir YZ aracı cloud kaynaklarını yönetmek için CLI'yı kullandığında, güvenlik ilkesi yıkıcı işlemleri (silme işlemleri gibi) engelleyebilir ve insan onayı gerektirebilir ya da tamamen engelleyerek insan döngüsünde (HITL) bir mekanizma sağlar.

• Operasyonel korumalar: Kaynakları silme veya örnekleri durdurma gibi yıkıcı işlemlerin yanlışlıkla çalıştırılmasını önlemek için ekip CLI ortamları için varsayılan kurallar yapılandırın.

Mevcut ilkeyi görüntüleyin

Güvenlik ilkesi yapılandırmasını JSON biçiminde görüntülemek için aşağıdaki komutu çalıştırın:

aliyun configure safety-policy show

Örnek çıktı:

{
  "enabled": false,
  "rules": []
}

Etkinleştirin ve devre dışı bırakın

# Enable safety policy
aliyun configure safety-policy enable

# Disable safety policy
aliyun configure safety-policy disable

enabled alanının true olduğunu doğrulamak için aliyun configure safety-policy show komutunu çalıştırın.

Kuralları ekleyin

Komut sözdizimi:

aliyun configure safety-policy add --pattern <pattern> --action <deny|confirm>

Örnek: Tüm ürünlerdeki tüm silme işlemlerini engelleyin:

aliyun configure safety-policy add --pattern '*:Delete*' --action deny

Örnek: ECS güncelleme işlemleri için insan onayı gerektirin:

aliyun configure safety-policy add --pattern 'ecs:Update*' --action confirm

Kuralın eklendiğini doğrulamak için aliyun configure safety-policy list komutunu çalıştırın.

Kuralları kaldırın

Bir kuralı kaldırmak için tam kalıbı belirtin:

aliyun configure safety-policy remove --pattern '*:Delete*'

Kuralları listeleyin

Tüm kuralları biçimlendirilmiş bir listede görüntülemek için aşağıdaki komutu çalıştırın:

aliyun configure safety-policy list

Örnek çıktı:

Safety policy: enabled
Config file: /home/user/.aliyun/safety-policy.json

Rules:
  1. *:Delete* -> deny
  2. ecs:Update* -> confirm

Kalıp biçimi

--pattern parametresi {product}:{operation} biçimini kullanır ve herhangi bir karakter dizisini eşleştirmek için * joker karakterini destekler. Kalıp eşleştirme büyük/küçük harfe duyarlı değildir: *:Delete*, *:DELETE* ve *:delete* aynı işlemlerin tümünü eşleştirir.

CLI, API stiline bağlı olarak farklı komut tanımlayıcıları oluşturur:

Yaygın kalıp örnekleri:

Eylem değerleri

forbid, confirm için bir takma addır. Aynı çalışma zamanı davranışını üretirler.

Hiçbir kural eşleşmezse, işlem varsayılan olarak izin verilir (örtük izin). Açık allow kuralları, daha genel deny veya confirm kurallarından önce istisnalar oluşturmak için kullanılır.

Kural değerlendirme sırası

Kurallar, yapılandırılan sırada yukarıdan aşağıya doğru, ilk eşleşmenin kazandığı stratejiyle değerlendirilir: ilk eşleşen kural geçerli olur ve sonraki kurallar kontrol edilmez. Hiçbir kural eşleşmezse, varsayılan olarak yürütmeye izin verilir.

Örneğin, aşağıdaki iki kural verildiğinde:

1. ecs:Delete* → confirm

2. *:Delete* → deny

aliyun ecs delete-instance komutunu çalıştırdığınızda, ilk kural (ecs:Delete*) eşleşir ve ikinci kuralın deny eylemi yerine confirm eylemi uygulanır.

İstisnalar oluşturmak için allow kullanımı:

1. ecs:Describe* → allow

2. ecs:* → deny

aliyun ecs DescribeInstances çalıştırıldığında ilk allow kuralıyla eşleşir ve işlem normal şekilde devam eder. aliyun ecs DeleteInstance çalıştırıldığında ise ikinci kural eşleşir ve işlem engellenir.

--yes bayrağı

--yes (veya -y) bayrağını belirttiğinizde, confirm kuralları otomatik olarak atlanır (onaylanmış olarak kabul edilir). deny kuralları etkilenmez ve yürütmeyi engellemeye devam eder.

# confirm rules are skipped, operation executes directly
aliyun ecs update-instance --InstanceId i-bp1xxxxx --yes

# deny rules are not affected, operation is still blocked
aliyun ecs delete-instance --InstanceId i-bp1xxxxx --yes
# Output: ERROR: operation blocked by safety policy: ecs delete-instance (rule: *:Delete*)

Bir oturum boyunca tüm confirm kurallarını otomatik olarak onaylamak, yani her komutta --yes geçmekle eşdeğer olmak için ALIBABA_CLOUD_SAFETY_SKIP_CONFIRM ortam değişkenini true olarak ayarlayabilirsiniz:

export ALIBABA_CLOUD_SAFETY_SKIP_CONFIRM=true

Etkileşimli olmayan terminal davranışı

CLI, geçerli ortamı belirlemek için standart girdinin bir terminal cihazı olup olmadığını algılar. Betikler, CI/CD işlem hatları ve YZ aracı çalışma zamanları gibi etkileşimli olmayan ortamlarda, bir işlem bir confirm kuralıyla eşleşir ve --yes bayrağı belirtilmezse CLI aşağıdaki hatayı döndürür:

Safety policy requires confirmation for: ecs update-instance
This operation cannot run in non-interactive mode without explicit approval. If you are an agent, ask the user whether this operation is allowed; after they confirm (e.g. reply yes), re-run the same command with --yes.

Önerilen YZ aracı iş akışı

Bir YZ aracı CLI aracılığıyla cloud kaynaklarını yönetirken, güvenlik ilkelerini yapılandırmak ve kullanmak için şu adımları izleyin:

1. Güvenlik ilkelerini yapılandırın: Tamamen yasaklanması gereken işlemler için deny ve onay gerektiren işlemler için confirm ayarlayın.

2. Onay istemlerini işleyin: Aracı bir confirm engeliyle karşılaştığında, işlem ayrıntılarını kullanıcıya sunar ve onay ister.

3. Onayla yeniden yürütün: Kullanıcı onayladıktan sonra, aracı komutu --yes bayrağıyla yeniden çalıştırır.

Örnek yapılandırma: Silme işlemlerini engelleyin ve güncelleme işlemleri için insan onayı gerektirin:

aliyun configure safety-policy enable
aliyun configure safety-policy add --pattern '*:Delete*' --action deny
aliyun configure safety-policy add --pattern '*:Update*' --action confirm

{
  "enabled": true,
  "rules": [
    {
      "pattern": "ecs:Describe*",
      "action": "allow"
    },
    {
      "pattern": "*:Delete*",
      "action": "deny"
    },
    {
      "pattern": "ecs:Update*",
      "action": "confirm"
    }
  ]
}