Container Compute Service:Grant RAM permissions to a RAM user or RAM role

Ön koşullar

Özel bir ilke oluşturmadan önce ilke dilinin temel yapısı ve söz dizimi hakkında bilgi edinin. Daha fazla bilgi için bkz. İlke öğeleri.

Sistem ilkeleri

Bir RAM kullanıcısının veya RAM rolünün Alibaba Cloud hesabınızdaki tüm kümeler üzerinde O&M izinlerine ihtiyacı varsa hızlı yetkilendirme için sistem ilkelerini kullanın.

Sistem ilkesi ekleme

1. RAM konsolu adresine giriş yapın.

2. Sol gezinme bölmesinde Identities > Users seçeneğini belirleyin.

3. Users sayfasında hedef RAM kullanıcısını bulun ve Actions sütunu > Attach Policy seçeneğine tıklayın.

   Toplu yetkilendirme için birden fazla RAM kullanıcısı seçebilir ve kullanıcı listesinin altındaki Attach Policy seçeneğine tıklayabilirsiniz.

4. Grant Permission panelinde bir ilke seçin ve yetkilendirmeyi tamamlayın.

   1. Resource scope:

      • Account level: İzinler, Alibaba Cloud hesabınızdaki tüm kaynaklar için geçerlidir.

      • Resource group level: İzinler yalnızca belirtilen kaynak grubu içinde geçerlidir. Giriş yaptıktan sonra RAM kullanıcısının üst gezinme çubuğundan yetkilendirilmiş kaynak grubuna geçiş yapması gerekir.

        Not

        1. Sistem, yüksek riskli sistem ilkelerini (AdministratorAccess ve AliyunRAMFullAccess gibi) bir uyarı göstergesiyle işaretler. Bu ilkeler genellikle tüm cloud kaynakları üzerinde tam kontrol veya RAM'in tam yönetimi sağlar. Bu ilkeleri dikkatli verin.

        2. Kaynak grubu yetkilendirme örnekleri için bkz. Belirli ECS örneklerine RAM kullanıcısı erişimini kontrol etme.

   2. Principal:

      Asıl, izinleri alan RAM kullanıcısıdır. Users sayfasından sistem mevcut kullanıcıyı otomatik seçer. Grants sayfasından ise kullanıcıyı manuel seçmeniz gerekir. Toplu seçim desteklenir.

   3. Eklemek istediğiniz sistem ilkesini seçin.

   4. OK seçeneğine tıklayın, ardından yetkilendirmeyi tamamlamak için Close seçeneğine tıklayın.

Özel ilkeler

ACK, kaba granüllü sistem ilkeleri sağlar. Bunlar güvenlik gereksinimlerinizi karşılamıyorsa özel bir ilke oluşturun. Örneğin, belirli bir küme için izinleri yönetmek gibi ince granüllü erişim kontrolü için özel ilkeler gereklidir.

Adım 1: Özel bir ilke oluşturma

1. Bir RAM yöneticisi olarak RAM konsolu adresine giriş yapın.

2. Sol gezinme bölmesinde Permissions > Policies seçeneğini belirleyin.

3. Policies sayfasında Create Policy seçeneğine tıklayın.

4. Create Policy sayfasında JSON sekmesine tıklayın ve aşağıdaki ilke belgesini yapıştırın.

   {
    "Statement": [{
        "Action": [
            "cs:Get*",
            "cs:List*",
            "cs:Describe*",
            "cs:ScaleCluster",
            "cs:DeleteCluster"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:cs:*:*:cluster/<cluster_id>"
        ]
    }],
    "Version": "1"
   }

   Parametre	Açıklama
   Action	Verilecek izinler. Tüm eylemler joker karakterleri destekler.
   Resource	Bu parametreyi aşağıdaki yollardan biriyle yapılandırabilirsiniz. Küme kimliğinizi örneğin cae93341766c843479ae986b3305xxxxx olacak şekilde <cluster_id> ile değiştirin. Tek bir küme üzerinde izin verme "Resource": [ "acs:cs:*:*:cluster/<cluster_id>" ] Birden çok küme üzerinde izin verme "Resource": [ "acs:cs:*:*:cluster/<cluster_id_1>", "acs:cs:*:*:cluster/<cluster_id_2>" ] Tüm kümeler üzerinde izin verme "Resource": [ "*" ]

5. İlke içeriğini yapıştırdıktan sonra OK seçeneğine tıklayın. Görüntülenen iletişim kutusunda bir ilke adı girin ve OK seçeneğine tıklayın.

6. Policies sayfasına dönün ve oluşturulduğunu doğrulamak için ilke adı veya açıklamasına göre arama yapın.

Adım 2: Özel ilkeyi ekleme

Özel bir ilke ekleme prosedürü sistem ilkesi eklemekle aynıdır. Seçim adımında oluşturduğunuz özel ilkeyi seçin. Daha fazla bilgi için bkz. Sistem ilkesi ekleme.

Örnek

Küme düzeyinde yetkilendirmeyi desteklemeyen API işlemleri için izin verme

DescribeEvents gibi bazı API işlemleri küme düzeyinde yetkilendirmeyi desteklemez. Bir RAM kullanıcısına veya RAM rolüne bu API işlemleri için izin vermek amacıyla Resource öğesinde bir küme kimliği belirtmeyin.

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<cluster_id>"
            ]
        }
    ],
    "Version": "1"
}

{
    "Statement": [
        {
            "Action": [
                "cs:DescribeEvents"
            ],
            "Effect": "Allow",
            "Resource": [
              "*"
            ]
        },
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<cluster_id>"
            ]
        }
    ],
    "Version": "1"
}