Tüm Ürünler
Search

Bu Ürün

    Elastic Compute Service:Use resource groups for horizontal permission management

    Belge Merkezi

    Elastic Compute Service:Use resource groups for horizontal permission management

    Son Güncelleme:Sep 30, 2026

    ECS kaynaklarının farklı departmanlardaki yöneticiler gibi birden fazla yönetici tarafından yönetilmesi gerekiyorsa, ECS örneklerini ve diskler, görüntüler, güvenlik grupları, anahtar çiftleri ile vSwitch'ler gibi ilgili kaynakları gruplamak için kaynak gruplarını kullanmanızı öneririz. Bu sayede yöneticilerin diğer yöneticilere ait kaynakları görüntülemesi veya bu kaynaklar üzerinde işlem yapması engellenir ve yatay izin yönetimi uygulanır.

    Güvenlik riskleri

    Varsayılan olarak, AliyunECSFullAccess gibi ECS yönetim izinleri verilen bir RAM kullanıcısı, hesaptaki tüm ECS örnekleri ve ilgili kaynaklar üzerinde işlem yapabilir. Ekipler büyüdükçe bu düz yetkilendirme aşağıdaki güvenlik risklerini oluşturur:

    • İzin suiistimali ve operasyonel hatalar: A Departmanından bir yönetici, kasıtlı olarak veya yanlışlıkla B Departmanına ait üretim sunucularını görüntüleyebilir, değiştirebilir veya silebilir.

    • En az ayrıcalık ilkesinin ihlali: RAM kullanıcısı, iş gereksinimlerinin çok ötesinde izinlere sahiptir. Bu durum, her kullanıcıyı, programı veya işlemi yalnızca gereken minimum erişimle sınırlayan derinlemesine savunmanın temel ilkelerinden biri olan en az ayrıcalık ilkesini ihlal eder.

    • Denetim ve uyumluluk zorlukları: Tüm işlemler iç içe geçtiğinde, hangi departmanın hangi kaynağı değiştirdiğini takip etmek zorlaşır ve uyumluluk sağlanması güçleşir.

    En iyi uygulamalar

    Alibaba Cloud hesabınızda mantıksal yönetim sınırları oluşturmak için kaynak gruplarını ve kimlik tabanlı RAM ilkelerini kullanın. Aşağıdaki senaryo, yatay izin yalıtımını göstermek amacıyla DepartmentA ve DepartmentB adlı iki departmanı ele alır.

    Senaryo: A Departmanı ve B Departmanı için ayrı ECS yöneticileri oluşturun; her bir yöneticiyi yalnızca kendi departmanının kaynaklarıyla sınırlayın.

    1. Kaynak grupları oluşturun

      1. Kaynak grubu yönetimi izinlerine sahip bir Alibaba Cloud hesabı veya RAM kimliğiyle oturum açın.

      2. Resource Group konsoluna şuraya gidin. Create Resource Group öğesini tıklayın, gerekli bilgileri girin ve OK seçeneğini tıklayın.

        • Resource Group Identifier: DepartmentA değerini girin.

        • Resource Group Name: Department A Resource Group değerini girin.

      3. ID değeri DepartmentB olan başka bir kaynak grubu oluşturmak için adımları tekrarlayın.

    2. RAM kullanıcıları oluşturun

      1. RAM konsoluna şuraya gidin. Sol gezinme bölmesinde Identities > User seçeneğini seçin.

      2. Create User seçeneğini tıklayın ve ekrandaki talimatları izleyerek bilgileri girin.

        1. Logon Name/Display Name: AdminA değerini girin.

        2. Access Mode: Console Access seçeneğini belirleyin ve parola ilkesini yapılandırın.

      3. OK seçeneğini tıklayın ve güvenlik doğrulamasını tamamlayın.

      4. AdminB kullanıcısını oluşturmak için adımları tekrarlayın.

    3. Kaynak gruplarına izin verin

      1. Resource Group konsoluna geri dönün.

      2. DepartmentA kaynak grubunu bulun ve Actions sütununda Manage Permission seçeneğini tıklayın.

      3. Grant Permission seçeneğini tıklayın.

        1. Resource Scope: Varsayılan olarak geçerli kaynak grubu olan DepartmentA seçilidir.

        2. Principal: RAM User seçeneğini belirleyin ve AdminA kullanıcısını seçin.

        3. Policy: ecs ifadesini aratın. AliyunECSFullAccess ve AliyunBSSFullAccess ilkelerini seçin.

        4. OK seçeneğini tıklayın.

      4. AdminB kullanıcısına DepartmentB kaynak grubu için izin vermek üzere adımları tekrarlayın.

    4. Yalıtımı doğrulayın

      • Oturumu kapatın. Ardından Alibaba Cloud konsoluna sırasıyla AdminA ve AdminB olarak ayrı ayrı oturum açın.

      • AdminA olarak oturum açtıktan sonra: Özel bir örnek oluşturun. Kaynak grubu olarak Department A Resource Group seçeneğini belirleyin.

        ECS console - Instances sayfasına gidin. Yalnızca DepartmentA kaynak grubundaki ECS örnekleri görünür.

      • AdminB olarak oturum açtıktan sonra: Benzer ancak tamamen yalıtılmış bir davranış görürsünüz. Tüm işlemler DepartmentB kaynak grubuyla sınırlıdır.