ECS kaynaklarını etiketleyin ve ayrıntılı, kategori tabanlı erişim kontrolü uygulamak için RAM ilkelerini kullanın.
Etiket tabanlı izinler neden kullanılır?
Kaynak gruplarından farklı olarak etiketler, her kaynak için birden fazla etiket tanımlamanıza olanak tanır. Bu sayede kaynakları bölge, departman, ortam veya başka bir boyuta göre sınıflandırabilirsiniz.
Etiket tabanlı RAM ilkeleri üç avantaj sunar:
Fine-grained control: Rol atamalarını genişletmeden izinleri belirli bir kaynak alt kümesiyle sınırlandırın.
Fewer policies to maintain: Tek bir etiket koşullu ilke, tüm bir kaynak sınıfını kapsar. Altyapı büyüdükçe ilke sayısı azalır.
İş açısından anlamlı nitelikler: Etiket anahtarları ve değerleri adlandırma kurallarınızı (proje adları, maliyet merkezleri, dağıtım aşamaları) yansıtır. Bu durum ilkelerin denetlenmesini kolaylaştırır.
En iyi uygulamalar
Aynı işlevi paylaşan ECS örneklerini etiketleyin ve erişim kurallarını uygulamak için bu etikete bir RAM ilkesi koşulunda başvurun.
Aşağıdaki örnekte, function:database etiketine sahip ECS örneklerine genel IP adresi atanması engellenir.
1. Adım: Örnekleri etiketleyin
ECS örneklerine bir etiket ekleyin. Bkz. Tags overview.
Bu örnekte etiket function:database şeklindedir.
2. Adım: Etiket koşulu içeren bir RAM ilkesi oluşturun
Aşağıdaki RAM ilkesini oluşturun ve hedef RAM kullanıcılarına veya rollerine ekleyin.
{
"Version": "1",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ecs:ModifyInstanceNetworkSpec"
],
"Resource": "acs:ecs:*:*:instance/*",
"Condition": {
"StringEquals": {
"acs:ResourceTag/function:database": ["*"]
},
"Bool": {
"ecs:AssociatePublicIpAddress": ["true"]
}
}
}
]
}Temel ilke öğeleri:
| Öğe | Değer | Açıklama |
|---|---|---|
Effect |
Deny |
Tüm koşullar karşılandığında eylemi engeller |
Action |
ecs:ModifyInstanceNetworkSpec |
Örnek ağ yapılandırma işlemini hedefler |
Resource |
acs:ecs:*:*:instance/* |
Tüm bölgelerdeki ve hesaplardaki tüm ECS örneklerine uygulanır |
acs:ResourceTag/function:database |
["*"] |
function:database etiketine sahip örneklerle eşleşir |
ecs:AssociatePublicIpAddress |
["true"] |
Genel IP adresi atayan isteklerle eşleşir |
Sonuç
İlke etkinleştirildikten sonra, function:database etiketine sahip bir örneğe genel IP adresi atayan herhangi bir ModifyInstanceNetworkSpec isteği reddedilir. Etiketlenmemiş örnekler etkilenmez.