EDAS-related fine-grained permission rules and access policies in RAM - Enterprise Distributed Application Service

Resource Access Management (RAM) ilkeleri, RAM kullanıcılarının Enterprise Distributed Application Service (EDAS) kaynakları üzerinde hangi eylemleri gerçekleştirebileceğini denetler. Her ilke, bir eylemi Allow (İzin Ver) veya Deny (Reddet) etkisiyle bir Alibaba Cloud Resource Name (ARN) kaynağıyla eşler.

Bu konu, yaygın izin senaryolarına yönelik tüm EDAS eylemlerini, kaynak ARN biçimlerini ve JSON ilke örneklerini listeler.

Kaynak ARN biçimi

Her EDAS kaynağı bir ARN ile tanımlanır:

acs:edas:<region-id>:<account-id>:<resource-path>

Aşağıdaki tabloda tüm EDAS kaynak türleri ve bunların ARN kalıpları listelenmiştir.

Kaynak türü	ARN kalıbı
Mikroservis ad alanı	`acs:edas:$regionid:$accountid:namespace/$namespace`
Küme	`acs:edas:$regionid:$accountid:namespace/$namespace/cluster/$clusterId`
Uygulama	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
Yapılandırma	`acs:acms:$regionid:$accountid:cfg/$namespace/$groupId/$configId`
Sistem (genel)	`acs:edas:$regionid:$accountid:*`

Kaynak değişkenleri

Değişken	Açıklama	Nereden bulunur
`$regionid`	Kaynağın dağıtıldığı bölge, örneğin `cn-shanghai`. Daha fazla bilgi için bkz. Bölgeler ve alanlar.	Yok
`$namespace`	Mikroservis ad alanı kimliği.	EDAS konsol içinde şuraya gidin: Resource Management > Microservice Namespaces. Kimlik Microservices Namespace sayfasında gösterilir.
`$clusterId`	Küme kimliği, örneğin `8c349f69-505c-436f-8dc7-**********`.	EDAS konsol içinde şuraya gidin: Resource Management > ECS Clusters. Cluster ID/Name sütunundaki bir küme kimliğine tıklayarak Cluster Details sayfasını açın.
`$applicationId`	Uygulama kimliği, örneğin `ec8e38a3-3dca-47a7-b6f9-5**********`.	EDAS konsol içinde şuraya gidin: Application Management > Applications. Bir uygulama adına tıklayın, ardından kimliği Basic Information sekmesinde bulun.

Joker karakterler

Belirli bir kimlik yerine yıldız işareti (*) kullanarak o türdeki tüm kaynaklarla eşleşebilirsiniz:

namespace/* -- bir bölgedeki tüm mikroservis ad alanları
namespace/$namespace/cluster/* -- bir ad alanındaki tüm kümeler
namespace/*/application/* -- bir bölgedeki tüm ad alanlarında bulunan tüm uygulamalar

Eylemlere başvuru

Aşağıdaki tablolarda her kaynak kategorisine ait eylemler, bağımlı oldukları eylemler ve hedef kaynak ARN'leri listelenmiştir.

Mikroservis ad alanı yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
1,1	Ad alanı oluşturma	`edas:CreateNamespace`	--	`acs:edas:$regionid:$accountid:namespace/*`
1,2	Ad alanı silme	`edas:DeleteNamespace`	`edas:ReadNamespace`	`acs:edas:$regionid:$accountid:namespace/$namespace`
1,4	Ad alanını değiştirme	`edas:ManageNamespace`	`edas:ReadNamespace`	`acs:edas:$regionid:$accountid:namespace/$namespace`
1,5	Ad alanı ayrıntılarını görüntüleme	`edas:ReadNamespace`	--	`acs:edas:$regionid:$accountid:namespace/$namespace`

Küme yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
2,1	Küme oluşturma	`edas:CreateCluster`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/cluster/*`
2,2	Küme silme	`edas:DeleteCluster`	`edas:ReadCluster`	`acs:edas:$regionid:$accountid:namespace/$namespace/cluster/$clusterId`
2,3	Küme ayrıntılarını görüntüleme	`edas:ReadCluster`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/cluster/$clusterId`
2,4	Küme yönetimi	`edas:ManageCluster`	`edas:ReadCluster`	`acs:edas:$regionid:$accountid:namespace/$namespace/cluster/$clusterId`

Uygulama yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
3,1	Uygulama oluşturma	`edas:CreateApplication`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/application/*`
3,2	Uygulama silme	`edas:DeleteApplication`	`edas:ReadApplication`	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
3,3	Uygulama ayrıntılarını görüntüleme	`edas:ReadApplication`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
3,4	Uygulama yönetimi	`edas:ManageApplication`	`edas:ReadApplication`	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
3,5	Uygulama yapılandırma (bağlantı noktası, Tomcat bağlamı, yük dengeleme, sağlık denetimi, JVM, Intra-zone Provider First)	`edas:ConfigApplication`	`edas:ReadApplication`	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
3,6	Uygulama günlüklerini yönetme	`edas:ManageAppLog`	`edas:ReadApplication`	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`

Mikroservis yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
4,1	Mikroservisleri görüntüleme	`edas:ReadService`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
4,2	Mikroservisleri test etme	`edas:TestService`	--	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`
4,3	Mikroservisleri yönetme	`edas:ManageService`	`edas:ReadService`	`acs:edas:$regionid:$accountid:namespace/$namespace/application/$applicationId`

Yapılandırma yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
5,1	Yapılandırmaları görüntüleme	`acms:R`	--	`acs:acms:$regionid:$accountid:cfg/$namespace/$groupId/$configId`
5,2	Yapılandırmaları yönetme	`acms:*`	--	`acs:acms:$regionid:$accountid:cfg/$namespace/$groupId/$configId`

Sistem yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
6,1	EDAS sistemini yönetme	`edas:ManageSystem`	--	`acs:edas:$regionid:$accountid:*`
6,2	İşlem günlüklerini görüntüleme	`edas:ReadOperationLog`	--	`acs:edas:$regionid:$accountid:*`
6,3	Sistem bakım ve onarım işlemleri gerçekleştirme	`edas:ManageOperation`	--	`acs:edas:$regionid:$accountid:*`
6,4	ECS örnekleri satın alma	`edas:ECSPurchase`	--	`acs:edas:::*`
6,5	SLB örnekleri satın alma	`edas:SLBPurchase`	--	`acs:edas:::*`
6,6	Simple Log Service projeleri satın alma	`edas:SLSPurchase`	--	`acs:edas:::*`

Ticari özellik yönetimi

Kod	İşlem	Eylem	Bağımlı eylem	Kaynak
7	Kullanıma sunulan ticari EDAS özelliklerini yönetme	`edas:ManageCommercialization`	--	`acs:edas:$regionid:$accountid:*`

İlke örnekleri

Tüm ilkelerde "Version": "1" kullanılır. Değişkenleri ($regionid, $namespace, $clusterId, $applicationId) gerçek değerlerle değiştirin. Bu türdeki tüm kaynaklarla eşleşmesi için bir değişkeni * olarak ayarlayın.

Uygulama ilkeleri

Tek uygulama

Bir uygulamayı yönetme (oluşturma veya silme izni olmadan)

Belirli bir uygulama için görüntüleme, yapılandırma ve günlük yönetimine izin verirken oluşturmayı ve silmeyi açıkça reddeder.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:*Application"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    },
    {
      "Action": ["edas:DeleteApplication"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"],
      "Effect": "Deny"
    },
    {
      "Action": ["edas:CreateApplication"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/*"],
      "Effect": "Deny"
    }
  ]
}

Create an application

Önemli

Bir uygulama oluşturmak için bir küme örneği gerekir. ReadCluster eylemini CreateApplication ile birlikte ekleyin.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:CreateApplication", "edas:ReadCluster"],
      "Effect": "Allow",
      "Resource": [
        "acs:edas:$regionid:*:namespace/$namespace/application/*",
        "acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"
      ]
    }
  ]
}

Delete an application

Önemli

RAM kullanıcısının silmeden önce uygulamayı bulabilmesi için ReadApplication eylemini ekleyin.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:DeleteApplication", "edas:ReadApplication"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Manage application logs

Önemli

RAM kullanıcısının uygulamayı bulabilmesi için ReadApplication eylemini ekleyin.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadApplication", "edas:ManageAppLog"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Uygulama yapılandırma

Uygulama bağlantı noktası, Tomcat bağlamı, yük dengeleme, sağlık denetimi, JVM parametreleri ve Intra-zone Provider First işlevlerini kapsar.

Önemli

RAM kullanıcısının uygulama ayarlarına erişebilmesi için ReadApplication eylemini ekleyin.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadApplication", "edas:ConfigApplication"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Birden çok uygulama

Bir bölgedeki tüm ad alanlarında uygulamaları sorgulama

Not

Bir bölgede birden fazla mikroservis ad alanı bulunabilir. Bu ilke, belirtilen bölgedeki tüm ad alanlarında bulunan uygulamalara okuma erişimi sağlar.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadApplication"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/*/application/*"]
    }
  ]
}

Bir ad alanındaki tüm uygulamaları yönetme

Belirli bir ad alanı içinde tam uygulama izinleri ve küme okuma erişimi sağlar.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:*Application", "edas:ReadCluster"],
      "Effect": "Allow",
      "Resource": [
        "acs:edas:$regionid:*:namespace/$namespace/application/*",
        "acs:edas:$regionid:*:namespace/$namespace/cluster/*"
      ]
    }
  ]
}

Küme ilkeleri

Küme oluşturma

Önemli

Küme oluşturulmasına izin vermek için Resource değeri cluster/* ile bitmelidir.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:CreateCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/*"],
      "Effect": "Allow"
    }
  ]
}

Küme ayrıntılarını görüntüleme

Kümenin yanı sıra içindeki örnekler ve uygulamalar için salt okunur erişim sağlar.

Not

Bir RAM kullanıcısının o gruptaki tüm kümeleri görüntüleyebilmesi için bir kaynak grubunda izinler atayın.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
      "Effect": "Allow"
    }
  ]
}

Tam küme yönetimi

Küme oluşturmaya, kümeye örnek eklemeye, kümede değişiklik yapmaya ve kümeyi silmeye olanak tanır.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
      "Effect": "Allow"
    }
  ]
}

Belirli işlemleri kısıtlamak için açık Reddet ifadeleri ekleyin:

Yönetmeye izin ver ancak oluşturmayı reddet:

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
      "Effect": "Allow"
    },
    {
      "Action": ["edas:CreateCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/*"],
      "Effect": "Deny"
    }
  ]
}

Yönetmeye izin ver ancak hem oluşturmayı hem de silmeyi reddet:

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
      "Effect": "Allow"
    },
    {
      "Action": ["edas:CreateCluster", "edas:DeleteCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/*"],
      "Effect": "Deny"
    }
  ]
}

Not

Yönetimi yalnızca bu kümeyle sınırlamak için $clusterId değerini belirli bir küme kimliğine ayarlayın. Ad alanındaki tüm kümelerin yönetilmesine izin vermek için bunu * olarak ayarlayın.

Küme silme

Hem ReadCluster (kümeyi bulmak için) hem de DeleteCluster eylemlerini gerektirir.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadCluster", "edas:DeleteCluster"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
      "Effect": "Allow"
    }
  ]
}

Mikroservis ad alanı ilkeleri

Mikroservis ad alanları oluşturma

Önemli

Ad alanı oluşturulmasına izin vermek için Resource değeri namespace/* ile bitmelidir.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:CreateNamespace"],
      "Resource": ["acs:edas:$regionid:*:namespace/*"],
      "Effect": "Allow"
    }
  ]
}

Mikroservis ad alanlarını görüntüleme

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadNamespace"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
      "Effect": "Allow"
    }
  ]
}

Mikroservis ad alanlarını yönetme

Bir mikroservis ad alanında değişiklik yapmaya veya yeniden adlandırmaya olanak tanır.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageNamespace"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
      "Effect": "Allow"
    }
  ]
}

Mikroservis ad alanlarını silme

Hem ReadNamespace (ad alanını bulmak için) hem de DeleteNamespace eylemlerini gerektirir.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadNamespace", "edas:DeleteNamespace"],
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
      "Effect": "Allow"
    }
  ]
}

Mikroservis ilkeleri

Mikroservisleri görüntüleme

Not

Ad alanındaki tüm mikroservislere erişim sağlamak için $applicationId değerini * olarak ayarlayın.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadService"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Mikroservisleri test etme

Not

Tüm ad alanlarında test yapılmasına izin vermek için hem $namespace hem de $applicationId değerlerini * olarak ayarlayın.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:TestService"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Mikroservisleri yönetme

Not

Ad alanındaki tüm mikroservislere yönetim erişimi sağlamak için $applicationId değerini * olarak ayarlayın.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageService"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
    }
  ]
}

Anormal örnekleri kaldırma

Önemli

Anormal bir örneğin kaldırılması, mikroservis ad alanındaki tüm uygulamaları etkiler. Bu izin yalnızca ad alanı düzeyinde kapsamlandırılabilir.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageService"],
      "Effect": "Allow",
      "Resource": ["acs:edas:$regionid:*:namespace/$namespace"]
    }
  ]
}

Kaynak satın alma ilkeleri

Önemli

Tüm satın alma ilkeleri için Resource değeri acs:edas:*:*:* olmalıdır. Daha ayrıntılı kaynak kapsamlandırma desteklenmez.
Satın alma ilkeleri yalnızca RAM kullanıcıları için geçerlidir.

ECS örnekleri satın alma

Bir kümede ECS örnekleri satın alırken, bir ECS kümesinde uygulama oluştururken veya bir uygulamayı ölçeklendirirken uygulanır.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["edas:ECSPurchase"],
      "Resource": ["acs:edas:*:*:*"]
    }
  ]
}

SLB örnekleri satın alma

Bir uygulamaya SLB örneği bağlarken uygulanır.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["edas:SLBPurchase"],
      "Resource": ["acs:edas:*:*:*"]
    }
  ]
}

Simple Log Service kaynakları satın alma

Bir uygulama için Log Service kaynakları sağlarken uygulanır.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["edas:SLSPurchase"],
      "Resource": ["acs:edas:*:*:*"]
    }
  ]
}

Sistem ilkeleri

Sistem ilkeleri belirli kaynaklara göre kapsamlandırılmaz. Resource değerini acs:edas:*:*:* olarak ayarlayın.

Tam sistem yönetimi

RAM kullanıcılarını yönetme, kaynak kullanımını görüntüleme ve işlem günlüklerini görüntüleme izinleri sağlar.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageSystem"],
      "Resource": ["acs:edas:*:*:*"],
      "Effect": "Allow"
    }
  ]
}

Sistem bakım ve onarımı

İşlem günlüklerini görüntüleme, aynı anda bir veya daha fazla bakım ve onarım görevi gerçekleştirme ve kaynak gruplarını yönetme izinleri sağlar.

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ManageOperation"],
      "Resource": ["acs:edas:*:*:*"],
      "Effect": "Allow"
    }
  ]
}

İşlem günlüklerini görüntüleme

{
  "Version": "1",
  "Statement": [
    {
      "Action": ["edas:ReadOperationLog"],
      "Resource": ["acs:edas:*:*:*"],
      "Effect": "Allow"
    }
  ]
}