How to use the EDAS permission assistant to generate access policies - Enterprise Distributed Application Service

RAM ilke JSON dosyalarını el ile yazmak hataya açık ve zaman alıcıdır. EDAS izin asistanı, görsel bir arayüz üzerinden Resource Access Management (RAM) ilke JSON kodunu otomatik olarak oluşturur. Kontrol etmek istediğiniz ad alanlarını, kümeleri ve uygulamaları seçin; İzin Ver veya Reddet seçeneğini belirleyin; asistan da eksiksiz ilkeyi hazırlasın. Ardından üretilen JSON kodunu kopyalayıp RAM konsolunda yeni bir RAM ilkesi oluşturmak için kullanabilirsiniz.

EDAS, yaygın rolleri kapsayan sekiz sistem izin ilkesi sunar. Mümkün olduğunca bir sistem ilkesiyle başlayın; yalnızca hiçbir sistem ilkesinin ihtiyaçlarınızı karşılamadığı durumlarda özel ilke oluşturun.

Ön koşullar

Başlamadan önce aşağıdakilere sahip olduğunuzdan emin olun:

EDAS konsoluna erişimi olan bir Alibaba Cloud hesabı veya RAM kullanıcısı
İlkeler oluşturmak ve atamak için RAM konsolu erişimi

Sistem izin ilkeleri

EDAS tarafından sağlanan sekiz sistem ilkesi bulunur. Aşağıdaki tabloda her bir ilkenin hangi kaynakları denetlediği ve ne düzeyde erişim sunduğu özetlenmiştir.

İlke	Ad Alanları	Kümeler	Uygulamalar	Mikroservisler	Yapılandırma Yönetimi	Sistem
Super Admin	Tam	Tam	Tam	Tam	Tam	Tam
App Admin	--	Tam	Tam	Tam	--	--
App Operator	--	--	Tam (oluşturma ve silme yok)	Tam	--	Yönet
App Browser	--	--	Oku	Oku	--	--
Resource Admin	Tam	Tam	--	--	--	--
Resource Operator	Tam (oluşturma yok)	Tam (oluşturma yok)	--	--	--	--
Resource Browser	Oku	Oku	--	--	--	--
Edas Browser	Oku	Oku	Oku	Oku	Oku	Günlükleri oku

Bir sistem ilkesi seçin

Super Admin: Alibaba Cloud hesabı düzeyinde tam yetki sağlar. Yalnızca acil durum senaryolarında kullanın ve bunun yerine ayrıntılı erişim denetimi uygulayın.
App Admin veya App Operator: Uygulamaları dağıtan ve yöneten ekiplere atayın. Yanlışlıkla uygulama oluşturulmasını veya silinmesini önlemek için App Operator tercih edin.
App Browser: Değişiklik yapmadan yalnızca uygulama durumunu izlemesi gereken paydaşlara atayın.
Resource Admin veya Resource Operator: Ad alanlarını ve kümeleri yöneten altyapı ekiplerine atayın. Yanlışlıkla ad alanı veya küme oluşturulmasını engellemek için Resource Operator kullanın.
Resource Browser: Altyapı kaynaklarını yalnızca görüntülemesi gereken kullanıcılara atayın.
Edas Browser: İşlem günlükleri dahil olmak üzere EDAS üzerinde salt okunur tam erişim sağlamak için atayın.

Sistem ilkesini görüntüleyin ve kopyalayın

EDAS konsolunda oturum açın.
Sol gezinme bölmesinde System Management > Permission Assistant seçeneklerini seçin.
Permission Assistant sayfasında mevcut sistem izin ilkelerini görüntüleyin.

Policy Type sütununda System Strategy etiketi bulunanlar sistem izin ilkeleridir. Her sistem ilkesi aşağıdaki işlemleri destekler:

duplicate düğmesini tıklayarak New permission Strategy panelini açın ve değiştirilmiş bir kopya oluşturun.
view detail düğmesini tıklayarak view detail iletişim kutusunu açın, ardından ilke JSON kodunu kopyalamak için copy düğmesini tıklayın. RAM konsolunda oturum açın, kopyaladığınız içerikle bir RAM ilkesi oluşturun ve bunu bir RAM kullanıcısına atayın. Ayrıntılar için bkz. EDAS tarafından tanımlanan izinleri RAM ilkeleriyle değiştirme.

Her sistem ilkesinin tam JSON içeriği için bkz. Sistem ilkesi JSON başvurusu.

Özel izin ilkesi oluşturun

İhtiyacınız olan izinleri tam olarak karşılayan bir sistem ilkesi bulunmuyorsa özel bir ilke oluşturun. Aşağıdaki örnek, Çin (Pekin) bölgesinde bir RAM kullanıcısına şu izinleri verir:

Test mikroservis ad alanını görüntüleme.
Test mikroservis ad alanındaki tüm kümeleri görüntüleme.
Test mikroservis ad alanındaki uygulamalar üzerinde, uygulama oluşturma hariç tam izinler.

EDAS konsolunda oturum açın.
Sol gezinme bölmesinde System Management > Permission Assistant seçeneklerini seçin.
Permission Assistant sayfasında New permission Strategy düğmesini tıklayın.
New permission Strategy panelinde, Create a new custom permission policy adımında Name of strategy ve note alanlarını doldurun.
Özel izin ilkesinin etkilerini belirtin ve next step düğmesini tıklayın.

Önemli
Önemli: Bir özel ilke, her ifade için yalnızca bir etki türünü destekler. Kullanılabilir türler Allow (İzin Ver) ve Deny (Reddet) şeklindedir. Aynı eylem için hem Allow hem de Deny ifadesi içeren bir ilke söz konusu olduğunda Deny önceliklidir.
Görüntüleme ve uygulama izinleri için bir Allow ifadesi ekleyin:
1. Create a new custom permission policy adımında New permission statement düğmesini tıklayın. Add authorization statement panelinde aşağıdaki ayarları yapılandırın ve yes düğmesini tıklayın.
  1. Permissions for değerini Allow olarak ayarlayın.
  2. Operations and resource authorization bölümünde soldaki menüden Namespace > View Namespace seçeneğini belirleyin. Sağ taraftaki açılır listelerden China North 2 (Beijing) ve test öğelerini seçin.
  3. Soldaki menüden Clusters > View Cluster seçeneğini belirleyin. Sağ taraftaki açılır listelerden China North 2 (Beijing), test ve All Clusters öğelerini seçin.
  4. Soldaki menüden Applications seçeneğini belirleyin. Sağ taraftaki açılır listelerden China North 2 (Beijing) ve test öğelerini seçin. Applications seçildiğinde tüm uygulama izinleri verilir.
Uygulama oluşturmayı engellemek için bir Deny ifadesi ekleyin:
1. Create a new custom permission policy adımında New permission statement düğmesini tıklayın. Add authorization statement panelinde aşağıdaki ayarları yapılandırın ve yes düğmesini tıklayın.
  1. Permissions for değerini Deny olarak ayarlayın.
  2. Operations and resource authorization bölümünde soldaki menüden Applications > Create Application seçeneğini belirleyin. Sağ taraftaki açılır listelerden China North 2 (Beijing) ve test öğelerini seçin.
Strategy to preview adımında ilkeyi onaylayın ve Finish düğmesini tıklayın.

"New policy authorization succeeded" mesajını gördüğünüzde, Permission Assistant sayfasına dönmek için Return to list view düğmesini tıklayın.

İlkeyi bir RAM kullanıcısına atayın

Permission Assistant sayfasında özel ilkeyi bulun ve view detail düğmesini tıklayın. view detail iletişim kutusunda ilke JSON kodunu kopyalamak için copy düğmesini tıklayın. RAM konsolunda oturum açın, kopyaladığınız içerikle bir RAM ilkesi oluşturun ve bunu bir RAM kullanıcısına atayın. Ayrıntılar için bkz. EDAS tarafından tanımlanan izinleri RAM ilkeleriyle değiştirme.

RAM ilkesi yapısı başvurusu

İzin asistanı tarafından üretilen her ilke aşağıdaki JSON yapısını kullanır:

Alan	Tür	Açıklama
Version	Dize	İlke sürümü. Her zaman "1" değerini alır.
Statement	Dizi	Bir veya daha fazla izin ifadesi. Her ifade bir etki, bir dizi eylem ve hedef kaynakları tanımlar.
Effect	Dize	"Allow" veya "Deny". Aynı eylem için her ikisi de mevcutsa Deny önceliklidir.
Action	Dize[]	EDAS API eylemleri. Bir kaynak türündeki tüm işlemleri eşleştirmek için joker karakter () öneki kullanın; örneğin edas:Application, edas:CreateApplication, edas:ReadApplication ve diğer tüm uygulama eylemlerini eşleştirir.
Resource	Dize[]	İfadenin uygulandığı Alibaba Cloud Resource Name (ARN) değerleri.

EDAS kaynak ARN biçimi

ARN'ler aşağıdaki kalıbı izler:

acs:edas:<region>:<account-id>:<resource-path>

ARN kalıbı	Kapsam
acs:edas:::namespace/*	Tüm bölgelerdeki tüm ad alanları
acs:edas:::namespace//cluster/	Tüm ad alanlarındaki tüm kümeler
acs:edas:::namespace//application/	Tüm ad alanlarındaki tüm uygulamalar
acs:edas:::*	Tüm EDAS kaynakları

Tüm bölgeleri ve hesapları eşleştirmek için bölge ve hesap kimliği alanlarında * kullanın.

Sistem ilkesi JSON başvurusu

Super Admin

Ad alanları, kümeler, uygulamalar, mikroservisler ve yapılandırma yönetimi üzerinde tam izinler.

{
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Namespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Cluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Application"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Service"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
              "edas:ManageSystem",
            "edas:ManageOperation",
            "edas:ReadOperationLog"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
}

App Admin

Uygulamalar ve mikroservisler üzerinde tam izinler, kümeler üzerinde tam erişim.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:*Application"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Service"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
          "edas:ReadCluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      }
    ]
}

App Operator

Oluşturma ve silme hariç uygulamalar üzerinde tam izinler, mikroservisler üzerinde tam izinler ve edas:ManageOperation izni. Deny ifadesi, edas:CreateApplication eylemini açıkça engeller.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:*Application"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Service"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:ManageOperation"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      },
        {
        "Effect": "Deny",
        "Action": [
          "edas:CreateApplication"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      }
    ]
}

App Browser

Uygulamalar ve mikroservisler üzerinde salt okunur erişim.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadApplication"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
          "edas:ReadService"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      }
    ]
}

Resource Admin

Ad alanları ve kümeler üzerinde tam izinler.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:*Namespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
          "edas:*Cluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      }
    ]
}

Resource Operator

Oluşturma hariç ad alanları ve kümeler üzerinde tam izinler. Deny ifadeleri, edas:CreateNamespace ve edas:CreateCluster eylemlerini açıkça engeller.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:*Namespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:*Cluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      },
      {
        "Effect": "Deny",
        "Action": [
          "edas:CreateNamespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
        {
        "Effect": "Deny",
        "Action": [
          "edas:CreateCluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      }
    ]
}

Resource Browser

Ad alanları ve kümeler üzerinde salt okunur erişim.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadNamespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
          "edas:ReadCluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      }
    ]
}

Edas Browser

Ad alanları, kümeler, uygulamalar, mikroservisler, yapılandırmalar ve işlem günlükleri dahil olmak üzere tüm EDAS kaynakları üzerinde salt okunur erişim.

{
    "Version": "1",
    "Statement": [

      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadNamespace"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadCluster"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/cluster/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadApplication"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "edas:ReadService"
        ],
        "Resource": [
          "acs:edas:*:*:namespace/*/application/*"
        ]
      },
        {
        "Effect": "Allow",
        "Action": [
          "edas:ReadOperationLog"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
}