Create custom policies for Alibaba Cloud Elasticsearch - Elasticsearch

Genel bilgiler

Alibaba Cloud Elasticsearch aşağıdaki sistem ilkelerini destekler:

İlke adı	Açıklama
AliyunElasticsearchReadOnlyAccess	Alibaba Cloud Elasticsearch veya Logstash örnekleri üzerinde salt okunur izinler verir. Bu ilke, yalnızca okuma yetkisi olan kullanıcılar içindir.
AliyunElasticsearchFullAccess	Yöneticiler için Alibaba Cloud Elasticsearch örnekleri, Logstash örnekleri ve Beats toplayıcıları üzerinde tam yönetim izinleri verir.

Not

Bu ilkeler, CloudMonitor veya etiketler için gerekli izinleri içermez. Bu izinleri vermek üzere özel ilkeler oluşturmanız gerekir. Daha fazla bilgi için bkz. Belirli örnek ilkesi.

Ön koşullar

İlke dilinin temel yapısı ve sözdizimine aşina olmalısınız. Daha fazla bilgi için bkz. İlke yapısı ve sözdizimi.

Kullanım notları

Özel ilkeler kaynak grubu düzeyinde değil, hesap düzeyinde etkili olur. Bir RAM kullanıcısı için konsolda yalnızca belirli kaynakların görüntülenmesini istiyorsanız, izinleri bir kaynak grubu kullanarak verin. Daha fazla bilgi için bkz. Kaynak grubu kullanarak belirli örnekleri yönetmek için RAM kullanıcısını yetkilendirme.

Yordam

Özel bir ilke oluşturmak için bkz. JSON sekmesinde özel ilke oluşturma. İş gereksinimlerinize göre bir ilke belgesi girebilir veya mevcut bir sistem ilkesini içeri aktarıp değiştirebilirsiniz.

Örnek ilke belgeleri:

Alibaba Cloud hesabınıza ait Virtual Private Cloud (VPC) kaynaklarına erişim izni.

"elasticsearch:DescribeVpcs","elasticsearch:DescribeVSwitches"
{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "elasticsearch:DescribeVpcs",
        "elasticsearch:DescribeVSwitches"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Bir RAM kullanıcısının siparişleri ödemesine yönelik izin.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "bss:PayOrder"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

Daha fazla ilke örneği için bkz. İlke örnekleri.

İlke örnekleri

Önemli

Aşağıdaki kod örneklerini kullanmadan önce yer tutucuları gerçek bilgilerinizle değiştirin:

<yourAccountId>: Bunu Alibaba Cloud Hesap Kimliğinizle değiştirin. Joker karakterler (*) desteklenmez. Hesap Kimliğinizi bulmak için konsolun sağ üst köşesindeki kullanıcı avatarınızın üzerine gelerek Account ID öğesini görüntüleyin.
<yourInstanceId>: Bunu hedef örneğin Kimliği ile değiştirin. Joker karakterler (*) desteklenmez. Örnek Kimliğini bulmak için bkz. Örneğin temel bilgilerini görüntüleme.

Yönetici ilkesi

Aşağıdaki ilke, <yourAccountId> Alibaba Cloud hesabı altındaki bir RAM kullanıcısına tüm Alibaba Cloud Elasticsearch örneklerinde tam işlem izni verir.

{
    "Statement": [
        {
            "Action": [
                "elasticsearch:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "cms:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "bss:PayOrder",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "collector.elasticsearch.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}

Belirli örnek ilkesi

Aşağıdaki ilke, <yourAccountId> Alibaba Cloud hesabı altındaki bir RAM kullanıcısına aşağıdaki izinleri verir:

CloudMonitor izinleri.
Belirli bir örnekte tüm Elasticsearch ile ilgili işlemleri gerçekleştirme izinleri.
Örnek listesini görüntüleme izinleri.
Tüm örneklerin etiketlerini görüntüleme izinleri.
Toplayıcı listesini görüntüleme izinleri.

Not

Alibaba Cloud Elasticsearch konsolundaki örnek yönetim sayfası, Beats toplayıcıları, Gelişmiş İzleme ve Uyarı ve etiketler gibi harici hizmetlerle entegredir. Bu nedenle, belirli bir örnek için izin verirken aşağıdaki ilke örneğinde gösterildiği gibi bu bağımlı hizmetler için de izin vermeniz gerekir.

{
    "Statement": [
        {
            "Action": [
                "elasticsearch:*"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:instances/<yourInstanceId>"
        },
        {
            "Action": [
                "cms:DescribeActiveMetricRuleList",
                "cms:ListAlarm",
                "cms:QueryMetricList"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "elasticsearch:ListTags"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:tags/*"
        },
        {
            "Action": [
                "elasticsearch:ListInstance",
                "elasticsearch:ListSnapshotReposByInstanceId"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:instances/*"
        },
        {
            "Action": [
                "elasticsearch:ListLogstash"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:logstashes/*"
        }, 
        {
            "Action": [
                "elasticsearch:ListCollectors"
            ],
            "Effect": "Allow",
            "Resource": "acs:elasticsearch:*:<yourAccountId>:collectors/*"
        }
    ],
    "Version": "1"
}

Tablo 1. Action
Action	Description
`[ "cms:DescribeActiveMetricRuleList", "cms:ListAlarm", "cms:QueryMetricList" ]`	CloudMonitor izinleri. Aşağıdaki listede her bir izin açıklanmaktadır: `cms:DescribeActiveMetricRuleList`: CloudMonitor'ın etkinleştirildiği Alibaba Cloud hizmetlerini sorgulama izni. `cms:ListAlarm`: Tüm uyarı kuralı ayarlarını veya belirli uyarı kuralı ayarlarını sorgulama izni. `cms:QueryMetricList`: Belirli bir hizmet örneğinin belirli bir süre içindeki izleme verilerini sorgulama izni.
`"bss:PayOrder"`	Siparişleri ödeme izni. Bu izin verildikten sonra RAM kullanıcısı örnek satın alma siparişlerini ödeyebilir.
`[ "elasticsearch:DescribeVpcs", "elasticsearch:DescribeVSwitches" ]`	RAM kullanıcısına hesabınızın Virtual Private Cloud (VPC) ve vSwitch listelerine erişim izni verir. Bu, kullanıcının örnek oluştururken bir VPC ve vSwitch seçmesine olanak tanır. Önemli Bir RAM kullanıcısına örnek oluşturma izni verirken `["bss:PayOrder"]` Action öğesini de eklemeniz gerekir. Aksi takdirde, kullanıcı satın alma sırasında izin hatasıyla karşılaşır.
`[ "elasticsearch:*" ]`	Alibaba Cloud Elasticsearch örnekleri üzerinde tüm işlem izinlerini verir. Bu, RAM kullanıcısının tüm veya belirtilen örneklerde herhangi bir işlem gerçekleştirmesine olanak tanır. Önemli `elasticsearch:*` izni, Gelişmiş İzleme ve Uyarı, CloudMonitor veya etiketler için gerekli izinleri içermez. Bu izinleri ayrı olarak vermelisiniz. Bu izinler olmadan kullanıcılar özellik sayfalarına erişirken hata alır. Ancak, hata mesajını kapattıktan sonra diğer yetkili işlevleri kullanmaya devam edebilirler.
`[ "elasticsearch:ListTags" ]`	Alibaba Cloud Elasticsearch örneklerinin etiketlerini görüntüleme izni verir.
`[ "elasticsearch:ListInstance", "elasticsearch:ListSnapshotReposByInstanceId" ]`	`elasticsearch:ListInstance`: Alibaba Cloud Elasticsearch örneklerinin listesini görüntüleme izni. `elasticsearch:ListSnapshotReposByInstanceId`: Küme arası OSS depo ayarlarının listesini görüntüleme izni.
`[ "elasticsearch:ListCollectors" ]`	Konsoldaki Beats toplayıcılarının listesini görüntüleme izni verir.
`[ "elasticsearch:ListLogstash" ]`	Örnek listesi sayfasında bir bölgeye ait tüm Logstash örneklerinin listesini görüntüleme izni verir.

Tablo 2. Effect
Effect	Açıklama
Allow	RAM kullanıcısının Action öğesinde belirtilen işlemleri gerçekleştirmesine olanak tanır.
Deny	RAM kullanıcısının Action öğesinde belirtilen işlemleri gerçekleştirmesini yasaklar.

Tablo 3. Resource
Resource öğesi hakkında daha fazla bilgi için bkz. Elasticsearch için RAM yetkilendirmesi.
Parametre	Açıklama
*	Tüm örnek kaynakları.
<yourInstanceId>	Belirli bir örnek kaynağı. Bunu hedef örneğin Kimliği ile değiştirmeniz gerekir. Kimliği bulmak için bkz. Örneğin temel bilgilerini görüntüleme.

API izinleri

Aşağıdaki tabloda Elasticsearch API işlemleri için Resource ve Action öğeleri listelenmektedir.

Method	URI	Resource	Action
GET	/instances	instances/*	ListInstance
POST	/instances	instances/*	CreateInstance
GET	/instances/instanceId	instances/instanceId	DescribeInstance
DELETE	/instances/instanceId	instances/instanceId	DeleteInstance
POST	/instances/instanceId/actions/restart	instances/instanceId	RestartInstance
PUT	/instances/instanceId	instances/instanceId	UpdateInstance

Sonraki adımlar

Özel bir ilke oluşturduktan sonra, RAM konsolu, bir API veya SDK kullanarak bir RAM kullanıcısına izinler verin. Daha fazla bilgi için bkz. RAM kullanıcısına izin verme.