RAM kullanıcısına izin atama

Kullanım senaryoları

A Şirketi, EventBridge hizmetini kullanmaktadır. Çalışanların olay kuralları ve olay veri yolları gibi kaynakları yönetmesi gerekir; ancak farklı iş sorumlulukları farklı izin seviyeleri gerektirir.

Bu senaryoda aşağıdaki gereksinimler söz konusudur:

Güvenlik gerekçesiyle A Şirketi, her çalışan için ayrı bir RAM kullanıcısı oluşturur ve Alibaba Cloud hesabının AccessKey çiftini paylaşmaz.
RAM kullanıcıları ayrı olarak faturalandırılmaz. Tüm maliyetler A Şirketinin Alibaba Cloud hesabına yansıtılır.
A Şirketi, bir RAM kullanıcısının izinlerini istediği zaman iptal edebilir veya kullanıcıyı silebilir.

Alibaba Cloud hesabı, çalışanlara ayrıntılı izinler vererek yalnızca işleri için gerekli kaynaklara erişmelerini sağlar.

Henüz bir RAM kullanıcısı oluşturmadıysanız Temel işlemler bölümündeki adımları izleyerek bir kullanıcı oluşturun. Kullanıcıyı oluşturduktan sonra en az ayrıcalık ilkesine uyarak yalnızca kullanıcının işi için gereken izinleri verin.

Konsol

RAM konsolu, tekli ve toplu yetkilendirmeyi destekleyen iki farklı giriş noktası sunar:

Users sayfası: Seçtiğiniz kullanıcılara göre asıl (principal) otomatik olarak seçilir. Kullanıcı odaklı iş akışları için uygundur.
Grants sayfası: Asılları manuel olarak seçersiniz ve hesabınızdaki tüm yetkilendirme kayıtlarını görüntüleyebilirsiniz. İzin odaklı iş akışları için daha uygundur.

Not

İpucu: Büyük ölçekli yönetim için aynı sorumluluklara sahip RAM kullanıcılarını bir kullanıcı grubuna ekleyin ve ardından izinleri gruba verin. Grupları yönetmek için Identities > User Groups yolunu izleyin.

Users sayfasından

RAM konsolu adresine gidin.
Sol gezinme bölmesinde Identities > Users seçeneklerini seçin.
Users sayfasında hedef RAM kullanıcısını bulun ve Actions sütununda > Attach Policy öğesini tıklayın.

Alternatif olarak birden fazla RAM kullanıcısı seçebilir ve toplu yetkilendirme yapmak için kullanıcı listesinin altındaki Attach Policy düğmesini tıklayabilirsiniz.

Grant Permission panelinde aşağıdaki ayarları yapılandırın:

Resource scope:
- Account level: İzinler Alibaba Cloud hesabınızdaki tüm kaynaklar için geçerlidir.
- Resource group level: İzinler yalnızca belirtilen kaynak grubu içinde geçerlidir. RAM kullanıcısı oturum açtıktan sonra üst gezinme çubuğundan yetkilendirilen kaynak grubuna geçiş yapmalıdır.
  Not
  1. Sistem, yüksek riskli sistem ilkelerini (AdministratorAccess ve AliyunRAMFullAccess gibi) bir uyarı göstergesiyle işaretler. Bu ilkeler genellikle tüm cloud kaynakları üzerinde tam kontrol veya RAM'in tam yönetimi sağlar. Bu ilkeleri dikkatli bir şekilde atayın.
  2. Kaynak grubu yetkilendirme örnekleri için RAM kullanıcısının belirli ECS örneklerine erişimini kontrol etme konusuna bakın.
Principal:

Asıl, izin alacak RAM kullanıcısıdır. Users sayfasından erişildiğinde sistem mevcut kullanıcıyı otomatik olarak seçer. Grants sayfasından erişildiğinde kullanıcıyı manuel olarak seçmeniz gerekir. Toplu seçim desteklenir.

Permission policy:

System policy: Arama yaparak seçin. Ürün adına (örneğin ECS, OSS), erişim düzeyine (örneğin ReadOnly, FullAccess) veya ilkenin tam adına göre filtreleme yapabilirsiniz. Örneğin, finansal yönetim (giderler ve maliyetler) izinleri vermek için BSS araması yaparak AliyunBSSFullAccess (Faturalama ve Maliyet Yönetimi'ne tam erişim) ve diğer finansla ilgili ilkeleri bulabilirsiniz.

Aşağıdaki tabloda, doğru ilkeyi hızlıca bulmanıza yardımcı olmak amacıyla sıkça talep edilen Alibaba Cloud ürünleri için sistem ilke adları listelenmiştir.

Product	System policy name	Access level
Billing and cost management (finance)	`AliyunBSSFullAccess`	Full access
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Read-only
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Full access
Alibaba Cloud DevOps	`AliyunYunxiaoFullAccess`	Full access
Model Studio (Bailian)	`AliyunBailianFullAccess`	Full access
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Full access
SSL Certificates Service	`AliyunYundunCertFullAccess`	Full access
Cloud Phone	`AliyunECDFullAccess`	Full access
Support Center	`AliyunSupportFullAccess`	Full access
Resource Center	`AliyunResourceCenterFullAccess`	Full access
AgentBay	`AliyunAgentBayFullAccess`	Full access
Security Center	`AliyunYundunSASFullAccess`	Full access

Hedef ürününüz için ilkeyi bulamazsanız eksiksiz liste için Sistem ilkesi referansı konusuna bakın veya ayrıntılı erişim denetimi için özel bir ilke oluşturun.

Custom policy: Atama yapabilmek için öncelikle Özel bir ilke oluşturmanız gerekir.
Tümünü seç için sayfalama sınırı: İlke listesi sayfalanmıştır. Tümünü seç seçeneği yalnızca geçerli sayfadaki öğeleri uygular. Sayfa değiştirdiğinizde önceki sayfalarda seçili olan ilkeler seçili listede kalır ancak yeni sayfadaki ilkeler otomatik olarak seçilmez; bunları sayfa sayfa seçmeniz gerekir.
Yönetici izinlerini hızlıca verme: Yönetici izinleri vermek için ilkeleri sayfa sayfa seçmek yerine arama kutusunda AdministratorAccess araması yapın ve doğrudan seçin. Bu ilkenin seçilmesi yüksek riskli yetkilendirme uyarısını tetikler.

(İsteğe bağlı) Description: Denetim amaçları için yetkilendirme nedenini veya senaryosunu girin.
Confirm düğmesini tıklayın.

Yetkilendirme sonucunu inceleyin ve Close düğmesini tıklayın.

Grants sayfasından

RAM konsolu adresine gidin.
Sol gezinme bölmesinde Permissions > Grants seçeneklerini seçin.
Grants sayfasında Grant Permission düğmesini tıklayın.
Grant Permission panelinde asılı seçin ve yukarıda açıklanan ayarları aynı şekilde yapılandırın.
Yetkilendirme sonucunu inceleyin ve Close düğmesini tıklayın.

Not

RAM konsolu Genel Bakış sayfasındaki Quick Start özelliği aracılığıyla oluşturulan RAM kullanıcılarına, seçilen senaryoya göre karşılık gelen sistem ilkesi otomatik olarak atanır; manuel yetkilendirme gerekmez:

Super user: Otomatik olarak PowerUserAccess ilkesi atanır. Bu kullanıcı cloud hizmetlerini ve kaynakları yönetebilir ancak RAM kimliklerini ve izinlerini, kaynak dizinlerini veya faturalama hesaplarını yönetemez.
Account administrator: Otomatik olarak AdministratorAccess ilkesi atanır. Bu kullanıcı RAM kimlikleri ve izinleri dahil olmak üzere tüm Alibaba Cloud kaynaklarını yönetebilir.

Bu seçenekleri yalnızca süper yönetici ayrıcalıklarının gerçekten gerektiği durumlarda kullanın. Rutin işlemler için en az ayrıcalık ilkesine uyarak yalnızca belirli görev için gereken izinleri verin.

OpenAPI

**custom policy atama

Bir custom policy oluşturmak için CreatePolicy API'sini çağırın. İlke sözdizimi için İzin ilkesi öğeleri ve Örnek ilkelerin genel bakışı konularına bakın.
İlkeyi account level düzeyinde atamak için AttachPolicyToUser API'sini çağırın (PolicyType parametresini Custom olarak ayarlayın).

Alternatif olarak, ilkeyi resource group level düzeyinde atamak için AttachPolicy API'sini çağırabilirsiniz.

**system policy atama

Sistem ilkesini RAM kullanıcısına eklemek için AttachPolicyToUser API'sini çağırın (PolicyType parametresini System olarak ayarlayın). Kullanılabilir PolicyName değerleri için Sistem ilkesi referansı konusuna bakın.
Alternatif olarak, ilkeyi resource group level düzeyinde atamak için AttachPolicy API'sini çağırabilirsiniz.

Daha fazla bilgi

RAM nedir?

Sonraki adımlar

Bir RAM kullanıcısı oluşturduktan sonra oturum açma adını ve parolasını veya AccessKey çiftini ilgili kullanıcıya dağıtabilirsiniz. Kullanıcılar bu kimlik bilgilerini kullanarak konsola oturum açabilir veya API işlemlerini çağırabilir.

Konsola oturum açma:
1. Web tarayıcısında RAM kullanıcısı oturum açma portalı adresini açın.
2. RAM User Logon sayfasında RAM kullanıcısı oturum açma adını girin ve Next düğmesini tıklayın. Ardından parolayı girin ve Login düğmesini tıklayın.
  
  Not
  RAM kullanıcısı için oturum açma adı <$username>@<$AccountAlias> veya <$username>@<$AccountAlias>.onaliyun.com biçimindedir. <$AccountAlias> hesap takma adıdır. Hesap takma adı ayarlanmamışsa varsayılan olarak Alibaba Cloud hesabınızın ID'si kullanılır.
3. Alibaba Cloud konsolunda erişim izniniz olan bir hizmeti tıklayın.
RAM kullanıcısının AccessKey çiftini kullanarak API işlemlerini çağırma:

Kodunuza RAM kullanıcısının AccessKey ID'sini ve AccessKey secret'ını ekleyin.