Microservices Engine:MSE için özel ilkeler

Özel ilke nedir?

Resource Access Management (RAM) ilkeleri sistem ilkeleri ve özel ilkeler olarak sınıflandırılır. İş gereksinimlerinize göre özel ilkeleri yönetebilirsiniz.

• Bir özel ilke oluşturduktan sonra bu ilkeyi bir RAM kullanıcısına, RAM kullanıcı grubuna veya RAM rolüne eklemeniz gerekir. Böylece ilke içinde belirtilen izinler asıl kimliğe atanmış olur.

• Herhangi bir asıl kimliğe eklenmemiş bir RAM ilkesini silebilirsiniz. İlke bir asıl kimliğe eklenmişse silme işleminden önce ilkeyi ilgili asıl kimlikten ayırmanız gerekir.

• Özel ilkeler sürüm kontrolünü destekler. RAM tarafından sağlanan sürüm yönetimi mekanizmasını kullanarak özel ilke sürümlerini yönetebilirsiniz.

İlgili Konular

• Özel ilke oluşturma

• Özel ilke değiştirme

• Özel ilke silme

• İlke atamalarını yönetme

• Özel ilke sürümlerini yönetme

Görsel düzenleyici sekmesinde özel ilke oluşturma

1. Yönetici haklarına sahip bir RAM kullanıcısı olarak RAM konsolunda oturum açın.

2. Sol gezinme bölmesinde Permissions > Policies seçeneğini belirleyin.

3. Policies sayfasında Create Policy öğesine tıklayın.

4. Create Policy sayfasında Visual editor sekmesine tıklayın.

5. İlkeyi yapılandırın.

   1. Effect bölümünde Allow veya Deny seçeneğini belirleyin.

   2. Service bölümünde bir Alibaba Cloud hizmetini seçin.

      Not

      Hizmet bölümünde seçebileceğiniz Alibaba Cloud hizmetleri listelenir.

   3. Actions bölümünde All action(s) veya Select action(s) seçeneğini belirleyin.

      Sistem Hizmet bölümünde seçtiğiniz Alibaba Cloud hizmetine göre yapılandırılabilecek eylemleri görüntüler. Select action(s) seçeneğini belirlerseniz eylem seçmeniz gerekir.

   4. Resources bölümünde All Resources veya Specified resource(s) seçeneğini belirleyin.

      Sistem Eylem bölümünde seçtiğiniz eylemlere göre yapılandırılabilecek kaynakları görüntüler. Specified resource(s) seçeneğini belirlerseniz bir veya daha fazla Alibaba Cloud Kaynak Adı (ARN) yapılandırmak için Add resource öğesine tıklamanız gerekir. Ayrıca seçtiğiniz her eylem için tüm kaynakları seçmek amacıyla Match all öğesine de tıklayabilirsiniz.

      Not

      Bir eylem için gereken kaynak ARN'leri Required etiketiyle işaretlenir. Özel ilkenin beklendiği gibi etkili olması için Required etiketli kaynak ARN'lerini yapılandırmanızı önemle tavsiye ederiz.

   5. Condition bölümünde koşulları yapılandırmak için Add Condition öğesine tıklayın.

      Koşullar Alibaba Cloud genel koşulları ve hizmete özel koşullardan oluşur. Sistem seçtiğiniz Alibaba Cloud hizmeti ve eylemlere göre yapılandırılabilecek koşulları görüntüler. Yalnızca bir koşul anahtarı seçip Operatör ve Değer parametrelerini ayarlamanız yeterlidir.

   6. Birden çok özel ilke ifadesi yapılandırmak için Add statement öğesine tıklayın ve önceki adımları tekrarlayın.

6. Özel ilke içeriğini kontrol edin ve optimize edin.

   • Temel optimizasyon

     Sistem ilke ifadesini otomatik olarak optimize eder. Temel optimizasyon sırasında sistem aşağıdaki işlemleri gerçekleştirir:

     • Gereksiz koşulları siler.

     • Gereksiz dizileri siler.

   • (İsteğe bağlı) Gelişmiş optimizasyon

     Gelişmiş optimizasyon gerçekleştirmek için Optional: advanced optimize üzerine gelin ve Execute öğesine tıklayın. Gelişmiş optimizasyon aşağıdaki görevleri içerir:

     • Eylemlerle uyumsuz kaynakları veya koşulları ayırır.

     • Kaynakları daraltır.

     • İlke ifadelerini yinelenenlerden arındırır veya birleştirir.

7. İlke Name ve Remarks bilgilerini girin.

8. OK öğesine tıklayın.

Microservices Registry için yaygın özel ilke örnekleri

• Belirli örneklerdeki hizmetler için bir kullanıcıya salt okuma izni verin.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosNaming"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

• Belirli örneklerdeki hizmetler için bir kullanıcıya okuma ve güncelleme izni verin.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

  Not

  ${instanceId1} ve ${instanceId2} kayıt defteri örneklerinin kimliklerini temsil eder.

• Bir örneğin belirli bir ad alanındaki hizmetler için bir kullanıcıya salt okuma izni verin.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosNaming",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}"
          }
      ],
      "Version": "1"
  }

• Bir örneğin belirli bir ad alanında bulunan ${group} grubundaki hizmetler için bir kullanıcıya okuma ve güncelleme izni verin.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}"
          }
      ],
      "Version": "1"
  }

• ${group} grubundaki ${serviceName} hizmeti için bir kullanıcıya salt okuma izni verin.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosNaming",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/naming/${serviceName}"
          }
      ],
      "Version": "1"
  }

• ${group} grubundaki ${serviceName} hizmeti için bir kullanıcıya okuma ve güncelleme izni verin.

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosNaming",
                  "mse:UpdateNacosNaming"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/naming/${serviceName}"
          }
      ],
      "Version": "1"
  }

Microservices Governance için yaygın özel ilke örnekleri

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": "mse:GetApplicationList",
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "mse:*",
      "Resource": "acs:mse:*:*:namespace/${ns}/application/${appName}"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": "mse:GetApplicationList",
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "mse:*",
      "Resource": "acs:mse:*:*:namespace/${ns}/application/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:QueryNamespace",
        "mse:GetApplicationListWithMetircs",
        "mse:ListNamespaces",
        "mse:GetEventFilterOptions",
        "mse:ListEventRecords",
        "mse:GetEventDetail",
        "mse:FetchLogConfig",
        "mse:QueryBusinessLocations",
        "mse:GetApplicationInstanceList",
        "mse:listGrayTag",
        "mse:QueryServiceDetailWithMetrics",
        "mse:GetEventDetail",
        "mse:ListEventsPage",
        "mse:ListEventsByType",
        "mse:GetApplicationTagList",
        "mse:QueryAllSwimmingLaneGroup",
        "mse:QueryAllSwimmingLane",
        "mse:ListAppBySwimmingLaneGroupTags",
        "mse:ListAppBySwimmingLaneGroupTag",
        "mse:QuerySwimmingLaneById",
        "mse:GetTagsBySwimmingLaneGroupId",
        "mse:ListSwimmingLaneGateway",
        "mse:ListSwimmingLaneGatewayRoute",
        "mse:ListAuthPolicy",
        "mse:GetServiceList",
        "mse:GetServiceListPage"
      ],
      "Resource": "acs:mse:*:*:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "mse:GetApplicationList",
        "mse:CreateOrUpdateSwimmingLaneGroup",
        "mse:CreateOrUpdateSwimmingLane",
        "mse:DeleteSwimmingLaneGroup",
        "mse:DeleteSwimmingLaneGroup",
        "mse:DeleteSwimmingLane"
      ],
      "Resource": "acs:mse:*:*:namespace/${ns}"
    }
  ]
}

Cloud-native Gateway için ilke örnekleri

Bir kullanıcıya veya role tüm kaynaklar için izinler verme

Bir RAM kullanıcısına veya rolüne tüm cloud-native ağ geçitlerinde işlem izinleri vermek istiyorsanız aşağıdaki sistem ilkelerini ilgili RAM kullanıcısına veya rolüne ekleyebilirsiniz:

• Salt okuma izni: AliyunMSEReadOnlyAccess

• Okuma ve yazma izinleri: AliyunMSEFullAccess

Bir kullanıcıya veya role belirli ağ geçidi kaynakları için izinler verme

Bir RAM kullanıcısına veya rolüne belirli bir ağ geçidinde işlem izinleri vermek istiyorsanız ilgili RAM kullanıcısına veya rolüne kaynak düzeyinde izinler verebilirsiniz.

• Örnek 1: gw-8090caa2a3ab447a8bc5fdf3**** adlı cloud-native ağ geçidi için bir RAM kullanıcısına salt okuma izni verin.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:Query*",
                  "mse:List*",
                  "mse:Get*",
                  "mse:Select*",
                  "mse:Pull*",
                  "mse:GatewayBlackWhite*",
                  "mse:GatewayHealthCheckList",
                  "mse:GatewayQueryMonitor",
                  "mse:UploadWasmFile"
              ],
              "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "mse:QueryDefaultAlertStatus",
                  "mse:ListGatewayZone",
                  "mse:ListUpgradableGatewayVersions",
                  "mse:ListTagResources",
                  "mse:ListGatewayIngressMigrateTask",
                  "mse:ListEventRecords",
                  "mse:GetEventFilterOptions",
                  "mse:GetEventDetail",
                  "mse:GetGatewaySelection",
                  "mse:GetGatewayAlarms",
                  "mse:GetGatewayMigrateNamespacedServices",
                  "mse:GetGatewayIngressMigrateTaskDetail",
                  "mse:GetPluginGuide",
                  "mse:GetRegExpCheck",
                  "mse:GetRegExpTest",
                  "mse:CheckPluginLua"
              ],
              "Resource": "acs:mse:*:*:*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "log:DescribeService",
                  "log:ListProject",
                  "log:GetProductDataCollection"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "arms:SearchContactGroup"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

• Örnek 2: gw-8090caa2a3ab447a8bc5fdf3**** adlı cloud-native ağ geçidi için bir RAM kullanıcısına okuma ve yazma izinleri verin.

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:*"
              ],
              "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "mse:QueryDefaultAlertStatus",
                  "mse:CreateDefaultAlert",
                  "mse:ListGatewayZone",
                  "mse:ListUpgradableGatewayVersions",
                  "mse:ListEventRecords",
                  "mse:GetEventFilterOptions",
                  "mse:GetEventDetail",
                  "mse:GetGatewaySelection",
                  "mse:GetGatewayAlarms",
                  "mse:GetGatewayMigrateNamespacedServices",
                  "mse:GetPluginGuide",
                  "mse:GetRegExpCheck",
                  "mse:GetRegExpTest",
                  "mse:CheckPluginLua",
                  "mse:*TagResources",
                  "mse:*CustomPlugin",
                  "mse:*GatewayIngressMigrateTask*"
              ],
              "Resource": "acs:mse:*:*:*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "log:DescribeService",
                  "log:ListProject",
                  "log:GetProductDataCollection",
                  "log:OpenProductDataCollection"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "arms:SearchContactGroup"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

Yetkilendirme bilgisi referansları

RAM yetkilendirmesi