Restrict user access by time period - Resource Access Management

Önkoşullar

Bir Alibaba Cloud hesabınız veya RAM yönetim izinlerine sahip bir RAM kullanıcınız olmalıdır. Bu kimlikle RAM konsolunda oturum açıp bu konudaki adımları tamamlayacaksınız.

Senaryo

A Şirketi, ECS örnekleri, RDS örnekleri, SLB örnekleri ve OSS paketleri gibi birçok Alibaba Cloud kaynağı üzerinde işini yürütür. İş ve veri güvenliğini korumak için şirket, kullanıcıların Alibaba Cloud'a istedikleri zaman değil, yalnızca çalışma saatleri içinde erişmesini ister.

Bunu sağlamak için zamana dayalı bir koşul içeren özel bir ilke oluşturur, mevcut değilse yeni bir RAM kullanıcısı hazırlar ve ardından ilkeyi bu RAM kullanıcısına eklersiniz. Böylece ilgili RAM kullanıcısı, belirtilen Alibaba Cloud kaynaklarına yalnızca belirlenen zaman aralığında erişebilir.

Adım 1: Özel bir ilke oluşturun

Bir RAM yöneticisi olarak RAM konsoluna gidin.
Sol gezinme bölmesinde Permissions > Policies seçeneğine tıklayın.
Policies sayfasında Create Policy düğmesine tıklayın.
Create Policy sayfasında JSON Editor sekmesine tıklayın.

Sayfa bir JSON düzenleyici gösterir. Varsayılan ilke şablonu, Version öğesini (değeri "1") ve bir Statement dizisini içerir. Her ifade; Effect (varsayılan değer "Allow"), Action, Resource ve Condition öğelerini kapsar. Action ve Resource öğelerini doldurmanız gerekir.
İlke belgesini girin.

Aşağıdaki örnek ilke, bir RAM kullanıcısının ECS'e yalnızca 12 Ağustos 2019 tarihinde saat 17:00:00'dan (UTC+8) önce erişmesine izin verir. Bu zaman değeri örnektir. Kendi şirketinizin erişime izin verdiği zaman aralığıyla değiştirin. İlke, yalnızca belirtilen zaman noktasından önceki erişime izin verir. Condition öğesinde acs:CurrentTime değerini 2019-08-12T17:00:00+08:00 olarak ayarlamak için DateLessThan operatörünü kullanır.
```
{
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
          "DateLessThan": {
              "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
          }
      }
    }
  ],
  "Version": "1"
}
```
Not
Condition öğesi yalnızca geçerli ilkenin tanımladığı işlemler için uygulanır. 2019-08-12T17:00:00+08:00 değerini, şirketinizin erişime izin verdiği zaman aralığıyla değiştirebilirsiniz.
Sayfanın üst kısmında Optimize düğmesine, ardından ilke üzerinde gelişmiş optimizasyon yapmak için Perform düğmesine tıklayın.

Gelişmiş ilke optimizasyonu aşağıdaki görevleri yapar:
- Uyumsuz eylemler için kaynakları veya koşulları böler.
- Kaynak kapsamını daraltır.
- Yinelenen ifadeleri kaldırır veya ifadeleri birleştirir.
Create Policy iletişim kutusunda OK düğmesine tıklayın.
Create Policy iletişim kutusunda bir Policy Name ve Description girin, ardından OK düğmesine tıklayın.

Adım 2: Bir RAM kullanıcısı oluşturun

Alibaba Cloud hesabınızla (kök hesap) veya bir RAM yöneticisi olarak RAM konsolunda oturum açın.
Sol gezinme bölmesinde Identities > Users seçeneğine tıklayın.
Users sayfasında Create User düğmesine tıklayın.
Create User sayfasında, User Account Information bölümünde kullanıcının temel bilgilerini yapılandırın.
- Logon Name: Oturum açma adı; harfler, rakamlar, nokta (.), tire (-) ve alt çizgi (_) içerebilir ve en fazla 64 karakter uzunluğunda olabilir.
- Display Name: Görünen ad en fazla 128 karakter uzunluğunda olabilir.
- Tag: simgesine tıklayın, ardından bir etiket anahtarı ve etiket değeri girin. Etiketler, RAM kullanıcılarınızın etiket tabanlı yönetimini kolaylaştırır.
Access Mode bölümünde bir erişim modu seçin ve ilgili parametreleri yapılandırın.

Hesap güvenliği için her RAM kullanıcısı için yalnızca bir erişim modu seçin. Bu yaklaşım, insan kullanıcıları ile uygulama kullanıcılarını birbirinden ayırır.
- Console Access
  
  RAM kullanıcısı bir insan kullanıcıyı temsil ediyorsa, kullanıcının bir kullanıcı adı ve oturum açma parolasıyla Alibaba Cloud'a erişebilmesi için konsol erişimini etkinleştirin. Aşağıdaki parametreleri yapılandırın:
  - Konsol oturum açma parolası: Otomatik parola oluşturmayı seçin veya özel bir parola belirtin. Özel bir oturum açma parolası, parola karmaşıklığı gereksinimlerini karşılamalıdır. Daha fazla bilgi için bkz. RAM kullanıcıları için bir parola ilkesi ayarlama.
  - Parola sıfırlama ilkesi: RAM kullanıcısının sonraki oturum açmada parolasını sıfırlamasının gerekli olup olmadığını belirtin.
  - Çok faktörlü kimlik doğrulama (MFA) ilkesi: Geçerli RAM kullanıcısı için MFA'nın etkinleştirilip etkinleştirilmeyeceğini belirtin. MFA'yı etkinleştirdikten sonra bir MFA cihazı da bağlamanız gerekir. Daha fazla bilgi için bkz. Bir MFA cihazı bağlama.
- Permanent AccessKey
  
  RAM kullanıcısı bir uygulamayı temsil ediyorsa, Alibaba Cloud'a erişmek için kalıcı bir AccessKey çifti kullanabilirsiniz. Bu erişim modunu etkinleştirdiğinizde sistem, RAM kullanıcısı için otomatik olarak bir AccessKey ID ve bir AccessKey secret oluşturur. Daha fazla bilgi için bkz. Bir AccessKey çifti oluşturma.
  - AccessKey secret yalnızca oluşturma sırasında görüntülenir ve daha sonra görülemez. Güvenli tutun.
  - Bir AccessKey çifti, programatik erişim için uzun vadeli bir kimlik bilgisidir. Sızdırılan bir AccessKey çifti, hesap altındaki tüm kaynakların güvenliğini tehdit eder. Kimlik bilgisi sızıntısı riskini azaltmak için bunun yerine bir Security Token Service belirteci (geçici kimlik bilgileri) kullanın. Daha fazla bilgi için bkz. Alibaba Cloud API'lerini çağırırken erişim kimlik bilgilerinin kullanımı için en iyi uygulamalar.
OK düğmesine tıklayın.

Adım 3: RAM kullanıcısına izin verin

Adım 1 bölümünde oluşturulan özel ilkeyi, Adım 2 bölümünde oluşturulan RAM kullanıcısına ekleyin.

Console

RAM konsolu, tekli ve toplu yetkilendirmeyi destekleyen iki giriş noktası sunar:

Users sayfası: Ana unsur, seçtiğiniz kullanıcılara göre otomatik olarak seçilir. Kullanıcı odaklı iş akışları için en uygun yoldur.
Grants sayfası: Ana unsurları manuel olarak seçersiniz ve hesabınızdaki tüm yetkilendirme kayıtlarını görüntüleyebilirsiniz. İzin odaklı iş akışları için en uygun yoldur.

Not

İpucu: Büyük ölçekli yönetim için aynı sorumluluklara sahip RAM kullanıcılarını bir kullanıcı grubuna ekleyin, ardından izinleri gruba verin. Grupları yönetmek için Identities > User Groups yolunu izleyin.

Users sayfasından

RAM konsolunda oturum açın.
Sol gezinme bölmesinde Identities > Users seçeneğine tıklayın.
Users sayfasında hedef RAM kullanıcısını bulun ve Actions sütununa tıklayın > Attach Policy seçeneğine tıklayın.

Toplu yetkilendirme için birden fazla RAM kullanıcısı seçip kullanıcı listesinin altındaki Attach Policy düğmesine de tıklayabilirsiniz.

Grant Permission panelinde aşağıdaki ayarları yapılandırın:

Resource scope:
- Account level: İzinler, Alibaba Cloud hesabınızdaki tüm kaynaklar için geçerlidir.
- Resource group level: İzinler yalnızca belirtilen kaynak grubu içinde geçerlidir. Oturum açtıktan sonra RAM kullanıcısının üst gezinme çubuğundan yetkili kaynak grubuna geçiş yapması gerekir.
  Not
  1. Sistem, yüksek riskli sistem ilkelerini (AdministratorAccess ve AliyunRAMFullAccess gibi) bir uyarı göstergesiyle işaretler. Bu ilkeler genellikle tüm cloud kaynakları üzerinde tam kontrol veya RAM'in tam yönetimi sağlar. Bu ilkeleri dikkatle verin.
  2. Kaynak grubu yetkilendirme örnekleri için bkz. RAM kullanıcısının belirli ECS örneklerine erişimini kontrol etme.
Principal:

Ana unsur, izinleri alan RAM kullanıcısıdır. Users sayfasından sistem geçerli kullanıcıyı otomatik olarak seçer. Grants sayfasından ise kullanıcıyı manuel olarak seçmeniz gerekir. Toplu seçim desteklenir.

Permission policy:

System policy: Arayın ve seçin. Ürün adına (örneğin, ECS, OSS), erişim düzeyine (örneğin, ReadOnly, FullAccess) veya tam ilke adına göre filtreleyin. Örneğin, finansal yönetim (giderler ve maliyetler) için izin vermek üzere BSS ifadesini arayarak AliyunBSSFullAccess (Faturalama ve Maliyet Yönetimi'ne tam erişim) ve diğer finansla ilgili ilkeleri bulabilirsiniz.

Aşağıdaki tabloda, doğru ilkeyi hızlıca bulmanıza yardımcı olmak amacıyla yaygın olarak talep edilen Alibaba Cloud ürünleri için sistem ilke adları listelenmiştir.

Ürün	Sistem ilke adı	Erişim düzeyi
Faturalama ve maliyet yönetimi (finans)	`AliyunBSSFullAccess`	Tam erişim
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Yalnızca okuma
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Tam erişim
Alibaba Cloud DevOps	`AliyunYunxiaoFullAccess`	Tam erişim
Model Studio (Bailian)	`AliyunBailianFullAccess`	Tam erişim
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Tam erişim
SSL Certificates Service	`AliyunYundunCertFullAccess`	Tam erişim
Cloud Phone	`AliyunECDFullAccess`	Tam erişim
Support Center	`AliyunSupportFullAccess`	Tam erişim
Resource Center	`AliyunResourceCenterFullAccess`	Tam erişim
AgentBay	`AliyunAgentBayFullAccess`	Tam erişim
Security Center	`AliyunYundunSASFullAccess`	Tam erişim

Hedef ürününüz için ilkeyi bulamazsanız, tam liste için Sistem ilkesi referansı bölümüne bakın veya ayrıntılı erişim denetimi için özel bir ilke oluşturun.

Custom policy: İzni verebilmeniz için öncelikle Özel bir ilke oluşturmanız gerekir.
Tümünü seç için sayfalama sınırı: İlke listesi sayfalara bölünür. Tümünü seçmek yalnızca geçerli sayfaya uygulanır. Sayfa değiştirdiğinizde daha önce seçilen ilkeler seçili listede kalır, ancak yeni sayfadaki ilkeler otomatik olarak seçilmez; bunları sayfa sayfa seçmeniz gerekir.
Yönetici izinlerini hızlıca verme: Yönetici izinleri vermek için arama kutusunda AdministratorAccess ifadesini aratıp doğrudan seçin; ilkeleri sayfa sayfa seçmek yerine bu yolu izleyin. Bu ilkeyi seçmek yüksek riskli bir yetkilendirme uyarısı tetikler.

(İsteğe bağlı) Description: Denetim amacıyla yetkilendirme nedenini veya senaryosunu girin.
Confirm düğmesine tıklayın.

Yetkilendirme sonucunu inceleyin ve Close düğmesine tıklayın.

Grants sayfasından

RAM konsolunda oturum açın.
Sol gezinme bölmesinde Permissions > Grants seçeneğine tıklayın.
Grants sayfasında Grant Permission düğmesine tıklayın.
Grant Permission panelinde ana unsuru seçin ve yukarıda açıklanan aynı ayarları yapılandırın.
Yetkilendirme sonucunu inceleyin ve Close düğmesine tıklayın.

Not

RAM konsolu Genel Bakış sayfasındaki Quick Start özelliği üzerinden oluşturulan RAM kullanıcılarına, seçilen senaryoya göre karşılık gelen sistem ilkesi otomatik olarak verilir; manuel yetkilendirme gerekmez:

Super user: PowerUserAccess ilkesi otomatik olarak verilir. Bu kullanıcı, cloud hizmetlerini ve kaynakları yönetebilir ancak RAM kimliklerini ve izinlerini, kaynak dizinlerini veya faturalama hesaplarını yönetemez.
Account administrator: AdministratorAccess ilkesi otomatik olarak verilir. Bu kullanıcı, RAM kimlikleri ve izinleri dahil olmak üzere tüm Alibaba Cloud kaynaklarını yönetebilir.

Bu seçenekleri yalnızca süper yönetici ayrıcalıklarının gerçekten gerektiği durumlarda kullanın. Rutin işlemlerde en az ayrıcalık ilkesine uyarak yalnızca belirli görev için gereken izinleri verin.

OpenAPI

Bir custom policy verme

Bir custom policy oluşturmak için CreatePolicy API'sini çağırın. İlke sözdizimi için bkz. İzin ilkesi öğeleri ve Örnek ilkelerin genel bakışı.
İlkeyi account level düzeyinde vermek için AttachPolicyToUser API'sini çağırın (PolicyType değerini Custom olarak ayarlayın).

Alternatif olarak, ilkeyi resource group level düzeyinde vermek için AttachPolicy API'sini çağırın.

Bir system policy verme

Sistem ilkesini RAM kullanıcısına eklemek için AttachPolicyToUser API'sini çağırın (PolicyType değerini System olarak ayarlayın). Kullanılabilir PolicyName değerleri için bkz. Sistem ilkesi referansı.
Alternatif olarak, ilkeyi resource group level düzeyinde vermek için AttachPolicy API'sini çağırın.