Resource Management:Grant resource group-level permissions to a RAM identity

Ön koşullar

Bir Alibaba Cloud hesabınız veya kaynak grubu yetkilendirmesini yönetme izinlerine sahip bir RAM kimliğiniz (RAM kullanıcı veya RAM rolü) olmalıdır.

Arka plan bilgileri

Kaynak grubu yetkilendirmesi ile Resource Access Management (RAM) arasındaki ilişki:

• RAM, kaynak grubu yetkilendirmesi için izin yönetimi hizmeti sunar.

• Kaynak grubu yetkilendirmesi, sistem ilkeleri ve özel ilkeler dahil olmak üzere tüm RAM ilkelerini kullanır.

• Kaynak grubu yetkilendirmesi, RAM kullanıcılarına, RAM kullanıcı gruplarına veya RAM rollerine izinler verir.

• Kaynak kapsamı account-level olduğunda izinler mevcut Alibaba Cloud hesabı içinde geçerli olur. Kaynak kapsamı resource olduğunda ise izinler yalnızca ilgili kaynak grubu içinde geçerli olur.

Yordam

İzinleri Resource Management konsolunda veya RAM konsolunda verebilirsiniz. Bu konuda örnek olarak Resource Management konsolu kullanılmıştır.

1. Kaynak Yönetimi konsoluna giriş yapın. Kaynak Grubu sayfası görüntülenir.

2. Kaynak Grubu sayfasında, istediğiniz kaynak grubunun Actions sütununda Permissions seçeneğine tıklayın.

3. Permissions sekmesinde Grant Permission düğmesine tıklayın.

4. Grant Permission panelinde Sorumlu Varlık ve İlke ayarlarını yapılandırın ve ardından OK düğmesine tıklayın.

   • Resource Scope: Varsayılan olarak geçerli kaynak grubudur. İzinler yalnızca bu kaynak grubu içinde uygulanır.

   • Principal: Yetkilendirmek için RAM kullanıcısını, RAM rolünü veya RAM kullanıcı grubunu seçin.

     Not

     Güvenilir varlığı bir Alibaba Cloud hizmeti olan bir RAM rolü (hizmet rolü) için kaynak grubu düzeyindeki yetkilendirme geçerli olmaz. STS aracılığıyla böyle bir rolün kimliğine bürünülerek yapılan API çağrıları Forbidden.RAM hatası döndürür. Güvenilir varlığı bir Alibaba Cloud hesabı olan RAM kullanıcıları, RAM kullanıcı grupları ve RAM rolleri bu durumdan etkilenmez. Bir hizmet rolüne eşdeğer izinler vermek için aşağıdaki Hizmet rolleri için alternatif bölümüne bakın.

   • Policy Name: Uygulamak için sistem ilkesini veya özel ilkeyi seçin.

Sonuç

Sorumlu varlık artık kaynak grubundaki kaynaklar üzerinde belirtilen izinlere sahiptir.

Hizmet rolleri için alternatif

Güvenilir varlığı bir Alibaba Cloud hizmeti olan bir RAM rolü (hizmet rolü), kaynak grubu düzeyindeki yetkilendirme yoluyla izin alamaz. Bunun yerine, RAM rolüne Condition öğesi içeren özel bir ilke ekleyin ve kaynak grubu düzeyindeki izinler yerine hesap düzeyi izinler verin. Koşul anahtarlarını kullanarak kapsamı daraltın ve eşdeğer kaynak yalıtımı sağlayın:

• Yalnızca belirli bir etikete sahip kaynakların işlenebilmesi için istekte belirli bir etiket gerektiren ecs:RequestTag anahtarını kullanın.

• İlkeyi belirli bir VPC ile sınırlamak için VPC ile ilgili koşul anahtarlarını kullanın.

• Hangi örnek türlerinin oluşturulabileceğini sınırlamak için örnek türüyle ilgili koşul anahtarlarını kullanın.

Bu yapılandırmadan sonra, STS aracılığıyla RAM rolünün kimliğine bürünülerek yapılan API çağrıları yetkilendirmeden geçer. İlke tarafından kapsanmayan işlemler yine de Forbidden.RAM hatası döndürür.

Referanslar

RAM konsolunda izin vermek için RAM kullanıcı izinlerini yönetme, RAM kullanıcı grubuna izin verme ve RAM rolü için izinleri yönetme konularına bakın.