RAM kimliklerinin (RAM kullanıcıları ve RAM rolleri) kaynak gruplarını yönetmek için belirli izin ilkelerine ihtiyacı vardır. Bu konuda örnek olarak bir RAM kullanıcısı ele alınmıştır.
Genel Bakış
Gerekli izinler üç kategoriye ayrılır. Tam erişim sağlamak için bu üç kategorinin tamamını verin veya en az ayrıcalık ilkesini uygulayarak yalnızca gerekli izinleri verin.
Kaynak gruplarını yönetin: Kaynak gruplarını oluşturun, silin, değiştirin ve görüntüleyin.
-
Kaynak grubundaki kaynakları görüntüleyin: Kaynak grubu ayrıntıları sayfasının Resources sekmesinde bir kaynak grubundaki kaynakları görüntüleyin.
Kaynak grubu ayrıntıları sayfasında, kaynak grubundaki kaynakların listesini (kaynak ID/adı, bölge, kaynak türü ve etiketler dahil) görüntülemek için Resources sekmesine tıklayın. Mevcut kaynakları geçerli kaynak grubuna aktarmak için Transfer In Resources seçeneğine de tıklayabilirsiniz.
Kaynak grubu kapsamındaki yetkilendirmeyi yönetin: Kaynak grubu ayrıntıları sayfasının Permissions sekmesinde RAM yetkilendirmelerini (izinleri görüntüleme, verme ve iptal etme gibi işlemler) yönetin.
Kaynak gruplarını yönetin
Kaynak grubu yönetimi izinleri
Aşağıdaki ilke, kaynak gruplarını oluşturma, silme, değiştirme ve görüntüleme dahil olmak üzere kaynak gruplarını yönetmek için tam izinler sağlar. Bu ilke genellikle kaynak grubu yöneticilerine atanır.
Action öğesi ram:TagResources, ram:UntagResources ve ram:ListTagResources içerir. Bu ilkeye sahip bir RAM kimliği, kaynak grupları, RAM kullanıcıları ve RAM rolleri gibi kaynaklar için etiket ekleyebilir, kaldırabilir ve görüntüleyebilir. Bu izinleri dikkatli bir şekilde verin.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:*ResourceGroup*",
"ram:*AssociatedTransfer*",
"ram:LookupResourceGroupEvents",
"resourcemanager:*ResourceGroup*",
"resourcemanager:*AutoGrouping*",
"ram:TagResources",
"ram:UntagResources",
"ram:ListTagResources"
],
"Resource": "*"
}
]
}Kaynak grubu salt okunur izinleri
Bir RAM kullanıcısına kaynak grupları için salt okunur izinleri vermek amacıyla aşağıdaki ilkeyi ekleyin.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:GetResourceGroup*",
"ram:ListResourceGroup*",
"ram:ListAssociatedTransferSetting",
"ram:LookupResourceGroupEvents",
"resourcemanager:GetResourceGroup*",
"resourcemanager:ListResourceGroup*",
"resourcemanager:GetAutoGrouping*",
"resourcemanager:ListAutoGrouping*",
"ram:ListTagResources"
],
"Resource": "*"
}
]
}Kaynak grubundaki kaynakları görüntüleyin
Bir RAM kullanıcısının bir kaynak grubunun ayrıntıları sayfasındaki Resources sekmesinde kaynakları görüntüleyebilmesi için hedef kaynaklar için salt okunur izni de vermeniz gerekir.
Örnek 1: Bir RAM kullanıcısının yalnızca ProjectA kaynak grubundaki VPC kaynaklarını görüntülemesine olanak tanımak için ProjectA kaynak grubu kapsamında AliyunVPCReadOnlyAccess izni verin.
Örnek 2: Bir RAM kullanıcısının tüm kaynak gruplarındaki tüm kaynakları görüntülemesine olanak tanımak için hesap düzeyinde ReadOnlyAccess izni verin.
Kaynak grubu kapsamındaki yetkilendirmeyi yönetin
Aşağıdaki ilke, bir RAM kullanıcısının bir kaynak grubunun ayrıntıları sayfasındaki Permissions sekmesinde RAM yetkilendirmelerini (izinleri görüntüleme, verme ve iptal etme gibi işlemler) yönetmesine olanak tanır. Bu ilke genellikle RAM izin yöneticilerine atanır.
Action öğesi ram:AttachPolicy, ram:DetachPolicy ve ram:ListPolicyAttachments içerir. Resource değeri * olarak ayarlandığında, yetkilendirilen RAM kimliği herhangi bir kaynak grubu kapsamında veya hesap kapsamında herhangi bir RAM kimliği için izinleri görüntüleyebilir, iptal edebilir ve verebilir. Bunlar yüksek riskli işlemlerdir. Dikkatli bir şekilde verin.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:AttachPolicy",
"ram:DetachPolicy",
"ram:ListPolicyAttachments",
"ram:ListPolicies",
"ram:ListUsers",
"ram:ListGroups",
"ram:ListRoles"
],
"Resource": "*"
}
]
}