Serverless App Engine (SAE), izin yönetimini Alibaba Cloud Resource Access Management (RAM) aracılığıyla uygular. İzin yönetimi özelliği, kaynak verilerine erişimi izole etmenize ve kontrol etmenize olanak tanıyarak veri güvenliğini sağlar. Bu konuda, bir işletmenin günlük iş operasyonlarını örnek alarak SAE izin yönetiminin uygulama senaryoları ve işlev uygulaması açıklanmaktadır.
Özelliklere genel bakış
SAE izin yönetimini sistematik olarak anlamak istiyorsanız, bu konudaki uygulama senaryosu örnekleri üzerinden SAE ile ilgili izin özelliklerini adım adım öğrenebilirsiniz. Daha fazla bilgi için bkz. Arka plan bilgileri ve İş Senaryosu.
-
İzin yönetimi özelliğine aşinaysanız, ihtiyacınız doğrultusunda aşağıdaki konularda ilgili bilgilere ulaşabilirsiniz:
İzin ilkeleri ve örnekler: İzin ilkelerinin temel kavramlarını, SAE tarafından desteklenen izin ilkelerini ve izin ilkesi örneklerini açıklar.
SAE izin asistanı: Özel ilke ayarlarını basitleştirmek amacıyla SAE izin asistanı aracıyla izin ifadelerinin nasıl oluşturulacağını açıklar.
RAM kullanıcılarına izin verin: RAM kullanıcılarının nasıl oluşturulacağını ve bunlara gerektiğinde nasıl izin verileceğini açıklar.
RAM rollerine izin verin: RAM rollerinin nasıl oluşturulacağını ve bunlara nasıl izin verileceğini açıklayarak rol kimliğiyle güvenlik belirteçleri kullanılarak yetkilendirilmiş kaynaklara erişilmesine olanak tanır.
Kişi yönetimi: Belirtilen kişiler için izin kurallarının nasıl ayarlanacağını, bildirimlerin nasıl gönderileceğini ve daha fazlasını açıklar.
İşlem onayı: İşlem izinleri üzerinde ayrıntılı denetim sağlamak amacıyla SAE platformunun önemli özellikleri için onay süreçlerinin nasıl ayarlanacağını açıklar.
Hizmet bağlantılı rol: SAE'nin hizmet bağlantılı roller aracılığıyla diğer cloud kaynaklarına erişim izinlerini nasıl elde ettiğini açıklar.
Arka plan bilgileri
SAE üzerinde barındırılan uygulamalar, farklı ekipler veya üyeler tarafından geliştirilen ve bakımı yapılan birden çok hizmet veya alt sistem içerebilir. SAE, bir hesap sistemi ve bir dizi izin yönetimi işlemi aracılığıyla kurumsal düzeyde bir izin yönetimi sistemi sağlar. Bu sayede uygulamalara, kaynaklara ve verilere erişimi izole edip kontrol ederek güvenliği sağlamanıza yardımcı olur.
A Şirketi, SAE hizmetini Alibaba Cloud hesabı A (birincil hesap) üzerinden satın almıştır. Başlangıçta, şirket içindeki birden çok çalışan bu hesabı ortaklaşa kullanmıştır. İşletme büyüdükçe daha fazla çalışan eklenmiş ve tek bir hesabın paylaşılması sorumlulukların net bir şekilde ayrılmasını zorlaştırmış, güvenlik riskleri doğurmuştur. A Şirketi bu sorunları çözmek için RAM'in özelliklerini kullanarak farklı çalışanlara farklı izinler vermiş ve faturaları farklı departmanlar arasında bölüştürmüştür.
İş senaryosu
Senaryo 1
A Şirketi, çalışanlarının sorumluluklarını belirlemek ve onlara izin vermek istemektedir.
A Şirketi, çalışanlarının sorumluluklarını belirlemek için Alibaba Cloud hesabı A'yı kullanarak birden çok RAM kullanıcı oluşturabilir ve bu kullanıcılara farklı izinler verebilir. Ardından, çalışanlar farklı kaynaklara erişmek için RAM kullanıcılarını kullanabilir. A Şirketi, uygulamalarını barındırmak üzere SAE üzerinde kaynaklar satın almıştır. Bu nedenle, A Şirketi öncelikle RAM'deki SAE izin ilkelerini ve yetkilendirme yapılandırma örneklerini anlamalıdır. RAM aşağıdaki ilkeleri destekler:
Sistem ilkeleri Alibaba Cloud tarafından oluşturulur ve güncellenir. Bu ilkeleri kullanabilirsiniz ancak değiştiremezsiniz.
Özel ilke: Özel ilkeleri oluşturabilir, güncelleyebilir ve silebilir; güncellemelerini yönetebilirsiniz.
Bazı senaryolarda, SAE belirli işlevleri tamamlamak için diğer cloud hizmetlerine erişim izinleri alması gerekir. Örneğin, bir uygulama oluştururken sanal özel bulutlar (VPC) gibi kaynaklarla ilgili bilgilere erişmek istiyorsanız, gerekli VPC gibi ilgili hizmetlere erişim izinlerini almak için hizmet bağlantılı AliyunServiceRoleForSAE rolünü kullanabilirsiniz.
Daha fazla bilgi için bkz. İzin ilkeleri ve örnekler ve Hizmet bağlantılı rol.
Senaryo 2
A Şirketi, çalışanlarına ayrıntılı izinler vermek istemektedir.
A Şirketi, izin ilkelerini öğrendikten sonra, çalışanlar için öncelikle SAE kaynakları için okuma izinleri gibi genel ortak izinler olan sistem izinlerini ayarlayabileceğini düşünmektedir. Sistem ilkeleri iş gereksinimlerini karşılamıyorsa, A Şirketi ayrıntılı erişim denetimi uygulamak için özel ilkeler oluşturabilir.
Özel ilkeleri yapılandırırken, SAE izin asistanı ilk komut dosyası düzenleme işini basitleştirebilir. A Şirketi, otomatik olarak oluşturulan tam komut dosyasını RAM konsoluna kopyalayabilir, ilgili özel ilkeyi oluşturabilir ve bunu RAM kullanıcılarına verebilir. Bu yaklaşım, doğrudan RAM konsolunda çalışırken oluşabilecek hataları etkili bir şekilde önler.
Daha fazla bilgi için bkz. SAE izin asistanı.
Senaryo 3
A Şirketi, çalışanları için RAM kullanıcıları oluşturmak ve bu RAM kullanıcılarına izin vermek istemektedir.
A Şirketi, izin ilkelerini öğrendikten sonra, farklı çalışanlar için RAM kullanıcıları oluşturmaya ve bu kullanıcılara gerekli izinleri vermeye çalışır.
Daha fazla bilgi için bkz. RAM kullanıcılarına izin verin.
Senaryo 4
A Şirketi, iş yüklerini bir partner şirketle paylaşmak istemektedir. Bu durumda, A Şirketi RAM kullanıcıları oluşturmalı ve hesaplar arasında bu RAM kullanıcılarına izin vermelidir.
A Şirketi, işletme büyüdükçe B Şirketi ile iyi bir ortaklık kurmuş ve B Şirketi'ne işlerinin bir kısmını yönetmesi için yetki vermek istemektedir. A Şirketinin gereksinimleri şunlardır:
A Şirketi, iş sistemlerine odaklanmak ve yalnızca SAE kaynak sahibi olarak hareket etmek istemektedir. A Şirketi, B Şirketi'ne uygulama yayınlama, uygulama yönetimi, otomatik esneklik, tek tıklamayla uygulama başlatma ve durdurma ile uygulama izleme gibi bazı hizmetleri yönetmesi için yetki vermek istemektedir.
B Şirketine her yeni bir çalışan katıldığında veya ayrıldığında, A Şirketinin izin ayarlarını değiştirmesi gerekmez. B Şirketi, A Şirketinin kaynak erişim izinlerini kendi RAM kullanıcılarına ayrıca atayabilir ve çalışanlarının veya uygulamalarının kaynaklara yönelik erişim ve işlem izinlerini ayrıntılı şekilde kontrol edebilir.
A Şirketi ile B Şirketi arasındaki sözleşme sona ererse, A Şirketi B Şirketinden izinleri geri alabilir.
Daha fazla bilgi için bkz. RAM rollerine izin verin.
Senaryo 5
A Şirketi, her erişim onay sürecini yönetmek istemektedir.
A Şirketi, Alibaba Cloud Hesabı A içinde test ortamı, geliştirme ortamı, hazırlık ortamı ve çevrimiçi ortam dahil olmak üzere birden çok ad alanı dağıtmıştır. A Şirketi, çevrimiçi ortamdaki kaynaklara erişimi sıkı bir şekilde kontrol etmek istemektedir. Yetkisiz geliştiricilerin çevrimiçi ortamdaki kaynaklara erişimi reddedilir. Bu durum, ortam çökmesini önler. A Şirketi, işlem izinleri üzerinde ayrıntılı erişim denetimi gerçekleştirmek için erişim onay süreçlerini yapılandırabilir ve onay bildirimleri alabilir.
Daha fazla bilgi için bkz. İşlem onayı ve Kişi yönetimi.