使用资源组进行精细化资源控制 - 网络智能服务

当您使用资源组对资源进行分组管理时，可以结合访问控制（RAM），在单个阿里云账号内实现资源的隔离和精细化权限管理。本文总结了网络智能服务对资源组的支持情况，以及资源组级别的授权操作步骤。

说明

只有支持资源组的资源类型和支持资源组级别授权的操作，资源组级别授权才能生效。
对于不支持资源组的资源类型，授予资源组范围的权限将无效。在选择资源范围时，请选择账号级别，进行账号级别授权。具体操作，请参见不支持资源组级别授权的操作。

资源组授权的工作原理

您可以使用资源组（Resource Group）对阿里云账号内的资源进行分组管理。例如，为不同的项目创建对应的资源组，并将资源转移到对应的组中，以便集中管理各项目的资源。更多信息，请参见什么是资源组。

在完成资源分组后，您可以为不同的RAM授权主体（RAM用户、RAM用户组或RAM角色）授予指定资源组范围的权限，从而限定这个授权主体只能管理该资源组内的资源。更多信息，请参见资源分组和授权。

这种授权方式的优点有：

权限精细化：确保每个身份能获得最准确的资源访问权限，避免账号下的多个项目的资源混合管理。
良好的扩展性：后续新增资源时，只需将其加入该资源组，RAM身份便会自动获得新资源的相应权限，无需再次授权。

为RAM用户授予资源组级别的权限

下面以RAM用户为例，介绍授予指定资源组内网络智能服务资源权限的操作步骤。

1. 前置步骤

创建待使用的RAM用户，可参考：创建RAM用户
创建资源组并将已有资源划分到目标资源组，可参考：创建资源组，资源自动转组及资源手动转组。

2. 进行资源组级别授权

您可以通过以下任一方式进行资源组级别授权。

方式一：在资源管理控制台中授权

通过资源组的权限管理功能为指定 RAM 用户授权。详情操作可参见为RAM身份授予资源组范围的权限。

登录资源组控制台。
在资源组页面，单击目标资源组操作列的权限管理。
在权限管理页签，单击新增授权。
在新增授权面板，设置授权主体和权限策略。
- 授权主体：选择已有RAM用户。
- 权限策略：选择系统策略或已创建的自定义策略，参考创建自定义权限策略。
单击确认新增授权。

方式二：在 RAM 控制台中授权

通过RAM控制台为指定 RAM 用户进行资源组级别授权。详细操作可参见为RAM用户授权。

使用阿里云账号（主账号）或RAM管理员登录RAM控制台。
在左侧导航栏，选择身份管理 > 用户。在用户页面，单击目标RAM用户操作列的添加权限。
在新增授权面板，为RAM用户添加权限。
- 资源范围：选择资源组级别。
- 授权主体：选择已有 RAM 用户或前面步骤创建的 RAM 用户。
- 权限策略：选择系统策略或已创建的自定义策略，参考创建自定义权限策略。
单击确认新增授权。

支持资源组的资源类型

网络智能服务支持资源组的资源类型如下表所示：

云服务	云服务代码	资源类型
网络智能服务	netana	diagnosis : 诊断
网络智能服务	netana	networkpath : 网络路径分析

说明

对于暂不支持资源组的资源类型，如有需要，您可以在资源组控制台提交反馈。

不支持资源组级别授权的操作

网络智能服务中不支持资源组级别授权的操作（Action）如下：

操作（Action）	操作描述
nis:ActiveNonPublicFlowAnalysis	-
nis:AddNisTrafficAnalyzerDataMapping	-
nis:BatchCreateFlowLogsToTrafficAnalyzer	-
nis:BatchUpdateFlowlogsForTrafficAnalyzer	-
nis:CheckFlowLogStatus	-
nis:CloseInsight	-
nis:CloseNetworkObservability	-
nis:CloseNis	-
nis:CloseNonPublicFlowAnalysis	-
nis:ConfigNetworkObservability	-
nis:CountNetworkPath	-
nis:CountNetworkResource	-
nis:CountNisEvent	-
nis:CreateAndAnalyzeNetworkPath	调用CreateAndAnalyzeNetworkPath接口，发起网络可达性分析任务。
nis:CreateInsight	-
nis:CreateInspectionTask	-
nis:CreateNISTrafficAnalyzer	-
nis:CreateNisAssistantTask	-
nis:DeleteInsight	-
nis:DeleteNISTrafficAnalyzer	-
nis:DeleteNisAssistantSession	-
nis:DeleteNisAssistantTask	-
nis:DeleteNisInspectionReport	删除巡检报告。
nis:DeleteNisInspectionTask	删除巡检任务。
nis:DescribeBatchFlowLogCacheTask	-
nis:DescribeInspectionObjectList	-
nis:DescribeInspectionReportDetail	-
nis:DescribeInspectionReportList	-
nis:DescribeNISTrafficAnalyzer	-
nis:DescribeNetworkAnalyticsNetQuality	-
nis:DescribeNetworkEvent	-
nis:DescribeNisInspectionRecommendationResources	查询巡检报告异常项实例列表。
nis:DescribeNisInspectionReportCheckItems	查询巡检报告检查项详情。
nis:DescribeNisInspectionReportStatus	查询巡检报告状态。
nis:DescribeNisInspectionReportSummary	查询巡检报告总结。
nis:DescribeNisInspectionTask	查询巡检任务详情。
nis:DescribeNisMetricEnums	-
nis:DescribeNisTrafficRanking	-
nis:DescribeRegions	-
nis:DescribeTopologyNode	-
nis:DisableMultiAccount	-
nis:GetInsightPredictBytes	-
nis:GetInsightSummary	-
nis:GetInspectionAbnormalItems	-
nis:GetInspectionSummary	-
nis:GetInternetFiveTupleHistory	-
nis:GetInternetMetric	-
nis:GetInternetQuality	-
nis:GetInternetScoreMetric	-
nis:GetInternetTopN	-
nis:GetInternetTuple	调用GetInternetTuple接口，获取公网流量详情数据排名，覆盖一元组、二元组、五元组粒度，支持按流量、包数等指标排序。
nis:GetMultiAccountStatus	-
nis:GetNatMetric	-
nis:GetNatTopN	调用GetNatTopN接口，获取NAT网关的SNAT转发实时数据排名。
nis:GetNetworkObservability	-
nis:GetNisEventDetail	-
nis:GetNisEventHistory	-
nis:GetNisNetworkMetrics	支持指定NIS网络分析场景，获取详细监控指标趋势数据，包括流量分析场景下的流量指标趋势数据，以及性能观测场景下的性能指标趋势数据等。
nis:GetNisNetworkRanking	支持通过排序算法和数据处理能力，对流经不同云网络资源的流量进行排名分析，以及对阿里云性能观测的探测指标进行排序，帮助您快速识别网络瓶颈、优化资源配置和提升整体网络效能。
nis:GetNisNetworkRelationship	-
nis:GetNisTrafficMetrics	-
nis:GetNisTrafficStatistics	-
nis:GetSameRegionSumBytes	-
nis:GetSameRegionTopN	-
nis:GetSameRegionVpcMetric	-
nis:GetTopoSummary	-
nis:GetTrafficAnalyzerOpenStatus	-
nis:GetTransitRouterFlowMetric	-
nis:GetTransitRouterFlowTopN	调用GetTransitRouterFlowTopN接口，获取跨域流量详情数据排名，覆盖一元组、二元组、五元组粒度，支持按流量、包数等指标排序。
nis:GetVbrFlowMetric	-
nis:GetVbrFlowTopN	调用GetVbrFlowTopN接口，获取混合云流量详情数据排名，覆盖一元组、二元组、五元组粒度，支持按流量、包数等指标排序。
nis:IsOpenService	-
nis:ListDiagnosisInstance	-
nis:ListInsight	-
nis:ListInsightCycleIp	-
nis:ListInsightEvent	-
nis:ListInstance	-
nis:ListInternetEnum	-
nis:ListLatencyInfoBetweenClusters	-
nis:ListLatencyInfoBetweenRegions	-
nis:ListLatencyInfoBetweenZones	-
nis:ListMetricSubscriptions	-
nis:ListMultiAccount	-
nis:ListNISTrafficAnalyzers	-
nis:ListNetworkEvents	-
nis:ListNisAssistantSessions	-
nis:ListNisAssistantTasks	-
nis:ListNisEvent	-
nis:ListNisInspectionResourceType	查询巡检对象产品类型列表。
nis:ListNisInspectionTaskReports	查询巡检任务报告列表。
nis:ListNisInspectionTasks	网络巡检任务列表。
nis:ListNisTrafficAnalyzerDataMapping	-
nis:ListNisTrafficAnalyzerDataMappings	-
nis:ListNisTrafficAnalyzers	-
nis:ListNonPublicFlowAnalysis	-
nis:ListNoneInsightEvent	-
nis:ListSameRegionVpc	-
nis:ListSkills	-
nis:ListTrafficAnalyzerFlowLogs	-
nis:ListTrafficAnalyzerMappingResources	-
nis:ModifyNisTrafficAnalyzerDataMapping	-
nis:OpenInsight	-
nis:OpenMultiAccount	-
nis:OpenNISTrafficAnalyzer	-
nis:OpenNonPublicFlowAnalysis	-
nis:PushAlertEvent	-
nis:RefreshMultiAccount	-
nis:RemoveNisTrafficAnalyzerDataMapping	-
nis:StartNisInspectionTask	触发一次巡检任务，产生巡检报告。
nis:StartNisTrafficRanking	-
nis:StopNisAssistantTask	-
nis:SubmitNisAssistantTaskFeedback	-
nis:UpdateInsight	-
nis:UpdateInsightCycleIp	-
nis:UpdateInspectionObjects	-
nis:UpdateInspectionTaskStatus	-
nis:UpdateNISTrafficAnalyzer	-
nis:UpdateNisInspectionTask	更新巡检任务。
nis:UpdateSameRegionFlowAnalysis	-

对于不支持资源组授权的操作，授权时资源范围选择资源组级别将无效。如果仍需要RAM用户有上述操作权限，您需要创建自定义权限策略，授权时资源范围选择账号级别。

以下是两个自定义权限策略示例，您可以根据实际需要调整策略内容。

允许不支持资源组级别授权的全部只读操作：Action中列举不支持资源组级别授权的所有只读操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nis:CheckFlowLogStatus",
        "nis:CountNetworkPath",
        "nis:CountNetworkResource",
        "nis:CountNisEvent",
        "nis:DescribeBatchFlowLogCacheTask",
        "nis:DescribeInspectionObjectList",
        "nis:DescribeInspectionReportDetail",
        "nis:DescribeInspectionReportList",
        "nis:DescribeNISTrafficAnalyzer",
        "nis:DescribeNetworkAnalyticsNetQuality",
        "nis:DescribeNetworkEvent",
        "nis:DescribeNisInspectionRecommendationResources",
        "nis:DescribeNisInspectionReportCheckItems",
        "nis:DescribeNisInspectionReportStatus",
        "nis:DescribeNisInspectionReportSummary",
        "nis:DescribeNisInspectionTask",
        "nis:DescribeNisMetricEnums",
        "nis:DescribeNisTrafficRanking",
        "nis:DescribeRegions",
        "nis:DescribeTopologyNode",
        "nis:GetInsightPredictBytes",
        "nis:GetInsightSummary",
        "nis:GetInspectionAbnormalItems",
        "nis:GetInspectionSummary",
        "nis:GetInternetFiveTupleHistory",
        "nis:GetInternetMetric",
        "nis:GetInternetQuality",
        "nis:GetInternetScoreMetric",
        "nis:GetInternetTopN",
        "nis:GetInternetTuple",
        "nis:GetMultiAccountStatus",
        "nis:GetNatMetric",
        "nis:GetNatTopN",
        "nis:GetNetworkObservability",
        "nis:GetNisEventDetail",
        "nis:GetNisEventHistory",
        "nis:GetNisNetworkMetrics",
        "nis:GetNisNetworkRanking",
        "nis:GetNisNetworkRelationship",
        "nis:GetNisTrafficMetrics",
        "nis:GetNisTrafficStatistics",
        "nis:GetSameRegionSumBytes",
        "nis:GetSameRegionTopN",
        "nis:GetSameRegionVpcMetric",
        "nis:GetTopoSummary",
        "nis:GetTrafficAnalyzerOpenStatus",
        "nis:GetTransitRouterFlowMetric",
        "nis:GetTransitRouterFlowTopN",
        "nis:GetVbrFlowMetric",
        "nis:GetVbrFlowTopN",
        "nis:IsOpenService",
        "nis:ListDiagnosisInstance",
        "nis:ListInsight",
        "nis:ListInsightCycleIp",
        "nis:ListInsightEvent",
        "nis:ListInstance",
        "nis:ListInternetEnum",
        "nis:ListLatencyInfoBetweenClusters",
        "nis:ListLatencyInfoBetweenRegions",
        "nis:ListLatencyInfoBetweenZones",
        "nis:ListMetricSubscriptions",
        "nis:ListMultiAccount",
        "nis:ListNISTrafficAnalyzers",
        "nis:ListNetworkEvents",
        "nis:ListNisAssistantSessions",
        "nis:ListNisAssistantTasks",
        "nis:ListNisEvent",
        "nis:ListNisInspectionResourceType",
        "nis:ListNisInspectionTaskReports",
        "nis:ListNisInspectionTasks",
        "nis:ListNisTrafficAnalyzerDataMapping",
        "nis:ListNisTrafficAnalyzerDataMappings",
        "nis:ListNisTrafficAnalyzers",
        "nis:ListNonPublicFlowAnalysis",
        "nis:ListNoneInsightEvent",
        "nis:ListSameRegionVpc",
        "nis:ListSkills",
        "nis:ListTrafficAnalyzerFlowLogs",
        "nis:ListTrafficAnalyzerMappingResources"
      ],
      "Resource": "*"
    }
  ]
}

允许不支持资源组级别授权的全部操作：Action中列举不支持资源组级别授权的全部操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nis:ActiveNonPublicFlowAnalysis",
        "nis:AddNisTrafficAnalyzerDataMapping",
        "nis:BatchCreateFlowLogsToTrafficAnalyzer",
        "nis:BatchUpdateFlowlogsForTrafficAnalyzer",
        "nis:CheckFlowLogStatus",
        "nis:CloseInsight",
        "nis:CloseNetworkObservability",
        "nis:CloseNis",
        "nis:CloseNonPublicFlowAnalysis",
        "nis:ConfigNetworkObservability",
        "nis:CountNetworkPath",
        "nis:CountNetworkResource",
        "nis:CountNisEvent",
        "nis:CreateAndAnalyzeNetworkPath",
        "nis:CreateInsight",
        "nis:CreateInspectionTask",
        "nis:CreateNISTrafficAnalyzer",
        "nis:CreateNisAssistantTask",
        "nis:DeleteInsight",
        "nis:DeleteNISTrafficAnalyzer",
        "nis:DeleteNisAssistantSession",
        "nis:DeleteNisAssistantTask",
        "nis:DeleteNisInspectionReport",
        "nis:DeleteNisInspectionTask",
        "nis:DescribeBatchFlowLogCacheTask",
        "nis:DescribeInspectionObjectList",
        "nis:DescribeInspectionReportDetail",
        "nis:DescribeInspectionReportList",
        "nis:DescribeNISTrafficAnalyzer",
        "nis:DescribeNetworkAnalyticsNetQuality",
        "nis:DescribeNetworkEvent",
        "nis:DescribeNisInspectionRecommendationResources",
        "nis:DescribeNisInspectionReportCheckItems",
        "nis:DescribeNisInspectionReportStatus",
        "nis:DescribeNisInspectionReportSummary",
        "nis:DescribeNisInspectionTask",
        "nis:DescribeNisMetricEnums",
        "nis:DescribeNisTrafficRanking",
        "nis:DescribeRegions",
        "nis:DescribeTopologyNode",
        "nis:DisableMultiAccount",
        "nis:GetInsightPredictBytes",
        "nis:GetInsightSummary",
        "nis:GetInspectionAbnormalItems",
        "nis:GetInspectionSummary",
        "nis:GetInternetFiveTupleHistory",
        "nis:GetInternetMetric",
        "nis:GetInternetQuality",
        "nis:GetInternetScoreMetric",
        "nis:GetInternetTopN",
        "nis:GetInternetTuple",
        "nis:GetMultiAccountStatus",
        "nis:GetNatMetric",
        "nis:GetNatTopN",
        "nis:GetNetworkObservability",
        "nis:GetNisEventDetail",
        "nis:GetNisEventHistory",
        "nis:GetNisNetworkMetrics",
        "nis:GetNisNetworkRanking",
        "nis:GetNisNetworkRelationship",
        "nis:GetNisTrafficMetrics",
        "nis:GetNisTrafficStatistics",
        "nis:GetSameRegionSumBytes",
        "nis:GetSameRegionTopN",
        "nis:GetSameRegionVpcMetric",
        "nis:GetTopoSummary",
        "nis:GetTrafficAnalyzerOpenStatus",
        "nis:GetTransitRouterFlowMetric",
        "nis:GetTransitRouterFlowTopN",
        "nis:GetVbrFlowMetric",
        "nis:GetVbrFlowTopN",
        "nis:IsOpenService",
        "nis:ListDiagnosisInstance",
        "nis:ListInsight",
        "nis:ListInsightCycleIp",
        "nis:ListInsightEvent",
        "nis:ListInstance",
        "nis:ListInternetEnum",
        "nis:ListLatencyInfoBetweenClusters",
        "nis:ListLatencyInfoBetweenRegions",
        "nis:ListLatencyInfoBetweenZones",
        "nis:ListMetricSubscriptions",
        "nis:ListMultiAccount",
        "nis:ListNISTrafficAnalyzers",
        "nis:ListNetworkEvents",
        "nis:ListNisAssistantSessions",
        "nis:ListNisAssistantTasks",
        "nis:ListNisEvent",
        "nis:ListNisInspectionResourceType",
        "nis:ListNisInspectionTaskReports",
        "nis:ListNisInspectionTasks",
        "nis:ListNisTrafficAnalyzerDataMapping",
        "nis:ListNisTrafficAnalyzerDataMappings",
        "nis:ListNisTrafficAnalyzers",
        "nis:ListNonPublicFlowAnalysis",
        "nis:ListNoneInsightEvent",
        "nis:ListSameRegionVpc",
        "nis:ListSkills",
        "nis:ListTrafficAnalyzerFlowLogs",
        "nis:ListTrafficAnalyzerMappingResources",
        "nis:ModifyNisTrafficAnalyzerDataMapping",
        "nis:OpenInsight",
        "nis:OpenMultiAccount",
        "nis:OpenNISTrafficAnalyzer",
        "nis:OpenNonPublicFlowAnalysis",
        "nis:PushAlertEvent",
        "nis:RefreshMultiAccount",
        "nis:RemoveNisTrafficAnalyzerDataMapping",
        "nis:StartNisInspectionTask",
        "nis:StartNisTrafficRanking",
        "nis:StopNisAssistantTask",
        "nis:SubmitNisAssistantTaskFeedback",
        "nis:UpdateInsight",
        "nis:UpdateInsightCycleIp",
        "nis:UpdateInspectionObjects",
        "nis:UpdateInspectionTaskStatus",
        "nis:UpdateNISTrafficAnalyzer",
        "nis:UpdateNisInspectionTask",
        "nis:UpdateSameRegionFlowAnalysis"
      ],
      "Resource": "*"
    }
  ]
}

重要

获得账号级别权限的RAM用户或RAM角色，能够操作整个账号范围内的相关资源。请务必确认所授予的权限是否符合预期，遵从最小授权原则谨慎分配权限。

常见问题

如何查看当前资源属于哪个资源组？

方式一：单击资源名称，进入资源的详情页面，即可查看到当前资源的资源组。
方式二：登录资源管理控制台，单击资源中心 > 资源搜索，在左侧选择目标资源所属账号（默认为当前账号），通过筛选条件定位目标资源，即可查看其所属资源组。

如何查看当前产品在某个资源组下的所有资源？

方式一：登录资源管理控制台，单击资源中心 > 资源搜索，然后在左侧的资源所属账号（默认为当前账号）下选择单击目标资源组名称，最后在右侧的选择资源类型中选择当前产品，即可查看当前产品在某个资源组下的所有资源。
方式二：登录资源管理控制台，单击资源组 > 资源组，然后找到目标资源组，单击其所在行的操作列下的资源管理，最后在资源管理页面上方的产品下拉框中选择当前产品，即可查看当前产品在某个资源组下的所有资源。

如何批量修改多个资源的资源组？

登录资源管理控制台，单击资源组 > 资源组，在目标资源组所在行的操作列下，单击资源管理以进入资源管理页面。通过筛选条件定位多个目标资源，批量勾选第一列的复选框后单击下方转移资源组，并按页面提示完成资源组修改。