授予RAM用戶和RAM角色系統(tǒng)策略

以下以授予AliyunASMReadOnlyAccess權(quán)限策略為例，介紹如何授予RAM用戶系統(tǒng)策略。關(guān)于RAM用戶授權(quán)和RAM角色授權(quán)的更多信息，請參見為RAM用戶授權(quán)和為RAM角色授權(quán)。

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 用戶。

3. 在用戶頁面，單擊目標(biāo)RAM用戶操作列的添加權(quán)限。

   

   您也可以選中多個RAM用戶，單擊用戶列表下方的添加權(quán)限，為RAM用戶批量授權(quán)。

4. 在新增授權(quán)面板，為RAM用戶添加權(quán)限。

   1. 選擇資源范圍。

      • 賬號級別：權(quán)限在當(dāng)前阿里云賬號內(nèi)生效。

      • 資源組級別：權(quán)限在指定的資源組內(nèi)生效。

        重要

        指定資源組授權(quán)生效的前提是該云服務(wù)及資源類型已支持資源組，詳情請參見支持資源組的云服務(wù)。資源組授權(quán)示例，請參見使用資源組限制RAM用戶管理指定的ECS實(shí)例。

   2. 選擇授權(quán)主體。

      授權(quán)主體即需要添加權(quán)限的RAM用戶。系統(tǒng)會自動選擇當(dāng)前的RAM用戶。

   3. 在所有策略類型下單擊系統(tǒng)策略，在文本框中輸入AliyunASMReadOnlyAccess，然后單擊AliyunASMReadOnlyAccess。

      說明

      每次最多綁定5條策略，如需綁定更多策略，請分次操作。

   4. 單擊確認(rèn)新增授權(quán)。

5. 單擊關(guān)閉。

授予RAM用戶和RAM角色自定義策略

如果您想對權(quán)限進(jìn)行細(xì)粒度控制，您可以自定義策略，然后授予RAM用戶和RAM角色自定義策略權(quán)限。

創(chuàng)建授予訪問ASM實(shí)例的權(quán)限策略

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理 > 權(quán)限策略。

3. 在權(quán)限策略頁面，單擊創(chuàng)建權(quán)限策略。

4. 在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯頁簽。

5. 輸入您的授權(quán)策略內(nèi)容，然后單擊繼續(xù)編輯基本信息。

   通過改變Statement中的Action字段，可以實(shí)現(xiàn)API的細(xì)粒度鑒權(quán)。本文以授予受限訪問權(quán)限策略為例，受限訪問權(quán)限策略包括除RBAC授權(quán)之外的服務(wù)網(wǎng)格的所有RAM權(quán)限，擁有該權(quán)限的RAM用戶不可以對其他用戶進(jìn)行RBAC授權(quán)，但擁有除此之外的其他所有權(quán)限。關(guān)于權(quán)限策略語法結(jié)構(gòu)的詳情，請參見權(quán)限策略語法和結(jié)構(gòu)。

   {
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "servicemesh:Add*",
                   "servicemesh:CRBatchDeletion",
                   "servicemesh:Create*",
                   "servicemesh:Delete*",
                   "servicemesh:Describe*",
                   "servicemesh:Enable*",
                   "servicemesh:Disable*",
                   "servicemesh:Get*",
                   "servicemesh:InvokeApiServer",
                   "servicemesh:List*",
                   "servicemesh:Modify*",
                   "servicemesh:Re*",
                   "servicemesh:Run*",
                   "servicemesh:Set*",
                   "servicemesh:Sync*",
                   "servicemesh:Update*",
                   "servicemesh:Upgrade*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "log:ListLogStores",
                   "log:ListDashboard",
                   "log:GetDashboard",
                   "log:ListSavedSearch",  
                   "log:ListProject"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/audit-*"
           },
           {
               "Effect": "Allow",
               "Action": "log:GetLogStoreLogs",
               "Resource": "acs:log:*:*:project/*/logstore/istio-*"
           },
           {
               "Action": "ram:CreateServiceLinkedRole",
               "Resource": "*",
               "Effect": "Allow",
               "Condition": {
                   "StringEquals": {
                       "ram:ServiceName": "servicemesh.aliyuncs.com"
                   }
               }
           }
       ],
       "Version": "1"
   }

6. 在基本信息區(qū)域輸入策略名稱，本文設(shè)置為ASMPolicy1，然后單擊確定。

授予RAM用戶和RAM角色權(quán)限策略

本文以授予RAM用戶權(quán)限為例，關(guān)于RAM角色權(quán)限的具體操作，請參見為RAM角色授權(quán)。

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 用戶。

3. 在用戶頁面，單擊目標(biāo)RAM用戶操作列的添加權(quán)限。

   

   您也可以選中多個RAM用戶，單擊用戶列表下方的添加權(quán)限，為RAM用戶批量授權(quán)。

4. 在添加權(quán)限對話框，設(shè)置授權(quán)范圍為整個云賬號，系統(tǒng)會自動填入當(dāng)前的RAM用戶為授權(quán)主體，在選擇權(quán)限下單擊自定義策略，輸入創(chuàng)建的權(quán)限策略名稱ASMPolicy1，單擊ASMPolicy1，然后單擊確定。

自定義策略場景示例

場景一：授予單個網(wǎng)格實(shí)例的管理權(quán)限

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "servicemesh:*",
      "Resource": "acs:servicemesh:*:*:servicemesh/<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "servicemesh:DescribeServiceMeshes",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/audit-<ServicemeshId>"
    },
    {
      "Effect": "Allow",
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/*/logstore/istio-<ServicemeshId>"
    }
  ],
  "Version": "1"
}

場景二：授予使用ASM控制臺管理Istio資源的讀寫權(quán)限

ASM默認(rèn)提供的AliyunASMReadOnlyAccess系統(tǒng)策略可以授予RAM用戶或RAM角色只讀管理阿里云服務(wù)網(wǎng)格ASM的權(quán)限，但被授予此權(quán)限的RAM用戶或RAM角色無法管理網(wǎng)格中的Istio資源。

您可以使用以下腳本創(chuàng)建擁有Istio資源讀寫權(quán)限的策略，授予RAM用戶或RAM角色該權(quán)限策略后，RAM用戶或RAM角色可以正常使用ASM控制臺管理網(wǎng)格中的Istio資源，同時無法對網(wǎng)格的其它部分（例如功能設(shè)置等）進(jìn)行任何變更。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:List*",
                "servicemesh:Describe*",
                "servicemesh:Get*",
                "servicemesh:InvokeApiServer"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:ListLogStores",
                "log:ListDashboard",
                "log:GetDashboard",
                "log:ListSavedSearch"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/*/logstore/audit-*"
        }
    ],
    "Version": "1"
}

場景三：授予對其它用戶或角色進(jìn)行RBAC授權(quán)的權(quán)限

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "servicemesh:DescribeUserPermissions",
                "servicemesh:GrantUserPermissions",
                "servicemesh:DescribeServiceMeshes",
                "servicemesh:DescribeUsersWithPermissions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ims:ListUserBasicInfos",
            "Resource": "*"
        }
    ],
    "Version": "1"
}