Nacos Client访问鉴权

步骤一：创建RAM角色并配置授权策略

1. 可选：创建可信实体为阿里云服务的RAM角色。具体操作，请参见创建普通服务角色。

2. 为已有或者创建的RAM角色授权，并选择以下系统策略。此操作将为RAM角色授予对所有Nacos实例配置和服务的读写或只读权限，属于粗粒度授权。具体授权操作，请为RAM角色授权。

   权限策略名称	说明
   AliyunMSEFullAccess	管理微服务引擎MSE的权限，等同于阿里云账号的权限，被授予该权限的RAM用户拥有所有功能的操作权限。
   AliyunMSEReadOnlyAccess	微服务引擎MSE的只读权限，被授予该权限的RAM用户具有阿里云账号所有资源的只读权限。

   说明

   每次最多绑定5条策略，如需绑定更多策略，请分次操作。

步骤二：为ECS实例授予RAM角色

1. 登录ECS管理控制台。

2. 在左侧导航栏，选择实例与镜像 > 实例。

3. 在页面左侧顶部，选择目标资源所在的资源组和地域。

4. 找到要操作的ECS实例，选择 > 实例设置 > 授予/收回RAM角色。

5. 在对话框中，选择创建好的实例RAM角色，单击确定完成授予。

步骤三：客户端（SDK）配置鉴权

properties.put(PropertyKeyConst.SERVER_ADDR, "${mseNacos实例域名}");
properties.put(PropertyKeyConst.RAM_ROLE_NAME, "${roleName}");
// 注册中心
NamingService naming = NamingFactory.createNamingService(properties);
// 配置中心
ConfigService configService = ConfigFactory.createConfigService(properties);

## 注册中心
spring.cloud.nacos.discovery.ramRoleName=${roleName}

## 配置中心
spring.cloud.nacos.config.ramRoleName=${roleName}

dubbo.registry.address=nacos://${mseNacos实例域名}:8848?ramRoleName=${roleName}

步骤一：为ACK集群Worker RAM角色授予权限

1. 创建自定义权限策略，策略内容如下。具体操作，请参见步骤一：创建自定义权限策略。

   • 为实例授予微服务引擎MSE的管理权限。

     {
         "Action": "mse:*",
         "Resource": "*",
         "Effect": "Allow"
     },
     {
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Effect": "Allow",
         "Condition": {
             "StringEquals": {
                 "ram:ServiceName": "mse.aliyuncs.com"
             }
         }
     }

   • 为实例授予微服务引擎MSE的只读权限。

     {
         "Action": [
             "mse:Query*",
             "mse:List*",
             "mse:Get*"
         ],
         "Resource": "*",
         "Effect": "Allow"
     },
     {
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Effect": "Allow",
         "Condition": {
             "StringEquals": {
                 "ram:ServiceName": "mse.aliyuncs.com"
             }
         }
     }

   说明

   如果需要授予实例细粒度的MSE访问权限，您需要自定义权限策略。更多信息，请参见注册中心细粒度鉴权和配置中心细粒度鉴权。

2. 为集群的Worker RAM角色授权。具体操作，请参见步骤二：为集群的Worker RAM角色授权。

步骤二：客户端（SDK）配置鉴权

properties.put(PropertyKeyConst.SERVER_ADDR, "${mseNacos实例域名}");
properties.put(PropertyKeyConst.RAM_ROLE_NAME, "${roleName}");
// 注册中心
NamingService naming = NamingFactory.createNamingService(properties);
// 配置中心
ConfigService configService = ConfigFactory.createConfigService(properties);

## 注册中心
spring.cloud.nacos.discovery.ramRoleName=${roleName}

## 配置中心
spring.cloud.nacos.config.ramRoleName=${roleName}

dubbo.registry.address=nacos://${mseNacos实例域名}:8848?ramRoleName=${roleName}