访问控制概述
借助访问控制RAM的RAM用户,您可以实现权限分割的目的,按需为RAM用户赋予不同权限,并避免因暴露阿里云账号密钥造成的安全风险。
应用场景
以下是需用到访问控制RAM的典型场景。
借助RAM用户实现分权
企业A的某个项目(Project-X)上云,购买了多种阿里云产品,例如:ECS实例、RDS实例、SLB实例、OSS存储空间等。项目里有多个员工需要操作这些云资源,由于每个员工的工作职责不同,需要的权限也不一样。企业A希望能够达到以下要求:
- 出于安全或信任的考虑,A不希望将云账号密钥直接透露给员工,而希望能给员工创建独立账号。
- 用户账号只能在授权的前提下操作资源。A随时可以撤销用户账号身上的权限,也可以随时删除其创建的用户账号。
- 不需要对用户账号进行独立的计量计费,所有开销都由A来承担。
针对以上需求,可以借助RAM的授权管理功能实现用户分权及资源统一管理。
借助RAM角色实现跨账号访问资源
云账号A和云账号B分别代表不同的企业。A购买了多种云资源来开展业务,例如:ECS实例、RDS实例、SLB实例、OSS存储空间等。
- 企业A希望能专注于业务系统,而将云资源运维、监控、管理等任务授权给企业B。
- 企业B还可以进一步将A的资源访问权限分配给B的某一个或多个员工,B可以精细控制其员工对资源的操作权限。
- 如果A和B的这种运维合同关系终止,A随时可以撤销对B的授权。
针对以上需求,可以借助RAM角色实现跨账号授权及资源访问的控制。
权限策略
ARMS支持的系统权限策略如下所示。
权限策略 | 类型 | 说明 |
AliyunARMSFullAccess | 系统 | 应用实时监控服务ARMS的完整权限 |
AliyunARMSReadOnlyAccess | 系统 | 应用实时监控服务ARMS的只读权限 重要 为了实现对ARMS所有功能的只读权限,添加AliyunARMSReadOnlyAccess权限策略外,还需要再为特定的资源组配置ReadTraceApp权限,否则ARMS将无法展示资源组鉴权下的应用列表。 |