云原生网关授权

使用场景

某企业开通了微服务引擎MSE云原生网关服务，由于员工工作职责不同，对资源操作所需权限也不同，现有如下需求：

• 鉴于安全或信任原因，不希望将云账号密钥直接透露给员工，期望可以为员工相应的账号授予权限。

• 用户账号只能在授权的前提下操作资源，不需要进行独立的计量计费，所有开销均计入企业账号名下。

• 随时可以撤销用户账号的权限，也可以随时删除其创建的用户账号。

• MSE云原生网关作为一个托管型产品有开发和运维两个角色，运维人员负责集群和权限的管理，开发人员负责配置和服务管理。

使用说明

您可以使用阿里云账号通过控制台和API为RAM用户授权，本文介绍如何通过控制台操作。

步骤一：创建RAM用户

使用阿里云账号登录RAM控制台并创建RAM用户。

1. 使用阿里云账号（主账号）或RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击创建用户。

   

4. 在创建用户页面的用户账号信息区域，设置用户基本信息。

   • 登录名称：可包含英文字母、数字、半角句号（.）、短划线（-）和下划线（_），最多64个字符。

   • 显示名称：最多包含128个字符或汉字。

   • 标签：单击，然后输入标签键和标签值。为RAM用户绑定标签，便于后续基于标签的用户管理。

   说明

   单击添加用户，可以批量创建多个RAM用户。

5. 在访问方式区域选中控制台访问或使用永久 AccessKey 访问。

   • 控制台访问：完成对登录安全的基本设置，包括自动生成或自定义登录密码、是否要求下次登录时重置密码以及是否要求开启多因素认证。

     说明

     自定义登录密码时，密码必须满足您在人员管理 > {key, select, RAM {RAM 访问控制} Overview {概览} Identities {身份管理} Users {用户} Groups {用户组} Roles {角色} Settings {设置} Permissions {权限管理} Grants {授权} Troubleshoot {权限诊断} Policies {权限策略} Integrations {集成管理} Providers {SSO 管理} Applications {OAuth 应用（公测）} CloudSSO {多账号身份权限（云 SSO）} AccessAnalyzing {访问分析} Analyzers {分析器} Findings {分析结果} Beta {Beta} Governance {云治理中心} other {{key}} }中设置的密码复杂度规则。关于如何设置密码复杂度规则，请参见设置RAM用户密码策略。

   • 使用永久 AccessKey 访问：自动为RAM用户生成访问密钥（AccessKey），支持通过API或其他开发工具访问阿里云。

   说明

   为了保障账号安全，建议仅为RAM用户选择一种登录方式，避免RAM用户离开组织后仍可以通过访问密钥访问阿里云资源。

6. 单击确定。

步骤二：为RAM用户添加权限

在使用RAM用户之前，需要为其添加相应权限。

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击目标RAM用户操作列的添加权限。

   

   您也可以选中多个RAM用户，单击用户列表下方的添加权限，为RAM用户批量授权。

4. 在新增授权面板，为RAM用户添加权限，然后单击确认新增授权。

   选择权限策略类型，在文本框中输入要添加的权限策略关键字，然后单击搜索到的权限策略，将其添加到右侧的已选择权限策略列表中。

   权限类型包括系统权限策略和自定义权限策略：

   • 系统权限策略（粗粒度授权）

     微服务引擎MSE目前支持两种粗粒度的系统权限策略。

     权限策略名称	说明
     AliyunMSEFullAccess	管理微服务引擎MSE的权限，等同于阿里云账号的权限，被授予该权限的RAM用户拥有控制台所有功能的操作权限。
     AliyunMSEReadOnlyAccess	微服务引擎MSE的只读权限，被授予该权限的RAM用户具有阿里云账号所有资源的只读权限。

     说明

     建议给运维人员授予AliyunMSEFullAccess权限策略，由运维人员去创建和删除资源。给开发人员授予AliyunMSEReadOnlyAccess权限策略，可以查看这些资源，但是不能删除和创建。如果想更细粒度地控制开发人员的权限，您可使用以下自定义权限策略。

   • 自定义权限策略（细粒度授权）

     如果您需要更细粒度的授权，您可以通过创建自定义策略来进行访问控制。创建自定义策略的具体步骤，请参见创建自定义权限策略。

     • 示例一：授予RAM用户对云原生网关实例gw-8090caa2a3ab447a8bc5fdf3********的只读权限。

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "mse:Query*",
                       "mse:List*",
                       "mse:Get*",
                       "mse:Select*",
                       "mse:Pull*",
                       "mse:GatewayBlackWhite*",
                       "mse:GatewayHealthCheckList",
                       "mse:GatewayQueryMonitor",
                       "mse:UploadWasmFile"
                   ],
                   "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "mse:QueryDefaultAlertStatus",
                       "mse:ListGatewayZone",
                       "mse:ListUpgradableGatewayVersions",
                       "mse:ListTagResources",
                       "mse:ListGatewayIngressMigrateTask",
                       "mse:ListEventRecords",
                       "mse:GetEventFilterOptions",
                       "mse:GetEventDetail",
                       "mse:GetGatewaySelection",
                       "mse:GetGatewayAlarms",
                       "mse:GetGatewayMigrateNamespacedServices",
                       "mse:GetGatewayIngressMigrateTaskDetail",
                       "mse:GetPluginGuide",
                       "mse:GetRegExpCheck",
                       "mse:GetRegExpTest",
                       "mse:CheckPluginLua"
                   ],
                   "Resource": "acs:mse:*:*:*",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "log:DescribeService",
                       "log:ListProject",
                       "log:GetProductDataCollection"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "arms:SearchContactGroup"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

     • 示例二：授予RAM用户对云原生网关实例gw-8090caa2a3ab447a8bc5fdf3********的读写权限。

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "mse:*"
                   ],
                   "Resource": "acs:mse:*:*:instance/gw-8090caa2a3ab447a8bc5fdf3********",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "mse:QueryDefaultAlertStatus",
                       "mse:CreateDefaultAlert",
                       "mse:ListGatewayZone",
                       "mse:ListUpgradableGatewayVersions",
                       "mse:ListEventRecords",
                       "mse:GetEventFilterOptions",
                       "mse:GetEventDetail",
                       "mse:GetGatewaySelection",
                       "mse:GetGatewayAlarms",
                       "mse:GetGatewayMigrateNamespacedServices",
                       "mse:GetPluginGuide",
                       "mse:GetRegExpCheck",
                       "mse:GetRegExpTest",
                       "mse:CheckPluginLua",
                       "mse:*TagResources",
                       "mse:*CustomPlugin",
                       "mse:*GatewayIngressMigrateTask*"
                   ],
                   "Resource": "acs:mse:*:*:*",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "log:DescribeService",
                       "log:ListProject",
                       "log:GetProductDataCollection",
                       "log:OpenProductDataCollection"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "arms:SearchContactGroup"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

5. 在新增授权面板，确认授权成功后，单击关闭。

后续操作

云原生网关授权映射表

为了方便您自定义RAM权限策略，本文提供了MSE云原生网关的授权映射表。