通过RAM对CLB进行权限管理

操作步骤

1. 创建RAM用户。

   更多信息，请参见创建RAM用户。

2. 创建自定义策略。

   更多信息，请参见创建自定义权限策略和权限策略示例。

3. 为RAM用户授权。

   更多信息，请参见为RAM用户授权。

权限策略示例

• 示例1：授权RAM用户管理两台指定的CLB实例。

  假设您的账号购买了多个实例，而作为RAM管理员，您希望仅授权其中的两个实例给某个RAM用户。实例ID分别为lb-abcdxxxx001、lb-abcdxxxx002。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "slb:*",
        "Resource": [
                    "acs:slb:*:*:loadbalancer/lb-abcdxxxx001",
                    "acs:slb:*:*:loadbalancer/lb-abcdxxxx002"
                    ]
      },
      {
        "Effect": "Allow",
        "Action": "slb:Describe*",
        "Resource": "*"
      }
    ],
    "Version": "1"
  }

  说明

  • 授予该权限策略的RAM用户可以查看所有的实例及资源，但只能管理其中两个实例。

  • Describe*在权限策略中是必须的，否则用户在控制台将无法看到任何实例，但是使用API、CLI或SDK直接对两个实例进行管理是可以的。

• 示例2：将ECS实例加入负载均衡器slb-001。实例ID为lb-abcdxxxx001。

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "slb:AddBackendServers",
        "Resource": ["acs:slb:*:*:loadbalancer/slb-001"]
      },
      {
        "Effect": "Allow",
        "Action": "slb:AddBackendServers",
        "Resource": ["acs:ecs:*:*:instance/lb-abcdxxxx001"]
      },
      {
         "Effect": "Allow",
         "Action": "slb:DescribeLoadBalancers",
         "Resource": "acs:slb:*:*:loadbalancer/*"
      }
    ],
    "Version": "1"
  }

  说明

  即使RAM用户按照示例1被授予管理某个CLB实例的权限，但该RAM用户在CLB实例中添加或移除ECS服务器或设置权重时，仍然提示没有权限。原因是在负载均衡器中没有授予关于ECS服务器的两个权限：

  • CLB的资源权限

  • ECS服务器的权限

• 示例3：允许在特定CLB实例上执行任意ECS相关的操作。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": "slb:*",
              "Resource": [
                  "acs:slb:*:*:loadbalancer/lb-abcdxxxx001",
                  "acs:slb:*:*:loadbalancer/lb-abcdxxxx002"
              ]
          },
          {
              "Effect": "Allow",
              "Action": "slb:Describe*",
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": "ecs:DescribeInstances",
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": "slb:*",
              "Resource": [
                  "acs:ecs:*:*:instance/i-instance001",
                  "acs:ecs:*:*:instance/i-instance002"
              ]
          }
      ],
      "Version": "1"
  }

  说明

  上述权限策略表示：允许RAM用户在lb-abcdxxxx001和lb-abcdxxxx002这两个负载均衡器实例上执行所有管理操作，并允许在这两个实例上执行与ECS资源相关的所有操作。例如：将ECS实例i-instance001和i-instance002添加为这两个负载均衡实例的后端服务器或设置ECS服务器的权重等。使用此权限的过程中，RAM用户在选择ECS实例时可以看到所有实例的列表。