企业级分布式应用服务 EDAS：权限策略示例库

权限策略中Resource的变量说明

权限策略声明中Resource包含的变量说明如下：

• $regionid：所在地域的ID，例如cn-shanghai。具体取值，请参见地域和可用区。

• $namespace：微服务空间租户ID，如下图所示，方框内为微服务空间的租户ID。

  可登录EDAS控制台，在左侧导航栏，选择资源管理 > 微服务空间，进入微服务空间页面获取。

  

• $clusterId：集群ID，例如8c349f69-505c-436f-8dc7-**********，如下图所示，方框内为集群ID。

  可登录EDAS控制台，在左侧导航栏，选择资源管理 > EDAS ECS集群，单击集群ID/名称进入集群详情页面获取。

  

• $applicationId：应用ID，如ec8e38a3-3dca-47a7-b6f9-5**********，如下图所示，方框内为应用ID。

  可登录EDAS控制台，在左侧导航栏，选择应用管理 > 应用列表，单击应用名称，进入应用详情页面的基本信息页签获取。

  

权限细分规则

本章节介绍EDAS内置权限和RAM中权限策略的对应关系。

管理微服务空间

集群授权

跟集群使用相关的场景授权说明如下：

创建集群

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:CreateCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/*"],
       "Effect": "Allow"
      }
   ]
 }

查看集群详情

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

管理集群

包括创建集群、导入实例到集群、编辑集群信息和删除集群等。

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

删除集群

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadCluster","edas:DeleteCluster"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"],
       "Effect": "Allow"
      }
   ]
 }

微服务空间

与微服务空间使用相关的场景授权说明如下：

创建微服务空间

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:CreateNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/*"],
       "Effect": "Allow"
      }
   ]
 }

查看微服务空间

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

管理微服务空间

当编辑或修改微服务空间名称时，需授予管理微服务空间权限。

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

删除微服务空间

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadNamespace","edas:DeleteNamespace"],
       "Resource": ["acs:edas:$regionid:*:namespace/$namespace"],
       "Effect": "Allow"
      }
   ]
 }

资源代购

为增强企业级用户的权限管理能力，EDAS支持资源代购的RAM管理权限。主要涉及的资源包含ECS、SLB和SLS。

资源代购的场景授权说明如下：

ECS代购的权限

• 使用范围：

  • 在ECS集群创建后，添加购买ECS。

  • 在ECS集群内创建应用时代购ECS。

  • 在ECS集群内扩容应用时代购ECS。

• 策略示例：

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:ECSPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

SLB代购的权限

• 使用范围：为应用绑定负载均衡时代购SLB。

• 策略示例：

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:SLBPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

SLS代购的权限

• 使用范围：为应用代购日志服务SLS。

• 策略示例：

  {
    "Version": "1",
    "Statement": [    
      {
        "Effect": "Allow",
        "Action": [
          "edas:SLSPurchase"
        ],
        "Resource": [
          "acs:edas:*:*:*"
        ]
      }
    ]
  }

应用管理

与应用相关的场景授权说明如下：

单个应用

• 管理应用：使用RAM用户可以查看该应用的基本信息、管理配置和应用日志，但不允许创建和删除应用。

  {
      "Statement": [
        {
          "Action": [
            "edas:*Application"
          ],
          "Effect": "Allow",
          "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
        },
        {
          "Action": [
            "edas:DeleteApplication"
          ],
          "Resource":["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"],
          "Effect": "Deny"
        },
        {
          "Action": [
            "edas:CreateApplication"
          ],
          "Resource":["acs:edas:$regionid:*:namespace/$namespace/application/*"],
          "Effect": "Deny"
        }
      ],
      "Version": "1"
  }

• 创建应用

  重要

  创建应用时使用的是所在集群内的实例，因此还需要授予查看集群的权限。

  {
    "Statement": [
      {
        "Action": [
          "edas:CreateApplication",
          "edas:ReadCluster"
        ],
        "Effect": "Allow",
        "Resource": [
                "acs:edas:$regionid:*:namespace/$namespace/application/*",
            "acs:edas:$regionid:*:namespace/$namespace/cluster/$clusterId"
        ]
      }
    ],
    "Version": "1"
  }

• 删除应用

  重要

  删除应用时还需要授予查看应用的权限，这样才能找到需要删除的应用。

  {
    "Statement": [
      {
        "Action": [
          "edas:DeleteApplication",
          "edas:ReadApplication"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      }
    ],
    "Version": "1"
  }

• 日志管理

  重要

  管理应用日志时还需要授予查看应用的权限，这样才能找到需要日志管理的应用。

  {
    "Statement": [
      {
        "Action": [
          "edas:ReadApplication",
          "edas:ManageAppLog"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      }
    ],
    "Version": "1"
  }

• 设置应用：应用的设置包括对应用端口、Tomcat context、负载均衡、健康检查、JVM参数和同可用区优先等功能的设置。

  重要

  设置应用时还需要授予查看应用的权限。

  {
    "Statement": [
      {
        "Action": [
          "edas:ReadApplication",
          "edas:ConfigApplication"
        ],
        "Effect": "Allow",
        "Resource": ["acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"]
      },
    ],
    "Version": "1"
  }

多个应用

• 查看应用：授权查看某个地域内的应用列表。

  说明

  一个地域下包括多个微服务空间，查看应用可以查看该某地域的所有微服务空间内的应用列表。

  {
      "Statement": [
        {
          "Action": [
            "edas:ReadApplication"
          ],
          "Effect": "Allow",
          "Resource": ["acs:edas:$regionid:*:namespace/*/application/*"]
        }
      ],
      "Version": "1"
  }

• 查看应用：授权查看某命令空间内的应用列表。

  {
      "Statement": [
        {
          "Action": [
            "edas:*Application",
            "edas:ReadCluster"
          ],
          "Effect": "Allow",
          "Resource": [
              "acs:edas:$regionid:*:namespace/$namespace/application/*",
            "acs:edas:$regionid:*:namespace/$namespace/cluster/*"
           ]
        }
      ],
      "Version": "1"
  }

微服务管理

与微服务管理使用相关的场景授权说明如下：

查询服务

{
    "Statement": [
      {
        "Action": [
          "edas:ReadService"
        ],
        "Effect": "Allow",
        "Resource": [    
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
            ]
      }
    ],
    "Version": "1"
}

测试服务

{
    "Statement": [
      {
        "Action": [
          "edas:TestService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
            ]
      }
    ],
    "Version": "1"
}

服务鉴权

{
    "Statement": [
      {
        "Action": [
          "edas:ManageService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace/application/$applicationId"
        ]
      }
    ],
    "Version": "1"
}

离群实例摘除

{
    "Statement": [
      {
        "Action": [
          "edas:ManageService"
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:edas:$regionid:*:namespace/$namespace"
        ]
      }
    ],
    "Version": "1"
}

配置管理

EDAS集成了ACM的配置管理能力。与配置管理相关的权限控制，请参见访问权限控制。

系统管理

系统管理包含管理RAM用户、查看产品用量、查看操作日志等系统级的权限。

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageSystem"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }

系统运维

系统运维包含查看操作日志、执行批量运维和管理资源组的权限。

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ManageOperation"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }

操作日志

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["edas:ReadOperationLog"],
       "Resource": ["acs:edas:*:*:*"],
       "Effect": "Allow"
      }
   ]
 }