Gerenciamento de permissões

Descrição da permissão de MRS

Por padrão, novos usuários do IAM não têm nenhumas permissões concedidas. Para atribuir permissões a um usuário, adicione o usuário a um ou mais grupos e atribua políticas de permissões ou funções a esses grupos. O usuário então herda as permissões dos grupos dos quais é membro e pode executar operações especificadas em serviços de nuvem com base nas permissões.

O MRS é um serviço de nível de projeto implementado e acessado em regiões físicas específicas. Para atribuir permissões a um grupo de usuários, especifique Scope como Region-specific projects e selecione projetos na região correspondente para que as permissões entrem em vigor. Se All projects estiver selecionado, as permissões entrarão em vigor para o grupo de usuários em todos os projetos específicos da região. Ao acessar o MRS, os usuários precisam mudar para uma região onde foram autorizados a usar o serviço MRS.

Você pode conceder permissões aos usuários usando funções e políticas.

• Funções: um tipo de mecanismo de autorização de granulação grosseira que define permissões relacionadas às responsabilidades do usuário. Esse mecanismo fornece apenas um número limitado de funções de nível de serviço para autorização. Ao usar funções para conceder permissões, você também precisa atribuir outras funções das quais as permissões dependem para entrar em vigor. No entanto, as funções não são uma escolha adequada para autorização refinada e controle de acesso seguro.
• Políticas: um tipo de mecanismo de autorização refinado que define as permissões necessárias para realizar operações em recursos em nuvem específicos sob determinadas condições. Esse mecanismo permite uma autorização baseada em políticas mais flexível, atendendo aos requisitos de controle de acesso seguro. Por exemplo, você pode conceder aos usuários do MRS somente as permissões para executar operações especificadas em clusters do MRS, como criar um cluster e consultar uma lista de clusters em vez de excluir um cluster. A maioria das políticas define permissões com base em APIs. Para as ações de API suportadas pelo MRS, consulte Políticas de permissões e ações suportadas.

Tabela 2 lista as operações comuns suportadas por cada política ou função definida pelo sistema do MRS. Selecione as políticas ou funções conforme necessário.

MRS FullAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "mrs:*:*",
                "ecs:*:*",
                "bms:*:*",
                "evs:*:*",
                "vpc:*:*",
                "bss:*:*",
                "kms:*:*",
                "rds:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}

MRS CommonOperations

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "mrs:*:get*",
                "mrs:*:list*",
                "ecs:*:get*",
                "ecs:*:list*",
                "bms:*:get*",
                "bms:*:list*",
                "evs:*:get*",
                "evs:*:list*",
                "vpc:*:get*",
                "vpc:*:list*",
                "mrs:job:submit",
                "mrs:job:stop",
                "mrs:job:delete",
                "mrs:job:checkSql",
                "mrs:job:batchDelete",
                "mrs:file:create",
                "mrs:file:delete",
                "mrs:tag:batchOperate",
                "mrs:tag:create",
                "mrs:tag:delete",
                "mrs:manager:access",
                "mrs:patch:install",
                "mrs:patch:uninstall",
                "mrs:ops:grant",
                "mrs:ops:shareLog",
                "mrs:alarm:subscribe",
                "mrs:alarm:delete",
                "bss:*:get*",
                "bss:*:list*",
                "kms:*:get*",
                "kms:*:list*",
                "rds:*:get*",
                "rds:*:list*",
                "mrs:bootstrap:*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "mrs:cluster:create",
                "mrs:cluster:resize",
                "mrs:cluster:scaleUp",
                "mrs:cluster:delete",
                "mrs:cluster:policy"
            ],
            "Effect": "Deny"
        }
    ]
}

MRS ReadOnlyAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "mrs:*:get*",
                "mrs:*:list*",
                "mrs:tag:count",
                "ecs:*:get*",
                "ecs:*:list*",
                "bms:*:get*",
                "bms:*:list*",
                "evs:*:get*",
                "evs:*:list*",
                "vpc:*:get*",
                "vpc:*:list*",
                "bss:*:get*",
                "bss:*:list*",
                "kms:*:get*",
                "kms:*:list*",
                "rds:*:get*",
                "rds:*:list*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "mrs:cluster:create",
                "mrs:cluster:resize",
                "mrs:cluster:scaleUp",
                "mrs:cluster:delete",
                "mrs:cluster:policy",
                "mrs:job:submit",
                "mrs:job:stop",
                "mrs:job:delete",
                "mrs:job:batchDelete",
                "mrs:file:create",
                "mrs:file:delete",
                "mrs:tag:batchOperate",
                "mrs:tag:create",
                "mrs:tag:delete",
                "mrs:manager:access",
                "mrs:patch:install",
                "mrs:patch:uninstall",
                "mrs:ops:grant",
                "mrs:ops:shareLog",
                "mrs:alarm:subscribe"
            ],
            "Effect": "Deny"
        }
    ]
}

MRS Administrator

{
    "Version": "1.0",
    "Statement": [
        {
            "Action": [
                "MRS:MRS:*"
            ],
            "Effect": "Allow"
        }
    ],
    "Depends": [
        {
            "catalog": "BASE",
            "display_name": "Server Administrator"
        },
        {
            "catalog": "BASE",
            "display_name": "Tenant Guest"
        }
    ]
}

Links úteis

• Visão geral do serviço IAM
• Criação de grupos de usuários e concessão de permissões de MRS
• Políticas de permissões e ações suportadas