高阶实践:强制TAG——自动化打标签运维

本文涉及的产品
云服务器 ECS,每月免费额度280元 3个月
云服务器ECS,u1 2核4GB 1个月
简介: 基于标签(TAG)可以进行资源访问控制,我们可以限制用户只有当有某个标签的时候才允许创建。我已经有存量没有打某个标签的资源,怎么保障它们有该特定的标签呢?本文接下来就以ECS(弹性计算)实例来说明如何实现事后保障一定有特定标签能力。

问题

基于访问控制 (RAM) 策略来授予子账号(RAM User)在指定的标签(TAG)下 管理 ECS 中 资源(支持标签的资源)的权限, 该策略必须限制在标签(TAG)级别权限,以便 RAM 子账号可以管理包含特定标签的 ECS 资源。

场景描述

使用指定标签(TAG)为子账号(RAM User)限定访问ECS资源的边界,这里指支持标签的ECS资源:实例/磁盘/网卡/安全组/快照/镜像/密钥对。

简述

如果保障ECS资源(支持标签的资源)可以强制有标签。高阶实践:强制TAG——必须带标签创建ECS 资源在前面的文章说明了,本文就如何事后自动化运维机制来保障强制TAG。

  1. 创建RAM策略:创建一个 RAM 策略,以授予对任何带该特定标签(TAG)​的访问权限(主要针对ECS)。
  2. 授权用户:将该 RAM 策略附加到您希望访问具备该标签(TAG)的用户或组。
  3. 自动打标:为存量资源自动化打特定的标签。

解决方法

本文已ECS实例为例说明如何为存量未打标签资源自动打标签。如果磁盘/网卡/安全组/快照/镜像/密钥对等其他资源更换资源列表查询接口为对应资源的查询接口,比如磁盘为DescribeDisks。
注:ECS查询资源列表接口有1000的限制,如果标签下资源超过1000,则推荐修改为ListTagResources来过滤资源。

创建RAM策略

在 访问控制台 或者 或者使用 RAM API CreatePolicy 创建策略
策略如下:

  • 授权 AliyunOOSFullAccess 权限
{
    "Version": "1",
    "Statement": [
        {
            "Action": "oos:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "acs:Service": "oos.aliyuncs.com"
                }
            }
        }
    ]
}
  • 为OOS服务创建服务OOSServiceRole角色参考文档
    注:文本的策略没有为配置角色的权限,需要的话自行配置。
  • 在RAM访问控制-权限管理-权限策略管理-新建策略
{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:DescribeInstances",
                "ecs:TagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}
  • 为OOSServiceRole授权该策略
  • 如果您使用的是子账号或者sts角色,也需要为您使用的账号或者角色授权该策略以及操作OOS权限AliyunOOSFullAccess。

授权方式

将RAM 策略附加到您希望控制访问的用户或组。您可以使用 RAM 管理控制台、阿里云 CLI、阿里云 API AttachPolicyToUser AttachPolicyToGroup来添加 RAM 策略。

自动打标

创建模版

OOS运维编排控制台,点击我的模版-点击创建模版-选择空白模板-选择YAML

FormatVersion: OOS-2019-06-01
Description: Tag Resources Without The Specified Tags
Parameters:
  tags:
    Type: Json
    Description:
      en: The tags to select ECS instances.
      zh-cn: 实例的标签。
    AssociationProperty: Tags
  regionId:
    Type: String
    Description:
      en: The region to select ECS instances.
      zh-cn: 实例的地域。
  OOSAssumeRole:
    Description:
      en: The RAM role to be assumed by OOS.
      zh-cn: OOS扮演的RAM角色。
    Type: String
    Default: OOSServiceRole
RamRole: OOSServiceRole
Tasks:
  - Name: getInstancesByTags
    Action: 'ACS::ExecuteAPI'
    Description: ''
    Properties:
      Service: ECS
      API: DescribeInstances
      Parameters:
        Tags: '{{ tags }}'
        RegionId: '{{ regionId }}'
    Outputs:
      InstanceIds:
        Type: List
        ValueSelector: 'Instances.Instance[].InstanceId'
  - Name: getAllInstances
    Action: 'ACS::ExecuteAPI'
    Description: ''
    Properties:
      Service: ECS
      API: DescribeInstances
      Parameters:
        RegionId: '{{regionId}}'
    Outputs:
      InstanceIds:
        Type: List
        ValueSelector: 'Instances.Instance[].InstanceId'
  - Name: TagResources_ECS_Instances
    Action: 'ACS::ExecuteAPI'
    Description:
      zh-cn: 对没有改标签ECS实例进行打签
      en: 'tag ecs instances, which are without the specified tags.'
    Properties:
      Service: ECS
      API: TagResources
      Parameters:
        Tags: '{{ tags }}'
        RegionId: '{{regionId}}'
        ResourceType: Instance
        ResourceIds:
          - '{{ACS::TaskLoopItem}}'
    Loop:
      MaxErrors: 100%
      Concurrency: 20
      Items:
        'Fn::Difference':
          - '{{ getAllInstances.InstanceIds }}'
          - '{{ getInstancesByTags.InstanceIds }}'
Outputs:
  InstanceIds:
    Type: List
    Value:
      'Fn::Difference':
        - '{{ getAllInstances.InstanceIds }}'
        - '{{ getInstancesByTags.InstanceIds }}'

创建执行

点击创建执行
image.png
点击下一步:设置参数。填写入参,指定特定标签(TAG)
image.png
点击下一步:确定,确认参数没有问题
image.png
开始执行,并输出需要新增或者修改实例列表。
image.png

其他资源说明

  • 如果您需要关注的是磁盘这里DescribeInstances换成DescribeDisks,相关的权限策略也是修改为DescribeDisks
  • 如果您需要关注的是安全组这里DescribeInstances换成DescribeSecurityGroups,相关的权限策略也是修改为DescribeSecurityGroups
  • 如果您需要关注的是自定义镜像这里DescribeInstances换成DescribeImages,相关的权限策略也是修改为DescribeImages
  • 如果您需要关注的是快照这里DescribeInstances换成DescribeSnapshots,相关的权限策略也是修改为DescribeSnapshots
  • 如果您需要关注的是网卡这里DescribeInstances换成DescribeNetworkInterfaces,相关的权限策略也是修改为DescribeNetworkInterfaces
  • 如果您需要关注的是密钥对这里DescribeInstances换成DescribeKeyPairs,相关的权限策略也是修改为DescribeKeyPairs
  • 如果您需要关注的是启动模版这里DescribeInstances换成DescribeLaunchTemplates,相关的权限策略也是修改为DescribeLaunchTemplates
  • 如果您需要关注的是专有宿主机这里DescribeInstances换成DescribeDedicatedHosts,相关的权限策略也是修改为DescribeDedicatedHosts

其他产品保障标签能力

目前OOS支持的云产品列表参考文档
以及云产品支持TAG列表

相关文档

基于OOS批量修改资源标签(TAG)值(Value)
强制TAG——必须带标签创建ECS 资源
ECS支持跨地域跨资源类型的标签(TAG)操作
如何检查您的资源是否具有您指定的标签?
基于标签批量管理资源
支持标签产品及其文档
标签的最佳实践
通过OOS基于标签批量启动ECS实例实践
如何使用标签控制对ECS 资源的访问?
使用标签检索资源
创建资源标签分组设置
ECS全局标签实践
ECS控制台云资源分组管理---全局标签
标记您的MongoDB数据库实例
标记您的 CDN 资源——域名(domain)
标记您的 OSS 资源
标记您的 RDS 资源
标记您的 SLB 资源
标记您的 ECS 资源
标记您的redis数据库实例
标记您的弹性容器实例(ECI)资源
标记(TAG)您的漏洞扫描(CSS)资源

目录
相关文章
|
7天前
|
人工智能 运维 监控
现代运维中的自动化趋势与挑战
随着信息技术的快速发展,现代运维领域也面临着越来越多的挑战与机遇。本文将探讨当前运维中自动化的趋势以及相关的挑战,分析自动化在提高效率、降低成本等方面的重要性,并讨论未来运维领域的发展方向。
14 2
|
4天前
|
运维 监控 持续交付
构建高效自动化运维体系:策略与实践
在数字化时代,企业IT基础设施的管理和维护变得日益复杂。为了提高效率、降低错误率并快速响应市场变化,构建一个高效的自动化运维体系至关重要。本文将探讨自动化运维的核心策略,并通过实际案例分析展示如何将这些策略应用于日常管理中,以实现IT运维的优化。
11 0
|
2天前
|
运维 监控 数据可视化
现代化运维管理系统的关键特性及实践应用
随着信息技术的迅猛发展,现代企业对于运维管理系统的需求日益增长。本文将探讨现代化运维管理系统的关键特性,以及在实际应用中的重要性和优势所在,帮助企业更好地理解和应用现代化运维管理系统。
11 2
|
6天前
|
敏捷开发 IDE 测试技术
深入理解自动化测试框架Selenium的设计理念与实践
随着敏捷开发和持续集成的理念深入人心,自动化测试在软件开发周期中扮演着越来越重要的角色。Selenium作为一个广泛使用的自动化测试工具,其设计理念和实践对于提高测试效率和质量具有指导意义。本文将深入探讨Selenium的核心设计原则、架构以及最佳实践,旨在帮助读者构建更稳定、高效的自动化测试系统。
|
6天前
|
jenkins 测试技术 持续交付
深入理解自动化测试框架设计原则与实践
本文旨在探讨自动化测试框架的设计原则及其在实际项目中的应用。通过对自动化测试框架的系统剖析,我们揭示了有效构建和维持测试框架的核心要素,并提供了一套实用的指导方案来帮助读者实现高效、可靠的自动化测试流程。文章不仅聚焦于框架的技术细节,也强调了灵活性、可维护性和可扩展性在设计时的重要性,同时结合实际案例分析,展示了如何在不同测试环境中定制化和优化测试框架。
|
6天前
|
运维 监控 Devops
构建高效自动化运维体系:基于容器技术的持续集成与持续部署实践
在数字化转型的浪潮中,企业的IT基础设施和软件交付模式正经历着深刻的变革。传统的运维方式已难以满足快速迭代、灵活扩展的现代业务需求。本文将探讨如何通过容器技术实现高效的自动化运维体系,重点分析持续集成(CI)与持续部署(CD)的实践方法及其对企业运维效率的影响。通过引入微服务架构、容器编排、DevOps文化等概念,我们旨在为读者提供一套全面的自动化运维解决方案,以支持业务的敏捷性和可扩展性。
|
6天前
|
人工智能 运维 Prometheus
现代运维中的自动化工具与挑战
随着信息技术的不断发展,现代运维工作日益复杂且关键。本文将探讨现代运维中自动化工具的应用与挑战,介绍各类自动化工具在提高效率、降低风险方面的作用,并讨论在实际应用中可能面临的问题与解决方法。
9 4
|
7天前
|
机器学习/深度学习 人工智能 运维
构建高效自动化运维体系的探索与实践
【2月更文挑战第30天】 在信息技术迅猛发展的今天,企业对于IT系统的依赖日益加深。随之而来的是运维工作的复杂性和难度不断上升,传统的手动运维模式已经难以满足快速响应和高效率的需求。本文旨在探讨如何构建一个高效的自动化运维体系,以提升系统稳定性、降低人为错误并优化资源配置。文中将详细介绍自动化运维的核心组件,包括配置管理、持续集成与持续部署(CI/CD)、监控告警以及故障自愈等,并通过实际案例分析自动化运维实施过程中的关键考量因素和挑战。
|
6月前
|
缓存 运维 Linux
Linux(CentOS)运维脚本工具集合
Linux(CentOS)运维脚本工具集合
131 2
|
1月前
|
运维 Linux 数据安全/隐私保护
【Linux专题_01】宝塔面板安装及运维
【Linux专题_01】宝塔面板安装及运维
51 0

相关产品

  • 云服务器 ECS
  • 轻量应用服务器
  • 弹性容器实例