高阶实践:强制TAG——必须带标签创建ECS 资源

本文涉及的产品
云服务器 ECS,每月免费额度280元 3个月
云服务器ECS,u1 2核4GB 1个月
简介: 基于标签(TAG)可以进行资源访问控制,但是我们怎么限制用户只有当有某个标签的时候才允许创建呢?本文接下来就针对ECS(弹性计算) 支持标签的资源:实例(instance)、磁盘(disk)、镜像(image)、网卡(eni)、快照(snapshot)、安全组(securitygroup)、密钥对(keypair)等。

问题

如何创建访问控制 (RAM) 策略来授予子账号(sub User)在指定的标签(TAG)下 创建和管理 ECS 中 资源(支持标签的资源)的权限? 该策略必须限制在标签(TAG)级别权限,以便 RAM 子账号可以创建包含特定标签的 ECS 资源,并管理带有标签ECS资源。

场景描述

使用指定标签(TAG)为子账号(RAM User)限定访问ECS资源的边界,这里指支持标签的ECS资源:实例/磁盘/网卡/安全组/快照/镜像。

简述

控制对ECS资源,比如ECS实例创建必须带某个标签TAG,否则不可以创建,具体操作如下所示

  1. 创建RAM策略:创建一个 RAM 策略,以授予对任何带该特定标签(TAG)​的访问权限(主要针对ECS)。
  2. 授权用户:将该 RAM 策略附加到您希望访问具备该标签(TAG)的用户或组。
  3. 资源准备:有权限的账号创建VPC实例及VSW实例,创建完成后打上特定标签(TAG)。
    注: 下述策略没有给出创建VPC/VSW的权限,需要可以自行添加创建权限策略。
  4. 安全组强制标签创建:不带特定标签(TAG)创建安全组,创建不成功;带特定标签(TAG)创建安全组,创建成功。
  5. 独立磁盘强制标签创建:不带特定标签(TAG)创建磁盘:创建不成功;带特定标签(TAG)创建磁盘,创建成功。
  6. 实例强制标签创建:不带特定标签(TAG)创建实例:创建不成功;带特定标签(TAG)创建实例:实例创建需要依赖带特定标签(TAG)的VPC/VSwitch/安全组,同时实例上也打上带特定标签(TAG),方可创建成功。
  7. 快照强制标签创建:不带特定标签(TAG)创建快照:创建不成功;带特定标签(TAG)创建快照,创建成功。
  8. 自定义镜像强制标签创建:不带特定标签(TAG)创建自定义镜像:创建不成功;带特定标签(TAG)创建自定义镜像,创建成功。
  9. 辅助网卡强制标签创建:不带特定标签(TAG)创建辅助网卡:创建不成功;带特定标签(TAG)创建辅助网卡,创建成功。

解决方法

创建RAM策略

访问控制台 或者 或者使用 RAM API CreatePolicy 创建策略
策略如下:

  • 允许部分ECS查询接口(标签查询接口3个,创建需要资源查询接口若干个)、VPC查询接口( "vpc:DescribeVpcs","vpc:DescribeVSwitches")、支付订单接口("bss:PayOrder")
  • 不允许操作TAG相关接口
  • 除以上外,必须带有特定标签(key=owner value=zhangsan)的资源才有权限查询或者操作相关资源的权限。这里因为使用到VPC的资源(vpc及Vswitch)也现在其必须要特定的标签才能使用。
{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecs:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecs:tag/owner": "zhangsan"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ecs:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "vpc:tag/owner": "zhangsan"
                }
            }
        },
        {
            "Action": [
                "ecs:DescribeTagKeys",
                "ecs:ListTagResources",
                "ecs:DescribeTags",
                "ecs:DescribeKeyPairs",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups",
                "ecs:DescribeLaunchTemplates",
                "ecs:DescribeDedicatedHosts",
                "ecs:DescribeDedicatedHostTypes",
                "ecs:ecs:DescribeAutoSnapshotPolicyEx",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "bss:PayOrder"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ecs:RemoveTags",
                "ecs:UntagResources",
                "ecs:AddTags",
                "ecs:TagResources"
            ],
            "Resource": "*"
        }
    ],
    "Version": "1"
}

授权用户

将已创建的 RAM 策略附加到您希望控制访问的用户或组。您可以使用 RAM 管理控制台、阿里云 CLI、阿里云 API AttachPolicyToUser AttachPolicyToGroup来添加 RAM 策略。

VPC资源准备

本文没有给VPC创建的权限。使用有VPC创建权限的账号,进入VPC控制台创建VPC
image.png
image.png
使用APITagResources
image.png
给创建出来的VPC/VSwitch都打上强制标签(key=owner value=zhangsan),当然其他标签(key=env, value=test)也可以同时加上,基于本文的RAM策略不影响访问权限。

安全组强制标签创建

ECS(云服务器)控制台 点击 网络与安全 - 点击 安全组 在安全组列表页面点击 创建安全组 填入对应的参数。
注意此处VPC资源必须是带有特定标签的VPC实例(key=owner value=zhangsan)否则也会没有权限。
如果创建安全组不带特定标签(key=owner value= zhangsan)时,点击创建。
image.png
创建失败
image.png

如果创建安全组带特定标签(key=owner value= zhangsan)时,点击创建。
image.png

创建成功,弹出提醒框
image.png

点击查看安全组列表,没有看到创建出来的安全组
image.png

在标签指定特定的标签(key=owner value=zhangsan)
image.png
也可以点击全局标签设置
image.png
出现没有权限报错:我们对于VPC停机不收费查询没有在权限里所以报错,本文跟此配置无关,直接点击确定。
image.png
设置特定的标签(key=owner value=zhangsan)点击确认
image.png
确认后特定标签在控制台全局范围生效。
image.png
在不选择该特定标签过滤的情况下也可以在控制台看到安全组资源。

独立磁盘强制标签创建

不带上特定的标签(key=owner value=zhangsan )点击创建。
image.png
创建
image.png

带上特定的标签(key=owner value=zhangsan 如下图红框位置)点击创建。
image.png
创建成功
image.png
设置全局变量后,可以直接查询磁盘列表
image.png

实例强制标签创建

ECS(云服务器)控制台 点击 实例与镜像 - 点击 实例 在实例列表页面点击 创建实例 填入对应的参数。
注意此处VPC资源(VPC和VSwitch)以及ECS安全组必须是带有特定标签(key=owner value=zhangsan)否则也会因为没有权限创建失败。
选择相关参数,带上特定的标签(key=owner value=zhangsan 如下图红框位置)点击创建。
image.png

创建成功,跳转到支付页面
image.png
支付完成后,开始创建资源
image.png

已设置全局标签后,查看实例列表
image.png
实例相关磁盘
image.png
实例相关网卡也可以支持查看。

如果不带上特定的标签(key=owner value=zhangsan 如下图红框位置)点击创建,创建失败。
image.png

快照强制标签创建

带上特定的标签(key=owner value=zhangsan )点击创建。
image.png

创建成功,设置全局标签后,查看快照列表。
image.png

不带上特定的标签(key=owner value=zhangsan )点击创建。
image.png
创建失败
image.png

自定义镜像强制标签创建

带上特定的标签(key=owner value=zhangsan )点击创建。
image.png

创建成功。设置全局标签后,查询镜像列表。
image.png

不带上特定的标签(key=owner value=zhangsan )点击创建。
image.png

创建失败
image.png

辅助网卡强制标签创建

注意此处VPC资源(VPC和VSwitch)以及ECS安全组必须是带有特定标签(key=owner value=zhangsan)否则也会因为没有权限创建失败。
带上特定的标签(key=owner value=zhangsan )点击创建。
image.png

创建成功,设置完全局标签后,查询网卡列表
image.png

不带上特定的标签(key=owner value=zhangsan )点击创建。
创建失败。

后记

阿里云ECS资源已存在,可以基于ECS控制台-标签 选择标签编辑器或者基于OOS(运维编排)快速给存量的资源打上指定的标签。后续我也会有相关的如果在事后做到强制标签。

相关文档

ECS支持跨地域跨资源类型的标签(TAG)操作
如何检查您的资源是否具有您指定的标签?
基于标签批量管理资源
支持标签产品及其文档
标签的最佳实践
通过OOS基于标签批量启动ECS实例实践
如何使用标签控制对ECS 资源的访问?
使用标签检索资源
创建资源标签分组设置
ECS全局标签实践
ECS控制台云资源分组管理---全局标签
标记您的MongoDB数据库实例
标记您的 CDN 资源——域名(domain)
标记您的 OSS 资源
标记您的 RDS 资源
标记您的 SLB 资源
标记您的 ECS 资源
标记您的redis数据库实例

相关实践学习
一小时快速掌握 SQL 语法
本实验带您学习SQL的基础语法,快速入门SQL。
7天玩转云服务器
云服务器ECS(Elastic Compute Service)是一种弹性可伸缩的计算服务,可降低 IT 成本,提升运维效率。本课程手把手带你了解ECS、掌握基本操作、动手实操快照管理、镜像管理等。了解产品详情: https://www.aliyun.com/product/ecs
目录
相关文章
|
13天前
|
弹性计算 监控 数据可视化
ecs资源可视化
ecs资源可视化
14 3
|
3天前
|
弹性计算 运维 监控
ECS资源监控
ECS资源监控涉及CPU、内存、磁盘I/O、网络流量、系统负载和进程的关键指标,通过云服务商控制台、监控服务、API与SDK、运维工具进行实时监控和告警设置。支持历史数据查询、事件监控,以及使用Windows资源监视器和Linux系统工具进行操作系统层面监控。全面监控确保ECS实例稳定运行、资源有效利用和问题及时处理。如需特定云服务商的指导,请询问。
14 3
|
7天前
|
JavaScript 前端开发 应用服务中间件
通过域名的方式访问服务器里的资源
通过域名的方式访问服务器里的资源
10 0
|
16天前
|
弹性计算 算法 应用服务中间件
倚天使用|Nginx性能高27%,性价比1.5倍,基于阿里云倚天ECS的Web server实践
倚天710构建的ECS产品,基于云原生独立物理核、大cache,结合CIPU新架构,倚天ECS在Nginx场景下,具备强大的性能优势。相对典型x86,Http长连接场景性能收益27%,开启gzip压缩时性能收益达到74%。 同时阿里云G8y实例售价比G7实例低23%,是Web Server最佳选择。
|
16天前
|
弹性计算 NoSQL 测试技术
倚天使用|Redis性能高30%,阿里云倚天ECS性能摸底和迁移实践
Redis在倚天ECS环境下与同规格的基于 x86 的 ECS 实例相比,Redis 部署在基于 Yitian 710 的 ECS 上可获得高达 30% 的吞吐量优势。成本方面基于倚天710的G8y实例售价比G7实例低23%,总性价比提高50%;按照相同算法,相对G8a,性价比为1.4倍左右。
|
17天前
|
弹性计算 开发工具 对象存储
ECS实例通过OSS内网地址访问OSS资源
ECS实例通过OSS内网地址访问OSS资源
29 0
|
1月前
|
弹性计算 安全 API
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(1)
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(1)
563 2
|
1月前
|
弹性计算 运维 监控
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(2)
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(2)
554 0
|
1月前
|
弹性计算 安全 开发工具
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(3)
带你读《从基础到应用云上安全航行指南》——干货长文快收藏!阿里云专家教你如何安全访问和管理ECS资源(3)
560 2
|
1月前
|
弹性计算 网络安全
幻兽帕鲁服务器搭建实践及优化经验分享
Pocketpair出品的生存类游戏《幻兽帕鲁》最近非常火,最高在线人数已逼近200万,是有可能打破CSGO和PUBG记录的一款现象级游戏。官方服务器亚历山大,游戏开发商也提供了搭建私人专用服务器的方案,既可以保证稳定的游戏体验,也可以和朋友一起联机游戏,而且还能自定义经验翻倍等游戏里的一些选项。 那么如何快速拥有一个可以跟小伙伴们愉快玩耍的服务器呢?本文将为您详细介绍如何在阿里云上快速搭建幻兽帕鲁联机服务器。您只需按照页面提示选择相关配置,即可实现以下步骤的自动化:服务器创建、网络端口设置、防火墙配置以及游戏环境安装。整个过程仅需2-3分钟,即可轻松完成,无需手动配置。

相关产品

  • 云服务器 ECS