访问控制 ＞ 教程 ＞ 利用标签对ECS实例进行分组授权

利用标签对ECS实例进行分组授权

更新时间：2020-09-15 17:37:08

 · 编辑者

全部>

编辑我的收藏

本页目录

• 前提条件
• 背景信息
• 操作步骤
• 结果验证
• 更多信息

本文介绍了如何利用标签对ECS实例进行分组并授权，以满足RAM用户只能查看和操作被授权资源的需求。

前提条件

进行操作前，请确保您已经注册了阿里云账号。如还未注册，请先完成账号注册。

背景信息

假设您的账号购买了10个ECS实例，其中5个想要授权给developer团队，另外5个授权给operator团队。企业希望每个团队只能查看被授权的ECS实例，未被授权的不允许查看。

规划2个RAM用户组，名称命名为：developer、operator。

规划2个RAM自定义策略，名称命名为：policyForDevTeam、policyForOpsTeam。

规划2个标签，如下：

• 其中5个实例绑定一对标签，标签键是team，标签值是dev。
• 另外5个实例绑定另一对标签，标签键是team，标签值是ops。

操作步骤

1. 使用阿里云账号登录ECS控制台，为ECS实例创建并绑定标签。
   1. 登录ECS控制台。
   2. 在顶部菜单栏左上角处，选择地域。
   3. 在左侧导航栏，选择实例与镜像 > 实例，找到目标ECS实例。
   4. 将鼠标悬停在标签列下的图标上，然后单击气泡框中的编辑标签。
   5. 单击新建标签。
   6. 输入标签键和标签值，然后单击确定。

   按照上述步骤依次为5个ECS实例绑定标签team:dev，另外5个ECS实例绑定标签team:ops。

2. 使用阿里云账号登录RAM控制台，创建2个用户组：developer、operator。

   详情请参见创建用户组。

3. 使用阿里云账号登录RAM控制台，创建不同的RAM用户，分别添加到2个用户组下。

   详情请参见创建RAM用户、添加用户组成员。

4. 使用阿里云账号登录RAM控制台，创建2个自定义策略：policyForDevTeam和policyForOpsTeam，然后将自定义策略policyForDevTeam授权给用户组developer，将自定义策略policyForOpsTeam授权给用户组operator。

   详情请参见创建自定义策略、为用户组授权。

   说明 授权后RAM用户将继承对应用户组的相关权限。

   policyForDevTeam策略内容如下：

   {
       "Statement": [
       {
           "Action": "ecs:*",
           "Effect": "Allow",
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "ecs:tag/team": "dev"
               }
           }
       },
       {
           "Action": "ecs:DescribeTag*",
           "Effect": "Allow",
           "Resource": "*"
       }
       ],
       "Version": "1"
   }

   policyForOpsTeam策略内容如下：

   {
       "Statement": [
       {
           "Action": "ecs:*",
           "Effect": "Allow",
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "ecs:tag/team": "ops"
               }
           }
       },
       {
           "Action": "ecs:DescribeTag*",
           "Effect": "Allow",
           "Resource": "*"
       }
       ],
       "Version": "1"
   }

   权限策略说明：

   • 带有Condition的"Action": "ecs:*"部分用于过滤标签为team:dev或team:ops的ECS实例。
   • "Action": "ecs:DescribeTag*"用于展示所有ECS标签。当RAM用户在操作ECS控制台时，系统显示所有标签供RAM用户选择，只有当RAM用户选择了对应标签后，系统才能根据选中的标签过滤相应资源。

结果验证

1. 使用RAM用户登录ECS控制台。
2. 在顶部菜单栏左上角处，选择地域。
3. 在左侧导航栏，选择实例与镜像 > 实例。
4. 在搜索栏旁边，单击标签。
5. 鼠标悬停在标签键上，选择对应的标签值，系统可以过滤出符合要求的ECS实例。

   例如：在用户组developer中的RAM用户，可以通过标签team:dev过滤，查看有权限访问的ECS实例。

更多信息

利用标签对块存储、快照、镜像、安全组、弹性网卡、专有宿主机、SSH密钥对等ECS资源进行分组授权的方法与上述对实例分组授权的方法相同。

 上一篇：RAM资源分组与授权

下一篇：利用标签对RDS实例进行分组授权 

相关文档

• 使用RAM对ECS进行权限管理
• 利用标签对RDS实例进行分组授权
• RAM资源分组与授权
• 为用户组授权
• 权限策略语法和结构
• RAM对多运维人员的权限管控

相关产品

• 访问控制

  访问控制（Resource Access Management，RAM）是阿里云提供的一项管理用户身份与资源访问权限的服务。使用RAM，您可以创建、管理RAM用户（例如员工、系统或应用程序），并可以控制这些RAM用户对资源的操作权限。当您的企业存在多用户协同操作资源时，使用RAM可以让您避免与其他用户共享云账号密钥，按需为用户分配最小权限，从而降低企业信息安全风险。

• 对象存储 OSS

  阿里云对象存储服务（Object Storage Service，简称 OSS），是阿里云提供的海量、安全、低成本、高可靠的云存储服务。您可以通过调用 API，在任何应用、任何时间、任何地点上传和下载数据，也可以通过 Web 控制台对数据进行简单的管理。OSS 适合存放任意类型的文件，适合各种网站、开发企业及开发者使用。按实际容量付费真正使您专注于核心业务。

• 云服务器 ECS

  云服务器（Elastic Compute Service，简称 ECS）