文档

使用标签控制资源的访问

更新时间:

当您有多个云资源需要进行访问控制时,您可以通过标签来对您的资源进行分类并简化权限管理。云资源绑定标签后,您可以通过为RAM用户授权指定标签的资源访问权限,来实现资源的访问控制。本文以ECS实例为例,介绍如何为RAM用户授权特定的策略,使该RAM用户能够通过标签控制ECS实例的访问。

前提条件

已使用主账号创建一个RAM用户。具体操作,请参见创建RAM用户

背景信息

标签是云资源的标识,可以帮助您分类、搜索和聚合具有相同特征的资源,简化资源管理。每个云资源可以同时绑定多个标签。更多标签信息,请参见标签概述

阿里云用户权限基于策略,可根据用户职责配置RAM策略。在策略中可定义多个标签,然后将策略附加到RAM用户或用户组。使用自定义策略和标签可控制RAM用户对资源的访问。

ECS和其他云产品支持为多个资源绑定标签。默认情况下,资源列表显示本地域中的所有资源。如果需要为RAM用户设置资源查看范围,可以通过自定义策略和标签进行控制。

步骤一:主账号创建与授权RAM策略

本步骤将使用主账号新建一个自定义策略UseTagAccessRes(规定了RAM用户需要指定标签owner:zhangsanenvironment: production后方可访问ECS资源),并将自定义策略UseTagAccessRes授权给RAM用户userTest。

  1. 使用主账号登录RAM控制台

  2. 创建自定义策略UseTagAccessRes。具体操作,请参见创建自定义权限策略

    如下所示,您可以在策略主体中为云资源设置多个标签。

    {
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "ecs:*",
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "ecs:tag/owner": "zhangsan",
                        "ecs:tag/environment": "production"
                    }
                }
            },
            {
                "Action": [
                    "ecs:DescribeTagKeys",
                    "ecs:DescribeTags"
                ],
                "Effect": "Allow",
                "Resource": "*"
            },
            {
                "Effect": "Deny",
                "Action": [
                    "ecs:DeleteTags",
                    "ecs:UntagResources",
                    "ecs:CreateTags",
                    "ecs:TagResources"
                ],
                "Resource": "*"
            }
        ],
        "Version": "1"
    }

    权限策略

    内容

    说明

    访问带标签资源的权限

    • "ecs:tag/owner": "zhangsan"

    • "ecs:tag/environment": "production"

    控制绑定该标签的资源的访问。

    允许查询标签的接口权限

    • ecs:DescribeTagKeys

    • ecs:DescribeTags

    ECS控制台需要支持标签查询的权限。

    不允许操作标签相关的接口权限

    • ecs:DeleteTags

    • ecs:UntagResources

    • ecs:CreateTags

    • ecs:TagResources

    权限中不允许出现与操作标签有关的接口,避免用户因修改标签导致没有权限。

  3. 将自定义策略授权给您希望控制访问的RAM用户或组。

    具体操作,请参见为RAM角色授权。本步骤中将自定义策略UseTagAccessRes授权给RAM用户userTest。

    说明

    如果您将自定义策略UseTagAccessRes授权给已存在的RAM用户,请注意RAM用户多个权限策略产生的权限问题。

步骤二:主账号为已有资源绑定特定标签

您可以将已有的资源绑定特定标签,实现对已有资源的访问控制。本步骤使用主账号创建ECS实例,并绑定特定标签。

说明

如果您尚未创建ECS实例,请您先创建ECS实例作为已有资源。具体操作,请参见实例创建方式介绍

  1. 登录ECS管理控制台

  2. 在左侧导航栏,单击标签

  3. 单击创建自定义标签,创建owner:zhangsanenvironment: production标签,并绑定已有ECS实例。有关绑定标签的具体操作,请参见创建或绑定标签

步骤三:RAM子账号访问带标签的ECS实例

使用带有自定义策略UseTagAccessRes的RAM用户userTest登录ECS控制台,访问带标签的ECS实例。

说明

支持带标签的ECS资源包括实例、块存储、快照等。有关更多支持绑定标签的ECS资源类型,请参见支持绑定标签的ECS资源。本步骤仅以ECS实例作为示例。

  1. 登录ECS管理控制台

  2. 在左侧导航栏,选择实例与镜像 > 实例

  3. 选择地域后,实例列表为空。

  4. 指定标签后查看有权限的资源。

    过滤1

相关文档

  • 如果您需要为ECS资源绑定多个标签,请参见创建或绑定标签

  • 如果您不再需要当前标签,请参见解绑或删除标签

  • 除标签外,您还可以通过资源组根据资源的用途、权限和归属等维度对您拥有的云资源进行分组,从而实现企业内部多用户、多项目的资源分级管理。更多信息,请参见资源组概述资源组

  • 本页导读 (1)
文档反馈