高阶实践：强制TAG——必须带标签创建ECS 资源

2021-10-18 00:39:08

问题

如何创建访问控制 (RAM) 策略来授予子账号(sub User)在指定的标签（TAG）下创建和管理 ECS 中资源（支持标签的资源）的权限？该策略必须限制在标签（TAG）级别权限，以便 RAM 子账号可以创建包含特定标签的 ECS 资源，并管理带有标签ECS资源。

场景描述

使用指定标签（TAG）为子账号(RAM User)限定访问ECS资源的边界，这里指支持标签的ECS资源：实例/磁盘/网卡/安全组/快照/镜像。

简述

控制对ECS资源，比如ECS实例创建必须带某个标签TAG，否则不可以创建,具体操作如下所示

创建RAM策略：创建一个 RAM 策略，以授予对任何带该特定标签(TAG)的访问权限(主要针对ECS)。
授权用户：将该 RAM 策略附加到您希望访问具备该标签（TAG）的用户或组。
资源准备：有权限的账号创建VPC实例及VSW实例，创建完成后打上特定标签（TAG）。
注：下述策略没有给出创建VPC/VSW的权限，需要可以自行添加创建权限策略。
安全组强制标签创建：不带特定标签（TAG）创建安全组，创建不成功；带特定标签（TAG）创建安全组，创建成功。
独立磁盘强制标签创建：不带特定标签（TAG）创建磁盘：创建不成功；带特定标签（TAG）创建磁盘，创建成功。
实例强制标签创建：不带特定标签（TAG）创建实例：创建不成功；带特定标签（TAG）创建实例：实例创建需要依赖带特定标签（TAG）的VPC/VSwitch/安全组，同时实例上也打上带特定标签（TAG），方可创建成功。
快照强制标签创建：不带特定标签（TAG）创建快照：创建不成功；带特定标签（TAG）创建快照，创建成功。
自定义镜像强制标签创建：不带特定标签（TAG）创建自定义镜像：创建不成功；带特定标签（TAG）创建自定义镜像，创建成功。
辅助网卡强制标签创建：不带特定标签（TAG）创建辅助网卡：创建不成功；带特定标签（TAG）创建辅助网卡，创建成功。

解决方法

创建RAM策略

在访问控制台或者或者使用 RAM API CreatePolicy 创建策略
策略如下：

允许部分ECS查询接口（标签查询接口3个，创建需要资源查询接口若干个）、VPC查询接口（ "vpc:DescribeVpcs","vpc:DescribeVSwitches"）、支付订单接口（"bss:PayOrder"）
不允许操作TAG相关接口
除以上外，必须带有特定标签（key=owner value=zhangsan）的资源才有权限查询或者操作相关资源的权限。这里因为使用到VPC的资源（vpc及Vswitch）也现在其必须要特定的标签才能使用。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecs:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecs:tag/owner": "zhangsan"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ecs:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "vpc:tag/owner": "zhangsan"
                }
            }
        },
        {
            "Action": [
                "ecs:DescribeTagKeys",
                "ecs:ListTagResources",
                "ecs:DescribeTags",
                "ecs:DescribeKeyPairs",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups",
                "ecs:DescribeLaunchTemplates",
                "ecs:DescribeDedicatedHosts",
                "ecs:DescribeDedicatedHostTypes",
                "ecs:ecs:DescribeAutoSnapshotPolicyEx",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "bss:PayOrder"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ecs:RemoveTags",
                "ecs:UntagResources",
                "ecs:AddTags",
                "ecs:TagResources"
            ],
            "Resource": "*"
        }
    ],
    "Version": "1"
}

授权用户

将已创建的 RAM 策略附加到您希望控制访问的用户或组。您可以使用 RAM 管理控制台、阿里云 CLI、阿里云 API AttachPolicyToUser AttachPolicyToGroup来添加 RAM 策略。

VPC资源准备

本文没有给VPC创建的权限。使用有VPC创建权限的账号，进入VPC控制台创建VPC

使用APITagResources

给创建出来的VPC/VSwitch都打上强制标签（key=owner value=zhangsan）,当然其他标签（key=env, value=test）也可以同时加上，基于本文的RAM策略不影响访问权限。

安全组强制标签创建

在 ECS（云服务器）控制台点击网络与安全 - 点击安全组在安全组列表页面点击创建安全组填入对应的参数。
注意此处VPC资源必须是带有特定标签的VPC实例（key=owner value=zhangsan）否则也会没有权限。
如果创建安全组不带特定标签（key=owner value= zhangsan）时，点击创建。

创建失败

如果创建安全组带特定标签（key=owner value= zhangsan）时，点击创建。

创建成功，弹出提醒框

点击查看安全组列表，没有看到创建出来的安全组

在标签指定特定的标签（key=owner value=zhangsan）

也可以点击全局标签设置

出现没有权限报错：我们对于VPC停机不收费查询没有在权限里所以报错，本文跟此配置无关，直接点击确定。

设置特定的标签（key=owner value=zhangsan）点击确认

确认后特定标签在控制台全局范围生效。

在不选择该特定标签过滤的情况下也可以在控制台看到安全组资源。

独立磁盘强制标签创建

不带上特定的标签（key=owner value=zhangsan ）点击创建。

创建

带上特定的标签（key=owner value=zhangsan 如下图红框位置）点击创建。

创建成功

设置全局变量后，可以直接查询磁盘列表

实例强制标签创建

在 ECS（云服务器）控制台点击实例与镜像 - 点击实例在实例列表页面点击创建实例填入对应的参数。
注意此处VPC资源（VPC和VSwitch）以及ECS安全组必须是带有特定标签（key=owner value=zhangsan）否则也会因为没有权限创建失败。
选择相关参数，带上特定的标签（key=owner value=zhangsan 如下图红框位置）点击创建。