使用說明

本文檔內容涉及圖中引擎直連鏈路的訪問權限的開啟和配置，授權成功后，Nacos Client可以通過RAM用戶訪問MSE的Nacos。

步驟一：創建細粒度權限策略

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇權限管理 > 權限策略。

3. 在權限策略頁面，單擊創建權限策略。

4. 在創建權限策略頁面，單擊腳本編輯頁簽。

5. 輸入權限策略內容，然后單擊繼續編輯基本信息。

   • 配置中心細粒度鑒權所涉及的權限操作（Action）如下表：

     權限操作名稱（Action）	說明
     mse:QueryNacosConfig	微服務引擎MSE Nacos的讀取配置權限，表示可以通過SDK獲取和監聽配置。
     mse:UpdateNacosConfig	微服務引擎MSE Nacos的更新配置權限，表示可以通過SDK發布和修改配置。

   • 配置中心細粒度鑒權所涉及的操作對象（Resource）需滿足以下規則：

     acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}

     您也可以參考下文的常用示例，修改策略內容。

   • 關于權限策略語法結構的詳情，請參見權限策略語法和結構。

6. 輸入權限策略名稱和備注。

7. 檢查并優化權限策略內容。

   • 基礎權限策略優化

     系統會對您添加的權限策略語句自動進行基礎優化。基礎權限策略優化會完成以下任務：

     • 刪除不必要的條件。

     • 刪除不必要的數組。

   • 可選：高級權限策略優化

     您可以將鼠標懸浮在可選：高級策略優化上，單擊執行，對權限策略內容進行高級優化。高級權限策略優化功能會完成以下任務：

     • 拆分不兼容操作的資源或條件。

     • 收縮資源到更小范圍。

     • 去重或合并語句。

8. 單擊確定。

步驟二：授予RAM用戶或RAM角色權限

常用示例

• 授予用戶某些實例的只讀配置權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosConfig"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

• 授予用戶某些實例讀取和修改配置的權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "mse:QueryNacosConfig",
                  "mse:UpdateNacosConfig"
              ],
              "Resource": [
                  "acs:mse:*:*:instance/${instanceId1}",
                  "acs:mse:*:*:instance/${instanceId2}"
              ],
              "Effect": "Allow"
          }
      ]
  }

• 授予用戶只能讀取某個實例中某個命名空間配置的權限。

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosConfig",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}"
          }
      ],
      "Version": "1"
  }

• 授予用戶能讀取和修改某個實例中某個命名空間下的${group}配置的權限。

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosConfig",
                  "mse:UpdateNacosConfig"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}"
          }
      ],
      "Version": "1"
  }

• 授予用戶只能讀取某個${group}下的${dataId}配置的權限。

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "mse:QueryNacosConfig",
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}"
          }
      ],
      "Version": "1"
  }

• 授予用戶能讀取和修改某個${group}下的${serviceName}配置的權限。

  {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "mse:QueryNacosConfig",
                  "mse:UpdateNacosConfig"
              ],
              "Resource": "acs:mse:*:*:instance/${instance_id}/${namespaceId}/${group}/config/${dataId}"
          }
      ],
      "Version": "1"
  }