tencent cloud

腾讯云可观测平台

动态与公告
产品动态
产品简介
产品概述
产品优势
基本功能
基本概念
应用场景
使用限制
购买指南
云产品监控
应用性能监控
终端性能监控
前端性能监控
云拨测
Prometheus 监控服务
Grafana 服务
事件总线
云压测
快速入门
监控概览
实例分组
云产品监控
应用性能监控
云拨测
云压测
Prometheus 监控服务
Grafana 服务
创建 Dashboard
事件总线
告警服务
云产品监控
云产品监控指标
控制台操作指南
云服务器监控组件
云产品监控对接 Grafana
故障处理
实践教程
应用性能监控
应用性能监控简介
接入指南
控制台操作指南
实践教程
参考信息
常见问题
终端性能监控
终端性能监控概述
控制台操作指南
接入指南
实践教程
前端性能监控
前端性能监控简介
控制台操作指南
接入指南
常见问题
云拨测
产品简介
控制台操作指南
常见问题
云压测
云压测概述
控制台操作指南
实践教程
JavaScript API 列表
常见问题
Prometheus 监控
Prometheus 监控简介
接入指南
控制台操作指南
实践教程
Terraform
常见问题
Grafana 服务
产品简介
控制台操作指南
Grafana 平台常用功能指引
常见问题
Dashboard
什么是 Dashboard
控制台操作指南
告警管理
控制台操作指南
故障处理
常见问题
事件总线
事件总线简介
控制台操作指南
实践教程
常见问题
报表管理
常见问题
腾讯云可观测平台常见问题
告警服务相关
一般性问题
监控图表相关
云服务器监控组件相关
动态阈值告警相关
云监控对接 Grafana 相关
文档阅读指南
相关协议
应用性能监控服务等级协议
APM 隐私协议
APM 数据处理和安全协议
前端性能监控服务等级协议
终端性能监控服务等级协议
云拨测服务等级协议
Prometheus 监控服务服务等级协议
Grafana 服务服务等级协议
云压测服务等级协议
云压测使用限制
Cloud Monitor Service Level Agreement
词汇表

策略设置

PDF
聚焦模式
字号
最后更新时间: 2024-08-07 21:55:37

概述

访问策略可用于授予访问 Prometheus 监控服务实例的权限。访问策略使用基于 JSON 的访问策略语言。您可以通过访问策略语言授权指定委托人(principal)对指定的 Prometheus 监控服务资源执行指定的操作。
访问策略语言描述了策略的基本元素和用法,有关策略语言的说明可参考 CAM 策略管理

访问策略中的元素

访问策略语言包含以下基本意义的元素:
语句(statement):描述一条或多条权限的详细信息。该元素包括效力、操作、资源、条件等多个其他元素的权限或权限集合。一条策略有且仅有一个语句元素。
效力(effect):描述声明产生的结果是“允许”还是“显式拒绝”,包括 allow 和 deny 两种情况。该元素是必填项。
操作(action):描述允许或拒绝的操作。操作可以是 API(以 name 前缀描述)或者功能集(一组特定的 API,以 permid 前缀描述)。该元素是必填项。
资源(resource):描述授权的具体数据。资源是用六段式描述。每款产品的资源定义详情会有所区别。该元素是必填项。
条件(condition):描述策略生效的约束条件。条件包括操作符、操作键和操作值组成。条件值可包括时间、IP 地址等信息。有些服务允许您在条件中指定其他值。该元素是选填项。

元素用法

指定效力

如果没有显式授予(允许)对资源的访问权限,则隐式拒绝访问。同时,也可以显式拒绝(deny)对资源的访问,这样可确保用户无法访问该资源,即使有其他策略授予了访问权限的情况下也无法访问。下面是指定允许效力的示例:
"effect" : "allow"

指定操作

云监控定义了可在策略中指定一类控制台的操作,指定的操作按照操作性质分为读取部分接口(monitor:Describe*)和全部接口(monitor:*)。
指定允许操作的示例如下:
"action": [
"name/monitor:Describe*"
]

指定资源

资源(resource)元素描述一个或多个操作对象,如腾讯云 Prometheus 监控服务资源等。所有资源均可采用下述的六段式描述方式。
qcs:project_id:service_type:region:account:resource
参数说明如下:
参数
描述
是否必选
qcs
是 qcloud service 的简称,表示是腾讯云的云服务
project_id
描述项目信息,仅为了兼容 CAM 早期逻辑,一般不填
service_type
产品简称,这里为 monitor
region
描述地域信息
account
描述资源拥有者的主账号信息,即主账号的 ID,表示为 uin/${OwnerUin},如 uin/100000000001
resource
描述具体资源详情,前缀为 instance
下面是一个 Prometheus 监控服务的六段式信息:
"resource":["qcs::monitor:ap-guangzhou:uin/100000000001:prom-instance/prom-73jingds"]

指定条件

访问策略语言可使您在授予权限时指定条件。主要是用于设置标签鉴权,标签条件只对绑定了该标签的集群生效,标签策略示例如下:
"condition": {
"for_any_value:string_equal": {
"qcs:tag": [
"testkey&testvalue"
]
}
}
这个语句含义是策略包含标签 key 为 testkey,value 为 testvalue 的资源。

实际案例

基于标签

如下案例中,策略的含义是允许访问 UIN 为1250000000下面的实例 ID 为 prom-73jingds 的资源,以及绑定了标签键为 testkey,标签值为 testvalue 的资源(如果该实例未属于标签 testkey& testvalue ,则仍不允许访问)。
{
"version": "2.0",
"statement": [
{
"action": [
"name/monitor:*"
],
"condition": {
"for_any_value:string_equal": {
"qcs:tag": [
"testkey&testvalue"
]
}
},
"effect": "allow",
"resource": [
"qcs::monitor:ap-guangzhou:uin/1250000000:prom-instance/prom-73jingds"
]
}
]
}

基于资源

基于资源 ID,分配指定资源的读写权限,主账号ID 为 1250000000:
配置广州地域(资源)只读权限。 示例:为子用户分配, instance1(prom-73jingds)、instance2(prom-65jidfafk) 资源的只读权限。
{
"version": "2.0",
"statement": [{
"effect": "allow",
"action": [
"name/monitor:Describe*"
],
"resource": [
"qcs::monitor:ap-guangzhou:uin/1250000000:prom-instance/prom-73jingds",
"qcs::monitor:ap-guangzhou:uin/1250000000:prom-instance/prom-65jidfafk"
],
"condition": []
}]
}
配置广州地域(资源)部分读写权限。 示例:为子用户分配,instance1(prom-73jingds) 资源的删除操作权限。
{
"version": "2.0",
"statement": [{
"effect": "allow",
"resource": [
"qcs::monitor:ap-guangzhou:uin/1250000000:prom-instance/prom-73jingds"
],
"action": [
"name/monitor:TerminatePrometheusInstances"
]
}]
}


帮助和支持

本页内容是否解决了您的问题?

填写满意度调查问卷,共创更好文档体验。

文档反馈