经验分享-基于项目与部门管理公有云资源

2020-11-15 本文已影响0人锦鲤AI喵咪

基于项目与部门管理公有云资源

在企业中，常常以项目的维度进行人员、资源和费用管理，对项目组成员进行适当授权，降低安全风险。在公有云上如何实现多项目的资源管理以及不同人员分权运维，一直是企业上云之后的关注点之一。

运维太难

一、分权管理建议

在于多位企业IT运维总监及其员工交流后，有的授权做的并不好，往往存在越权查看甚至操作资源的情况；部分会以标签的形式来管理，但是标签太多往往会把问题弄得更加复杂，是否有更简单的方式按照项目管理资源和出账呢？

华为云提供的企业管理服务（EPS） + 统一身份认证（IAM）两项服务，可以轻松实现按照项目、用户进行云资源管理和账单统计，同时又能对权限进行细粒度管理，让上云之后的运维更加安全。

如果完全不知道华为云EPS、IAM以及权限管理的基本概念，建议可以先查看华为云EPS和IAM的简要介绍，这样实践起来会容易一些。

二、实践场景说明

为了更好理解华为云的资源管理、企业项目和人员权限，先来看一个实践案例，然后再介绍企业项目和统一身份认证的关系，示例中包括了自定义权限JSON代码，也可以根据自己的实际情况来修改。

在实践案例中，项目（或者业务）包含两个部分：泛微OA应用（业务）和数据中心迁移项目（项目）；同时在统一身份认证中包含了3个用户和角色：泛微OA运维组、数据中心迁移项目组、公司财务部，如下图。

资源与用户（组）列表

所有资源部署在华为云华东-上海一，分别分布在泛微OA应用和数据中心迁移项目两个业务中。
泛微OA应用需要使用ECS（云主机）、EVS（云硬盘）、CBR（备份服务）、OBS、VPC、EIP、带宽。
数据中心迁移项目，简称项目A，需要使用ECS、OBS、VPC、EVS、IMS、RDS服务。

用户分权要求

泛微OA运维组负责运维泛微OA相关的所有资源，可以新建，但是不能删除。
项目A的人员可以管理项目A中的资源，包含删除权限。
泛微OA运维人员和项目A人员仅可查看自己的资源，不可互看。
账单管理人员查看所有资源的账单，可以看到泛微OA和项目A的各自消费，但是不能管理资源。

三、实践步骤

根据场景需求，完成授权工作大致需要经历以下步骤。

操作流程

3.1 准备工作

购买ECS、OBS等相关资源不做介绍，假设都已经ready，从超级管理员视图可以查看所有项目的ECS资源。
管理员ECS列表
参考创建IAM用户指导，创建泛微运维用户 weaver-ops、数据中心迁移项目用户 project-a-user和财务人员 finance-user，如下图。
IAM用户列表
参考创建用户组指导创建用户组数据中心迁移项目组、泛微OA应用运维组和公司财务部，并将对应用户加入用户组。
IAM用户组列表

！！！注意！！！ ，创建用户或用户组之后，暂时不要 暂时不要 暂时不要 对用户/用户组进行授权，后续会补充说明原因。

3.2 创建权限

首先需要说明华为云在权限中已经预置单个云服务的不同角色的系统策略，比如 ECS 的运维、超级管理员和只读角色，因为需要一次管理多种云服务，所以需要创建自定义策略 泛微OA应用运维 和 迁移项目 权限。另外在创建自定义权限时，华为云权限系统需要区分 全局级权限 和 项目级权限，全局级权限 针对没有区域概念的服务，例如内容分发网络服务 CDN、对象存储服务 OBS等，大部分的服务（如ECS、VPC等）都属于项目级权限。

创建自定义权限策略

3.2.1 泛微OA应用运维权限创建

根据权限要求，泛微OA运维组需要管理ECS（云主机）、EVS（云硬盘）、CBR（备份服务）、OBS、VPC、EIP等相关云服务资源，但是不能删除关键资源（需要与客户运维总监提前确认）。

首先，华为云已经预置了OBS的运维权限，满足实践的权限需求，可以直接使用，所以不重复创建OBS服务的权限策略。

其次，华为云提供的预置权限策略，多是针对单个云服务，本实践为了能够选择一个策略即可对主机ECS、VPC、EIP、EVS、IMS、CBR备份服务进行管理，需要创建自定义权限策略，采用权限黑名单管理策略，泛微OA应用运维组具备除了 删除云主机、删除云主机网卡、删除云硬盘、删除EIP、删除备份 之外的对应云服务权限。

自定义泛微OA应用权限

JSON代码如下

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "vpc:*:*",
                "ecs:*:*",
                "evs:*:*",
                "ims:*:*",
                "cbr:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecs:cloudServers:delete",
                "ecs:cloudServerNics:delete",
                "evs:volumes:delete",
                "ims:images:delete",
                "vpc:publicIps:delete",
                "vpc:floatingIps:delete",
                "cbr:backups:delete"
            ],
            "Effect": "Deny"
        }
    ]
}

3.2.2 迁移组权限创建

根据业务要求，项目A的成员管理ECS、OBS、VPC、EVS、IMS、RDS服务，需要所有权限（包含删除），为了方便，这里也采取和泛微OA应用运维权限相同的方式创建自定义策略；同时OBS采用华为云预置运维权限，之后即可到权限界面创建自定义权限策略权限-迁移项目。

自定义数据中心迁移权限

JSON代码如下

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "vpc:*:*",
                "ecs:*:*",
                "evs:*:*",
                "ims:*:*",
                "drs:*:*",
                "rds:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}