流量管控允许主账户对子用户或角色的工作区流量进行分配和管理，本文介绍如何配置工作区的流量管控。 ## 背景信息托管 Prometheus 工作区支持基于子用户或角色的细粒度限流配置。当工作区被企业下的多个组织（部门）共享使用时，若某个子用户或角色的读取 QPS 过高，会导致其他访问方无法正常查询数据。通过为不同子用户或角色配置限流策略，可有效控制各访问方的流量使用，保障工作区的稳定读取。 ## 前提条件已创建 VMP 工作区，详情请参见 [创建工作区](https://www.volcengine.com/docs/6731/106522)。 ## 使用限制 |工作区类型 |支持的限流对象 |可配置项 | |---|---|---| |通用工作区 |子用户、角色 |QPS、每秒扫描时序数、每秒扫描样本数额度 | |聚合工作区 |子用户、角色 |QPS | |本地工作区 |子用户、角色 |QPS | ## 操作步骤 ### 步骤一：配置子用户或角色 #### 配置子用户配置流量管控前，您需要创建子用户并使用权限控制系统为子用户授予工作区的读权限。操作步骤如下： 1. 登录 [访问控制控制台](https://console.volcengine.com/iam)。 2. 在左侧导航栏中选择 **权限策略**，单击 **新建自定义策略**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d48b8dfe3aa24d2c90d317f71cabe019.png) 3. 选择 **JSON 编辑器 ** 页签，并使用如下代码，配置指定工作区的读写权限。其中，`Workspace/agg-37860d39***`、`Workspace/939525b7-617*** `为工作区 ID，请前往工作区详情页中查看对应的 ID。 ```JSON { "Statement": [ { "Effect": "Allow", "Action": [ "vmp:GetLabels", "vmp:GetLabelValues", "vmp:QueryMetrics", "vmp:QueryMetricsRange", "vmp:GetSeries", "vmp:RemoteWrite", "vmp:PushMetrics" ], "Resource": [ "trn:vmp:*:*:Workspace/agg-37860d39***", "trn:vmp:*:*:Workspace/939525b7-617***" ] } ] } ``` ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f80658f868cfbd40b196b4b7c1c7e64c.png) 4. 在左侧导航栏中选择 **用户**，单击 **新建用户**，创建用户。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_46701dcdbac8dbbffe314cb243699e50.png) 5. 为用户绑定上述步骤的新建策略。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_92e3ea09f91535a3816e7757edf79bca.png)

说明

更多子用户权限配置方式，请参见访问控制文档。

6. 子用户配置完成后，即可使用该用户查询工作区中的数据。其中： * 查询地址与根用户查询地址一致，详情请参见 [获取工作区地址](https://www.volcengine.com/docs/6731/106506)。 * 使用子用户的 AK/SK 查询数据，详情请参见 [使用 Go 语言实现工作区数据写入和查询](https://www.volcengine.com/docs/6731/1400366#.5L2_55SoIEFLL1NLIOafpeivouaMh-aghw==)。 * 使用 BasicAuth 查询数据，请将 `username` 配置为 `AccessKeyID`，`password` 配置为 `SecretAccessKey`。 #### 配置角色配置流量管控前，您需要创建角色并使用权限控制系统为角色授予工作区的读权限。操作步骤如下： 1. 登录 [访问控制控制台](https://console.volcengine.com/iam)。 2. 在左侧导航栏中选择 **角色管理**，然后单击 **新建角色**。 3. 配置 **选择信任身份类型** 为 **账号**，**选择身份** 为 **当前账号**，然后单击 **下一步**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_889f4a30ea61571a44cfae7955dab05c.png) 4. 配置 **角色名**，然后单击 **下一步**。 5. 选择包含目标工作区查询权限（如 **VMReadOnlyAccess）** 的权限策略，然后单击 **提交**。 ### 步骤二：配置流量管控当企业中的不同组织（部门）使用不同的子用户或角色查询同一工作区内的数据时，您可以为工作区配置流量管控，为不同组织分配不同的限额，操作步骤如下： 1. 登录 [VMP 服务控制台](https://console.volcengine.com/observe/prometheus)。 2. 单击左侧导航栏的 **工作区**，在工作区列表中选择目标工作区，单击工作区名称，进入工作区详情页。 3. 在左侧导航栏中单击 **流量管控**，在右侧页面中查看当前工作区的流量配置。 4. 单击 **添加流量配置**，为子用户或角色配置在该工作区的流量限额，完成后单击 **确定**。配置项及说明如下： |配置项 |说明 | |---|---| |限流对象 |选择需要配置限流规则的访问身份。支持按子用户或角色配置限流。 | |查询 QPS |配置该子用户或角色每秒允许发起的查询请求数。超过额度后，请求会被限流。 | |每秒扫描时序数额度 |配置该子用户或角色每秒允许扫描的时序数量。仅通用工作区支持配置该项。 | |每秒扫描样本数额度 |配置该子用户或角色每秒允许扫描的样本数量。仅通用工作区支持配置该项。 | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_abc824b5b8653c9a25d73766560d510b.png) 5. 在 **流量配置拓扑图** 中，选择对应的子用户或角色，即可查看该子用户或角色的拓扑图。