Para mantener la seguridad de sus activos en la nube, se recomienda encarecidamente utilizar un usuario de Resource Access Management (RAM) para las operaciones y la gestión diarias, en lugar de usar directamente su cuenta de Alibaba Cloud, la cual posee todos los activos y tiene los permisos más altos. Este tema describe cómo utilizar su cuenta de Alibaba Cloud para crear un usuario de RAM con permisos de administrador, así como completar el primer inicio de sesión y la configuración de seguridad. Una vez que finalice esta guía, cierre sesión en su cuenta de Alibaba Cloud y utilice siempre este administrador de RAM para la gestión diaria de recursos en la nube.
Por qué usar un usuario de RAM en lugar de una cuenta de Alibaba Cloud
La siguiente tabla compara una cuenta de Alibaba Cloud con un usuario de RAM.
|
Item |
Alibaba Cloud account |
RAM user |
|
Rol de identidad |
Propietario de todos los recursos. Tiene la propiedad total y los permisos más altos. |
Usuario de recursos y servicios. Los permisos los otorga la cuenta de Alibaba Cloud. Por lo general, corresponde a una persona o aplicación específica. |
|
Posee recursos en la nube |
Sí |
No. Los recursos pertenecen a la cuenta de Alibaba Cloud. |
|
Permisos predeterminados |
Permisos completos. No se pueden restringir. |
Sin permisos de forma predeterminada. Deben ser otorgados por la cuenta de Alibaba Cloud. |
|
Uso recomendado |
Solo operaciones clave de gestión: autorización, pagos y gestión de cuentas. |
Desarrollo diario, operaciones y mantenimiento (O&M), despliegue y otras tareas. |
Para obtener más información sobre RAM, consulte What is Resource Access Management?
Los usuarios de RAM no pueden ver los datos de la cuenta de Alibaba Cloud ni gestionar ninguna configuración en el Account Center.
Mejores prácticas de seguridad de la cuenta
Cree un usuario de RAM con permisos de administrador dedicado a la gestión diaria y a las operaciones técnicas.
Utilice su cuenta de Alibaba Cloud solo cuando sea necesario y almacene de forma segura su contraseña, MFA y demás credenciales.
Realice todas las operaciones diarias con el usuario administrador de RAM para evitar exponer su cuenta de Alibaba Cloud en los entornos cotidianos.
Crear un usuario de RAM con permisos de administrador
Los siguientes pasos describen cómo utilizar su cuenta de Alibaba Cloud para iniciar sesión en la consola de RAM y crear un usuario de RAM como administrador de la cuenta. Elija uno de los siguientes métodos.
Creación rápida (recomendada)
Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud. En la página de Overview, haga clic en la pestaña Quick Start y luego, en Initial users, haga clic en Account Administrator.
Revise la configuración del Account Administrator y haga clic en Perform. De forma predeterminada, este administrador de cuenta tiene habilitado el acceso a la consola y la directiva del sistema AdministratorAccess adjunta. Esta directiva otorga permisos para gestionar todos los recursos de Alibaba Cloud.
Una vez completada la configuración, guarde el nombre de usuario de RAM y la contraseña de inicio de sesión de este administrador de cuenta (Copy o Download).
Después de crear el administrador de la cuenta, modifique su configuración en el menú correspondiente de la consola de RAM.
Creación manual
Paso 1: Crear el usuario de RAM
Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud. En el panel de navegación izquierdo, seleccione Identities > Users y luego haga clic en Create User.
-
Introduzca la información del usuario.
Field
Description
Logon Name
Introduzca un nombre para el administrador, como
administrator.Display Name
Introduzca un alias para facilitar la identificación, como
Administrator.Access Mode
Seleccione un modo de acceso. Si selecciona OpenAPI Access, siga las instrucciones en best practices for using access credentials.
Multi-Factor Authentication (MFA)
Seleccione la opción obligatoria para Enable MFA. Consulte Attach an MFA device to a RAM user.
En la página Create User, configure los siguientes ajustes:
Logon Name: introduzca
administratorDisplay Name: introduzca
administratorAccess Mode: seleccione Console Access
Password: seleccione Automatically generate a password
Password Reset on Next Logon: seleccione The user must reset the password at the next logon
Multi-Factor Authentication (MFA): seleccione MFA is required
Siga las instrucciones en pantalla para completar la autenticación de seguridad.
Paso 2: Otorgar permisos de administrador
En la página de Users, busque el usuario de RAM que creó y haga clic en Add Permissions en la columna Actions.
En el panel Grant Permission, adjunte la directiva del sistema AdministratorAccess al usuario de RAM. Esta directiva otorga permisos para gestionar todos los recursos de Alibaba Cloud.
Iniciar sesión con el usuario de RAM
Cierre sesión en su cuenta de Alibaba Cloud inmediatamente.
Inicie sesión con el usuario de RAM. Vaya a la página de inicio de sesión de usuario de RAM. Introduzca el Username de RAM, haga clic en Next, introduzca la Password de RAM y haga clic en Log On.
Vincule un dispositivo MFA. Si se habilitó MFA durante la creación del usuario, el sistema le solicitará vincular un dispositivo MFA, que constituye una segunda capa de protección para su cuenta de administrador. Siga las instrucciones en pantalla para completar la vinculación. Consulte Attach an MFA device to a RAM user.
Verificación y siguientes pasos
Después de iniciar sesión correctamente y completar la configuración de seguridad, intente acceder a una consola como ECS u OSS para comprobar que los permisos de administrador han surtido efecto.
De ahora en adelante, realice todas las tareas diarias de gestión de recursos en la nube, desarrollo y O&M con este usuario administrador de RAM. Mantenga seguras las credenciales de su cuenta de Alibaba Cloud y utilícelas únicamente para la gestión de la cuenta, pagos u operaciones específicas a nivel de cuenta.
Preguntas frecuentes
¿Cuál es la diferencia principal entre una cuenta de Alibaba Cloud y un usuario de RAM?
La diferencia principal radica en cómo se obtienen y gestionan los permisos. Una cuenta de Alibaba Cloud tiene permisos integrados y definitivos que ninguna otra cuenta puede revocar o restringir. Los permisos de un usuario de RAM son otorgados por la cuenta de Alibaba Cloud y se pueden modificar, revocar o deshabilitar en cualquier momento.
Esta separación limita su exposición si las credenciales se ven comprometidas. Si las credenciales de un administrador de RAM se filtran, inicie sesión con su cuenta de Alibaba Cloud para eliminar o deshabilitar ese usuario de RAM inmediatamente. Si la propia cuenta de Alibaba Cloud se ve comprometida, todos los recursos y permisos corren riesgo, razón por la cual debe protegerse cuidadosamente.
Ciertas operaciones de alto nivel, como la verificación de identidad, la modificación de información de la cuenta y el cierre de una cuenta, aún requieren la cuenta de Alibaba Cloud. Los usuarios de RAM no tienen permisos para estas operaciones.