Control detallado de recursos con resource groups - Container Registry

Los resource groups le permiten usar RAM para aislar recursos y aplicar una gestión detallada de permisos dentro de una sola cuenta de Alibaba Cloud. En este tema se describe cómo Container Registry admite los resource groups y cómo otorgar autorización a nivel de resource group.

Nota

La autorización a nivel de resource group solo aplica a resource types that support resource groups y a las operaciones que admiten este nivel de autorización.
Para los tipos de recursos que no admiten resource groups, los permisos otorgados en el ámbito del resource group no surtirán efecto. Al seleccionar un ámbito de recursos, elija Account para otorgar permisos a nivel de cuenta. Para obtener más información, consulte Operations that do not support resource group-level authorization.

Autorización de resource group

Puede usar los resource groups para organizar los recursos de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group para cada proyecto y mover los recursos del proyecto al grupo para gestionarlos de forma centralizada. Para obtener más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos a entidades de RAM (usuarios de RAM, grupos de usuarios de RAM o roles de RAM) en el ámbito del resource group. Esto restringe a la entidad para que gestione únicamente los recursos dentro de ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece las siguientes ventajas:

Permisos detallados: asegúrese de que cada entidad reciba solo los permisos que necesita. Así se evita que una entidad asignada a un proyecto gestione los recursos de otro.
Escalabilidad: cuando agrega recursos a un resource group, las entidades autorizadas para ese grupo obtienen automáticamente los mismos permisos sobre los nuevos recursos.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se describe cómo otorgar permisos a un RAM user sobre los recursos de Container Registry dentro de un resource group específico.

1. Requisitos previos

Cree el RAM user al que desea otorgar permisos. Para obtener más información, consulte Create a RAM user.
Cree un resource group y mueva los recursos existentes al resource group de destino. Para obtener más información, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer resources to a resource group.

2. Otorgar permisos a nivel de resource group

Puede otorgar permisos a nivel de resource group mediante cualquiera de los siguientes métodos.

Método 1: Resource management console

Utilice la función de gestión de permisos de un resource group para otorgar permisos a un usuario de RAM. Para consultar las instrucciones detalladas, consulte Grant resource group-scope permissions to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, en la columna Actions del resource group de destino, haga clic en Grant Permission.
En la pestaña Permission Management, haga clic en Grant Permission.
En el panel Grant Permission, establezca la entidad y la política.
- Principal: seleccione un usuario de RAM existente.
- Permission Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Método 2: RAM console

Utilice la consola de RAM para otorgar permisos a nivel de resource group a un usuario de RAM. Para consultar las instrucciones detalladas, consulte Manage permissions for a RAM user.

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud o un administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, en la columna Actions del usuario de RAM de destino, haga clic en Add Permission.
En el panel Grant Permission, otorgue permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group Level.
- Principal: seleccione un usuario de RAM existente, que puede ser el que creó en los requisitos previos.
- Permission Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Tipos de recursos que admiten resource groups

A continuación se muestran los tipos de recursos de Container Registry que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo
Container Registry	cr	chartnamespace : Chart namespace
Container Registry	cr	chartrepository : Chart repository
Container Registry	cr	instance : Instance
Container Registry	cr	namespace : image namespace
Container Registry	cr	repository : image repository

Nota

Si necesita un tipo de recurso que no admita resource groups, envíe sus comentarios en la consola de Resource Group.

Acciones que no admiten autorización a nivel de resource group

Las siguientes acciones de Container Registry no admiten autorización a nivel de resource group:

Acción	Descripción
cr:CancelArtifactDeleteTagTask	-
cr:CancelArtifactSubscriptionTask	-
cr:CancelDiagnosisTask	-
cr:CancelRepoSyncTask	Cancela una tarea de sincronización.
cr:CreateArtifactBuildDiagnosisTask	-
cr:CreateArtifactBuildPhaseStatusTask	-
cr:CreateCloudProductAuth	-
cr:CreateClusterImageAnalysisTask	-
cr:CreateImageWorkloadAnalysisTask	-
cr:CreateInstanceFlowControlRule	-
cr:CreateMetadataNamespace	-
cr:CreateMetadataNote	-
cr:CreateMetadataOccurrence	-
cr:CreateStorageDomainRoutingRule	Crea una regla de enrutamiento de dominio de almacenamiento de instancia.
cr:CreateUserInfo	-
cr:DeleteCloudProductAuth	-
cr:DeleteExemptVul	-
cr:DeleteInstance	-
cr:DeleteInstanceFlowControlRule	-
cr:DeleteInstanceMigrateRule	-
cr:DeleteStorageDomainRoutingRule	Elimina una regla de enrutamiento de dominio de almacenamiento de instancia.
cr:DeleteSyncCustomLink	-
cr:DisableInstanceHideAuthDomain	-
cr:EnableInstanceHideAuthDomain	-
cr:EnableRecycleBin	-
cr:GetAccessVpcLink	-
cr:GetClusterImageAnalysisTask	-
cr:GetDiagnosisTask	-
cr:GetImageWorkloadAnalysisTask	-
cr:GetInstanceFlowControlRule	-
cr:GetInstanceHideAuthDomainStatus	-
cr:GetInstanceMigrateRule	-
cr:GetInstanceUser	-
cr:GetMetadataNamespace	-
cr:GetMetadataNote	-
cr:GetMetadataOccurrence	-
cr:GetRecycleBinConfig	-
cr:GetRepoTagManifest	-
cr:GetRepositoryTag	-
cr:GetResourceQuota	-
cr:GetScanRule	Obtiene una regla de escaneo.
cr:GetServiceAuthorization	-
cr:GetSignatureRule	-
cr:GetStorageDomainRoutingRule	Obtiene las reglas de enrutamiento de dominio de almacenamiento de instancia.
cr:GetSyncCustomLink	-
cr:GetUserInfo	-
cr:GetWebHook	-
cr:ListArtifactBuildDiagnosisResult	-
cr:ListArtifactBuildPhaseStatus	-
cr:ListArtifactBuildRule	-
cr:ListArtifactComponents	-
cr:ListArtifacts	-
cr:ListChartNamespace	-
cr:ListChartRepository	-
cr:ListCloudProductAuth	-
cr:ListDiagnosisTask	-
cr:ListInstanceFlowControlRule	-
cr:ListInstanceUser	-
cr:ListMetadataNotes	-
cr:ListMetadataOccurrences	-
cr:ListUserBucket	-
cr:ListUserVpc	-
cr:RevokeInstanceUserLoginPassword	-
cr:StopChainInstance	-
cr:UpdateArtifactBuildRule	-
cr:UpdateExemptVul	-
cr:UpdateMetadataNote	-
cr:UpdateMetadataOccurrence	-
cr:UpdateStorageDomainRoutingRule	Actualiza una regla de enrutamiento de dominio de almacenamiento de instancia.
cr:UpdateSyncCustomLink	-
cr:UpdateSyncRule	-
cr:UpdateUserInfo	-

Para las acciones que no admiten autorización a nivel de resource group, establecer el ámbito de recursos en Resource Group Level no tiene ningún efecto. Si un usuario de RAM requiere estos permisos, cree una política personalizada y establezca el ámbito de recursos en Account Level.

A continuación se muestran dos ejemplos de políticas personalizadas. Ajuste el contenido de la política según sea necesario.

Para permitir todas las acciones de solo lectura que no admiten autorización a nivel de resource group, inclúyalas en el elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:GetAccessVpcLink",
        "cr:GetClusterImageAnalysisTask",
        "cr:GetDiagnosisTask",
        "cr:GetImageWorkloadAnalysisTask",
        "cr:GetInstanceFlowControlRule",
        "cr:GetInstanceHideAuthDomainStatus",
        "cr:GetInstanceMigrateRule",
        "cr:GetInstanceUser",
        "cr:GetMetadataNamespace",
        "cr:GetMetadataNote",
        "cr:GetMetadataOccurrence",
        "cr:GetRecycleBinConfig",
        "cr:GetRepoTagManifest",
        "cr:GetRepositoryTag",
        "cr:GetResourceQuota",
        "cr:GetScanRule",
        "cr:GetServiceAuthorization",
        "cr:GetSignatureRule",
        "cr:GetStorageDomainRoutingRule",
        "cr:GetSyncCustomLink",
        "cr:GetUserInfo",
        "cr:GetWebHook",
        "cr:ListArtifactBuildDiagnosisResult",
        "cr:ListArtifactBuildPhaseStatus",
        "cr:ListArtifactBuildRule",
        "cr:ListArtifactComponents",
        "cr:ListArtifacts",
        "cr:ListChartNamespace",
        "cr:ListChartRepository",
        "cr:ListCloudProductAuth",
        "cr:ListDiagnosisTask",
        "cr:ListInstanceFlowControlRule",
        "cr:ListInstanceUser",
        "cr:ListMetadataNotes",
        "cr:ListMetadataOccurrences",
        "cr:ListUserBucket",
        "cr:ListUserVpc"
      ],
      "Resource": "*"
    }
  ]
}

Para permitir todas las acciones que no admiten autorización a nivel de resource group, inclúyalas en el elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cr:CancelArtifactDeleteTagTask",
        "cr:CancelArtifactSubscriptionTask",
        "cr:CancelDiagnosisTask",
        "cr:CancelRepoSyncTask",
        "cr:CreateArtifactBuildDiagnosisTask",
        "cr:CreateArtifactBuildPhaseStatusTask",
        "cr:CreateCloudProductAuth",
        "cr:CreateClusterImageAnalysisTask",
        "cr:CreateImageWorkloadAnalysisTask",
        "cr:CreateInstanceFlowControlRule",
        "cr:CreateMetadataNamespace",
        "cr:CreateMetadataNote",
        "cr:CreateMetadataOccurrence",
        "cr:CreateStorageDomainRoutingRule",
        "cr:CreateUserInfo",
        "cr:DeleteCloudProductAuth",
        "cr:DeleteExemptVul",
        "cr:DeleteInstance",
        "cr:DeleteInstanceFlowControlRule",
        "cr:DeleteInstanceMigrateRule",
        "cr:DeleteStorageDomainRoutingRule",
        "cr:DeleteSyncCustomLink",
        "cr:DisableInstanceHideAuthDomain",
        "cr:EnableInstanceHideAuthDomain",
        "cr:EnableRecycleBin",
        "cr:GetAccessVpcLink",
        "cr:GetClusterImageAnalysisTask",
        "cr:GetDiagnosisTask",
        "cr:GetImageWorkloadAnalysisTask",
        "cr:GetInstanceFlowControlRule",
        "cr:GetInstanceHideAuthDomainStatus",
        "cr:GetInstanceMigrateRule",
        "cr:GetInstanceUser",
        "cr:GetMetadataNamespace",
        "cr:GetMetadataNote",
        "cr:GetMetadataOccurrence",
        "cr:GetRecycleBinConfig",
        "cr:GetRepoTagManifest",
        "cr:GetRepositoryTag",
        "cr:GetResourceQuota",
        "cr:GetScanRule",
        "cr:GetServiceAuthorization",
        "cr:GetSignatureRule",
        "cr:GetStorageDomainRoutingRule",
        "cr:GetSyncCustomLink",
        "cr:GetUserInfo",
        "cr:GetWebHook",
        "cr:ListArtifactBuildDiagnosisResult",
        "cr:ListArtifactBuildPhaseStatus",
        "cr:ListArtifactBuildRule",
        "cr:ListArtifactComponents",
        "cr:ListArtifacts",
        "cr:ListChartNamespace",
        "cr:ListChartRepository",
        "cr:ListCloudProductAuth",
        "cr:ListDiagnosisTask",
        "cr:ListInstanceFlowControlRule",
        "cr:ListInstanceUser",
        "cr:ListMetadataNotes",
        "cr:ListMetadataOccurrences",
        "cr:ListUserBucket",
        "cr:ListUserVpc",
        "cr:RevokeInstanceUserLoginPassword",
        "cr:StopChainInstance",
        "cr:UpdateArtifactBuildRule",
        "cr:UpdateExemptVul",
        "cr:UpdateMetadataNote",
        "cr:UpdateMetadataOccurrence",
        "cr:UpdateStorageDomainRoutingRule",
        "cr:UpdateSyncCustomLink",
        "cr:UpdateSyncRule",
        "cr:UpdateUserInfo"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede operar sobre todos los recursos de la cuenta. Para seguir el principio de privilegio mínimo, otorgue únicamente los permisos necesarios.

Preguntas frecuentes

Buscar el resource group de un recurso

Método 1: haga clic en el nombre de un recurso para abrir su página de detalles, donde encontrará su resource group.
Método 2: inicie sesión en la consola de Resource Management, haga clic en Resource Center > Resource Search, seleccione la cuenta propietaria del recurso de destino en el panel izquierdo (de forma predeterminada está seleccionada Current Account) y use las condiciones de filtro para localizar el recurso de destino y consultar su resource group.

Consultar los recursos de un producto en un resource group

Método 1: inicie sesión en la consola de Resource Management y haga clic en Resource Center > Resource Search. Luego, en el panel de navegación izquierdo, haga clic en el nombre del resource group de destino dentro de la sección de la cuenta, que de forma predeterminada es Current Account. Por último, en la sección Select Resource Type de la derecha, seleccione el producto para consultar todos sus recursos en el resource group.
Método 2: inicie sesión en la consola de Resource Management, haga clic en Resource Group > Resource Group, busque el resource group de destino y luego haga clic en Manage Resources en la columna Actions del grupo. Finalmente, en la página Manage Resources, seleccione un producto en la lista desplegable Product en la parte superior de la página para consultar todos los recursos de ese producto en el resource group.

Mover recursos a otro resource group

Inicie sesión en la consola de Resource Management, haga clic en Resource Group > Resource Group y, en la columna Actions del resource group de destino, haga clic en Resource Management para abrir la página de gestión de recursos. En dicha página, utilice los filtros para localizar varios recursos de destino, seleccione las casillas de verificación en la primera columna, haga clic en Transfer Resource Group en la parte inferior y siga las instrucciones en pantalla para cambiar el resource group.