Control detallado con resource groups - API Gateway - Centro de documentación de Alibaba Cloud

Organizar los recursos por resource group le permite usar RAM para aislarlos y gestionar permisos detallados dentro de una sola cuenta de Alibaba Cloud. Este tema resume la compatibilidad de Cloud-native API Gateway con los resource groups y describe cómo otorgar permisos a nivel de resource group.

Nota

La autorización a nivel de resource group solo aplica a resource types that support resource groups y a las acciones que admiten este tipo de autorización.
Para los tipos de recursos que no son compatibles con los resource groups, los permisos otorgados en el ámbito del resource group no aplican. Para conceder autorización a nivel de cuenta, seleccione el nivel de cuenta como ámbito del recurso. Para obtener más información, consulte Actions that do not support resource group-level authorization.

Autorización de resource group

Los resource groups permiten agrupar y gestionar los recursos de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group para cada proyecto y trasladar ahí sus recursos. Esto facilita la gestión centralizada de cada proyecto. Para obtener más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos a distintas identidades principales de RAM (como usuarios de RAM, grupos de usuarios de RAM o roles de RAM) limitados a un resource group específico. De esta manera, la identidad principal solo gestiona los recursos dentro de ese resource group. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece las siguientes ventajas:

Permisos detallados: se otorgan a cada identidad únicamente los permisos exactos que necesita para acceder a los recursos. Así se mantienen separados los recursos de distintos proyectos dentro de una misma cuenta.
Escalabilidad: al agregar nuevos recursos, basta con incorporarlos al resource group. Las identidades principales de RAM asociadas obtienen automáticamente los permisos necesarios, lo que elimina la necesidad de volver a otorgarlos.

Otorgar permisos a nivel de resource group a un usuario de RAM

A continuación se describe cómo otorgar a un RAM user permisos sobre los recursos de Cloud Native API Gateway dentro de un resource group específico.

1. Requisitos previos

Cree el RAM user que desea utilizar. Para obtener más información, consulte Create a RAM user.
Cree un resource group y transfiera los recursos existentes hacia él. Para obtener más información, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer resources to a resource group.

2. Otorgar permisos a nivel de resource group

Puede otorgar permisos a nivel de resource group mediante uno de los métodos descritos a continuación.

Resource Management console

Utilice la función de gestión de permisos de un resource group para otorgar permisos a un usuario de RAM específico. Para obtener más información, consulte Grant resource group-scoped permissions to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página de resource groups, busque el resource group deseado y haga clic en Manage Permissions en la columna Actions.
En la pestaña Permissions, haga clic en add permissions.
En el panel add permissions, configure la identidad principal y la política de permisos.
- Principal: seleccione un usuario de RAM existente.
- Permission Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom permission policy.
Haga clic en Confirm.

RAM console

También es posible otorgar permisos a un usuario de RAM desde la consola de RAM. Para obtener más información, consulte Manage permissions for RAM users.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud (cuenta principal) o como administrador de RAM.
En el panel de navegación izquierdo, elija Identity > Users. En la página Users, busque el usuario de RAM deseado y haga clic en add permissions en la columna Actions.
En el panel add permissions, configure los siguientes parámetros para el usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el que creó en los requisitos previos.
- Permission Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom permission policy.
Haga clic en Confirm.

Tipos de recursos compatibles con resource groups

La siguiente tabla muestra los tipos de recursos de Cloud Native API Gateway que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo
Cloud Native API Gateway	apig	domain : domain
Cloud Native API Gateway	apig	environment : environment
Cloud Native API Gateway	apig	gateway : instance
Cloud Native API Gateway	apig	httpapi : API
Cloud Native API Gateway	apig	service : service
Cloud Native API Gateway	apig	source : service source

Nota

Si necesita compatibilidad con otros tipos de recursos, envíe sus comentarios en la consola de Resource Group.

Acciones no compatibles

Cloud Native API Gateway no admite la autorización a nivel de resource group para las siguientes acciones:

Acciones	Descripción
apig:BatchDeleteConsumerAuthorizationRule	Elimina varias reglas de autorización de consumidores.
apig:CancelAiGenerateTask	-
apig:CheckCommodityStatus	-
apig:CheckRegularExpressions	-
apig:CreateAiGenerateWebIde	-
apig:CreateAndAttachPolicy	-
apig:CreateConsumer	Crea un consumidor.
apig:CreateConsumerAuthorizationRule	Crea una regla de autorización de consumidores.
apig:CreateConsumerAuthorizationRules	Crea varias reglas de autorización de consumidores.
apig:CreateMcpServer	Crea un servidor de Model Context Protocol (MCP).
apig:CreateMigrationTask	-
apig:CreatePluginAttachment	Crea un archivo adjunto de plugin.
apig:CreatePluginClass	-
apig:CreatePluginRepository	-
apig:CreatePluginWorkspace	-
apig:CreatePolicy	Crea una política.
apig:CreatePolicyAttachment	Crea un archivo adjunto de política.
apig:CreateSecret	-
apig:CreateWebIde	-
apig:DeleteConsumer	Elimina un consumidor.
apig:DeleteConsumerAuthorizationRule	Elimina una regla de autorización de consumidores.
apig:DeleteMcpServer	-
apig:DeleteMigrationTask	-
apig:DeletePluginAttachment	Elimina un archivo adjunto de plugin.
apig:DeletePluginClass	-
apig:DeletePolicy	Elimina una política.
apig:DeletePolicyAttachment	Elimina un archivo adjunto de política.
apig:DeleteSecret	-
apig:DeleteWebIde	-
apig:DeployDomain	-
apig:DeployMcpServer	-
apig:DetachAndDeletePolicy	-
apig:ExportCodeFile	-
apig:ExportWasmFile	-
apig:GetAiGenerateTaskStatus	-
apig:GetConsumer	Obtiene un consumidor.
apig:GetConsumerAuthorizationRule	Obtiene una regla de autorización de consumidores.
apig:GetHttpApiAttachment	-
apig:GetHttpApiInstanceByEnvId	-
apig:GetMcpServer	-
apig:GetMigrationNamespacedServices	-
apig:GetMigrationTask	-
apig:GetPluginAttachment	-
apig:GetPluginClass	-
apig:GetPluginWorkspace	-
apig:GetPolicy	Obtiene una política.
apig:GetPolicyAttachment	Obtiene un archivo adjunto de política.
apig:GetResourceOverview	Obtiene una descripción general de los recursos.
apig:GetSecret	-
apig:GetSecretValue	-
apig:InstallPlugin	Instala un plugin.
apig:InvokeAIAgent	-
apig:ListConsumerAuthorizationRules	-
apig:ListConsumers	Muestra una lista de consumidores.
apig:ListEvents	-
apig:ListGatewayErrorAccessLogs	-
apig:ListGatewayUpgradableVersions	-
apig:ListGlobalPolicies	-
apig:ListInstallableGateways	-
apig:ListLocations	-
apig:ListMcpServers	-
apig:ListMigrationTasks	-
apig:ListPluginAttachments	Muestra una lista de archivos adjuntos de plugins.
apig:ListPluginClasses	-
apig:ListPluginRepositories	-
apig:ListPluginWorkspace	-
apig:ListPlugins	Muestra una lista de plugins.
apig:ListPolicies	Muestra una lista de políticas.
apig:ListPolicyClasses	-
apig:ListSecretReferences	-
apig:ListSecrets	-
apig:ListServiceQuotas	-
apig:ListSourcesInner2	-
apig:ListSslCerts	-
apig:ListSyncMCPServer	-
apig:ListSyncedMCPServer	-
apig:ListZones	Muestra las zonas disponibles para Cloud Native API Gateway en una región.
apig:MCPMessaging	-
apig:MCPSSETransport	-
apig:ModifyQuotaLimitValue	-
apig:ModifyServiceQuota	-
apig:QueryConsumerAuthorizationRules	Consulta las reglas de autorización de consumidores.
apig:QueryTestClusterData	-
apig:QueryTestDBData	-
apig:RefreshPluginOAuthCode	-
apig:RemoveConsumerAuthorizationRule	Elimina una regla de autorización de consumidores.
apig:RetryCreateGateway	-
apig:RunPluginPipeline	-
apig:SyncMCPServer	-
apig:SyncMCPServers	-
apig:UnDeployMcpServer	-
apig:UninstallPlugin	Desinstala un plugin.
apig:UpdateAndAttachPolicy	Actualiza y adjunta una política.
apig:UpdateAuthorizationRule	-
apig:UpdateConsumer	Actualiza un consumidor.
apig:UpdateConsumerAuthorizationRule	Actualiza una regla de autorización de consumidores.
apig:UpdateEnvironment	Actualiza un entorno.
apig:UpdateMcpServer	-
apig:UpdateMigrationTask	-
apig:UpdatePluginAttachment	Actualiza un archivo adjunto de plugin.
apig:UpdatePolicy	Actualiza una política.
apig:UpdateSecret	-
apig:UpdateServiceVersion	Actualiza una versión de servicio.
apig:UploadCodeFile	-
apig:VerifyMigrationTask	-
apig:test	-

Para las acciones que no admiten autorización a nivel de resource group, establecer el ámbito del recurso en resource group level no tiene ningún efecto. Si un usuario de RAM requiere permisos para estas acciones, debe otorgarlos a account level mediante una política personalizada.

A continuación se muestran dos ejemplos de políticas de permisos personalizadas que puede modificar según sus necesidades.

Permite todas las operaciones de solo lectura que no admiten autorización a nivel de resource group: Action enumera dichas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apig:CheckCommodityStatus",
        "apig:CheckRegularExpressions",
        "apig:ExportCodeFile",
        "apig:ExportWasmFile",
        "apig:GetAiGenerateTaskStatus",
        "apig:GetConsumer",
        "apig:GetConsumerAuthorizationRule",
        "apig:GetHttpApiAttachment",
        "apig:GetHttpApiInstanceByEnvId",
        "apig:GetMcpServer",
        "apig:GetMigrationNamespacedServices",
        "apig:GetMigrationTask",
        "apig:GetPluginAttachment",
        "apig:GetPluginClass",
        "apig:GetPluginWorkspace",
        "apig:GetPolicy",
        "apig:GetPolicyAttachment",
        "apig:GetResourceOverview",
        "apig:GetSecret",
        "apig:GetSecretValue",
        "apig:ListConsumerAuthorizationRules",
        "apig:ListConsumers",
        "apig:ListEvents",
        "apig:ListGatewayErrorAccessLogs",
        "apig:ListGatewayUpgradableVersions",
        "apig:ListGlobalPolicies",
        "apig:ListInstallableGateways",
        "apig:ListLocations",
        "apig:ListMcpServers",
        "apig:ListMigrationTasks",
        "apig:ListPluginAttachments",
        "apig:ListPluginClasses",
        "apig:ListPluginRepositories",
        "apig:ListPluginWorkspace",
        "apig:ListPlugins",
        "apig:ListPolicies",
        "apig:ListPolicyClasses",
        "apig:ListSecretReferences",
        "apig:ListSecrets",
        "apig:ListServiceQuotas",
        "apig:ListSourcesInner2",
        "apig:ListSslCerts",
        "apig:ListSyncMCPServer",
        "apig:ListSyncedMCPServer",
        "apig:ListZones",
        "apig:QueryConsumerAuthorizationRules",
        "apig:QueryTestClusterData",
        "apig:QueryTestDBData"
      ],
      "Resource": "*"
    }
  ]
}

Permite todas las acciones que no admiten autorización a nivel de resource group: Action enumera dichas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apig:BatchDeleteConsumerAuthorizationRule",
        "apig:CancelAiGenerateTask",
        "apig:CheckCommodityStatus",
        "apig:CheckRegularExpressions",
        "apig:CreateAiGenerateWebIde",
        "apig:CreateAndAttachPolicy",
        "apig:CreateConsumer",
        "apig:CreateConsumerAuthorizationRule",
        "apig:CreateConsumerAuthorizationRules",
        "apig:CreateMcpServer",
        "apig:CreateMigrationTask",
        "apig:CreatePluginAttachment",
        "apig:CreatePluginClass",
        "apig:CreatePluginRepository",
        "apig:CreatePluginWorkspace",
        "apig:CreatePolicy",
        "apig:CreatePolicyAttachment",
        "apig:CreateSecret",
        "apig:CreateWebIde",
        "apig:DeleteConsumer",
        "apig:DeleteConsumerAuthorizationRule",
        "apig:DeleteMcpServer",
        "apig:DeleteMigrationTask",
        "apig:DeletePluginAttachment",
        "apig:DeletePluginClass",
        "apig:DeletePolicy",
        "apig:DeletePolicyAttachment",
        "apig:DeleteSecret",
        "apig:DeleteWebIde",
        "apig:DeployDomain",
        "apig:DeployMcpServer",
        "apig:DetachAndDeletePolicy",
        "apig:ExportCodeFile",
        "apig:ExportWasmFile",
        "apig:GetAiGenerateTaskStatus",
        "apig:GetConsumer",
        "apig:GetConsumerAuthorizationRule",
        "apig:GetHttpApiAttachment",
        "apig:GetHttpApiInstanceByEnvId",
        "apig:GetMcpServer",
        "apig:GetMigrationNamespacedServices",
        "apig:GetMigrationTask",
        "apig:GetPluginAttachment",
        "apig:GetPluginClass",
        "apig:GetPluginWorkspace",
        "apig:GetPolicy",
        "apig:GetPolicyAttachment",
        "apig:GetResourceOverview",
        "apig:GetSecret",
        "apig:GetSecretValue",
        "apig:InstallPlugin",
        "apig:InvokeAIAgent",
        "apig:ListConsumerAuthorizationRules",
        "apig:ListConsumers",
        "apig:ListEvents",
        "apig:ListGatewayErrorAccessLogs",
        "apig:ListGatewayUpgradableVersions",
        "apig:ListGlobalPolicies",
        "apig:ListInstallableGateways",
        "apig:ListLocations",
        "apig:ListMcpServers",
        "apig:ListMigrationTasks",
        "apig:ListPluginAttachments",
        "apig:ListPluginClasses",
        "apig:ListPluginRepositories",
        "apig:ListPluginWorkspace",
        "apig:ListPlugins",
        "apig:ListPolicies",
        "apig:ListPolicyClasses",
        "apig:ListSecretReferences",
        "apig:ListSecrets",
        "apig:ListServiceQuotas",
        "apig:ListSourcesInner2",
        "apig:ListSslCerts",
        "apig:ListSyncMCPServer",
        "apig:ListSyncedMCPServer",
        "apig:ListZones",
        "apig:MCPMessaging",
        "apig:MCPSSETransport",
        "apig:ModifyQuotaLimitValue",
        "apig:ModifyServiceQuota",
        "apig:QueryConsumerAuthorizationRules",
        "apig:QueryTestClusterData",
        "apig:QueryTestDBData",
        "apig:RefreshPluginOAuthCode",
        "apig:RemoveConsumerAuthorizationRule",
        "apig:RetryCreateGateway",
        "apig:RunPluginPipeline",
        "apig:SyncMCPServer",
        "apig:SyncMCPServers",
        "apig:UnDeployMcpServer",
        "apig:UninstallPlugin",
        "apig:UpdateAndAttachPolicy",
        "apig:UpdateAuthorizationRule",
        "apig:UpdateConsumer",
        "apig:UpdateConsumerAuthorizationRule",
        "apig:UpdateEnvironment",
        "apig:UpdateMcpServer",
        "apig:UpdateMigrationTask",
        "apig:UpdatePluginAttachment",
        "apig:UpdatePolicy",
        "apig:UpdateSecret",
        "apig:UpdateServiceVersion",
        "apig:UploadCodeFile",
        "apig:VerifyMigrationTask",
        "apig:test"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede operar sobre todos los recursos de dicha cuenta. Otorgue permisos con precaución y respete siempre el principio de privilegio mínimo.

Preguntas frecuentes

Buscar el resource group de un recurso

Método 1: haga clic en el nombre del recurso para abrir su página de detalles y consultar su resource group.
Método 2: inicie sesión en la consola de Resource Management y haga clic en Resource Center > Resource Search. En el panel de navegación izquierdo, seleccione la cuenta propietaria del recurso (el valor predeterminado es current account). Utilice los filtros para encontrar el recurso deseado y consulte su resource group.

Consultar los recursos de un producto en un resource group

Método 1: inicie sesión en la consola de Resource Management y haga clic en Resource Center > Resource Search. En el panel de navegación izquierdo, bajo la cuenta propietaria del recurso (el valor predeterminado es current account), haga clic en el nombre del resource group correspondiente. Luego, en el lado derecho, seleccione un producto en la lista Select resource type. Esto mostrará todos los recursos de ese producto dentro del resource group.
Método 2: inicie sesión en la consola de Resource Management y haga clic en Resource Group > Resource Group. Busque el resource group deseado y haga clic en Resource Management en la columna Actions. En la página Resource Management, seleccione el producto en la lista desplegable Product ubicada en la parte superior para consultar todos los recursos de ese producto dentro del resource group.

Transferir varios recursos a otro resource group

Inicie sesión en la consola de Resource Management y haga clic en Resource Group > Resource Group. En la fila del resource group correspondiente, haga clic en Resource Management en la columna Actions. Use los filtros para localizar los recursos deseados. Seleccione la casilla de verificación de cada recurso y luego haga clic en transfer resource group en la parte inferior. Siga las instrucciones que aparecen en pantalla.