Autorización de RAM - ApsaraMQ for RocketMQ - Centro de documentación de Alibaba Cloud

Resource Access Management (RAM) es un servicio de Alibaba Cloud diseñado para gestionar identidades de usuarios y permisos de acceso a recursos. El uso de RAM le permite evitar compartir las claves de su cuenta de Alibaba Cloud con otros usuarios y otorgarles únicamente los privilegios mínimos necesarios. Las autorizaciones en RAM se definen mediante directivas de permisos. Este tema describe la estructura general de una directiva de RAM, así como los elementos de declaración de directiva (Action, Resource y Condition) definidos por ApsaraMQ para las directivas de permisos de RAM. El código RAM (RamCode) correspondiente a ApsaraMQ es mq , y la granularidad de autorización compatible es RESOURCE .

Estructura general de una directiva

Las directivas de permisos admiten el formato JSON con la siguiente estructura general:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A continuación, se describen los campos de la directiva:

Version: Especifica el número de versión de la directiva. Su valor fijo es 1.
Statement:
- Effect: Determina el resultado de la autorización. Valores válidos: Allow y Deny.
- Action: Define una o más operaciones permitidas o denegadas.
- Resource: Indica los objetos específicos afectados por las operaciones. Puede utilizar nombres de recursos de Alibaba Cloud (ARN) para describir recursos concretos.
- Condition: Establece las condiciones necesarias para que la autorización surta efecto. Este campo es opcional.
  - Operador de condición: Define los operadores condicionales. Cada tipo de condición admite distintos operadores.
  - Condition_key: Especifica las claves de condición.
  - Condition_value: Define los valores de condición.

Action

La siguiente tabla enumera las acciones definidas por ApsaraMQ. A continuación, se detallan las columnas de la tabla:

Action: Estas acciones pueden utilizarse en el elemento Action de las declaraciones de directivas de permisos de RAM para otorgar permisos de ejecución de la operación.
API: La API que puede invocar para ejecutar la acción.
Nivel de acceso: Nivel de acceso predefinido otorgado para cada API. Valores válidos: create, list, get, update y delete.
Tipo de recurso: Tipo de recurso compatible con la autorización para ejecutar la acción. Indica si la acción admite permisos a nivel de recurso. El recurso especificado debe ser compatible con la acción; de lo contrario, la directiva no tendrá efecto.
- Para las API con permisos a nivel de recurso, los tipos de recurso obligatorios se marcan con un asterisco (*). Especifique el ARN correspondiente en el elemento Resource de la directiva.
- En el caso de las API sin permisos a nivel de recurso, se muestra como All Resources. Utilice un asterisco (*) en el elemento Resource de la directiva.
Clave de condición: Claves de condición definidas por el servicio. Esta clave permite un control granular y se aplica tanto a acciones individuales como a acciones asociadas con recursos específicos. Además de las claves específicas del servicio, Alibaba Cloud proporciona un conjunto de claves de condición comunes aplicables a todos los servicios integrados con RAM. Para obtener más información, consulte Claves de condición comunes.
Acción dependiente: Acciones dependientes necesarias para ejecutar la acción principal. Para completar la operación, el usuario de RAM o el rol de RAM debe contar con los permisos para ejecutar todas las acciones dependientes.

Action	API	Nivel de acceso	Tipo de recurso	Clave de condición	Acción dependiente
mq:UpdateGroupConsumer	OnsGroupConsumerUpdate		Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryTrendTopicInputTps	OnsTrendTopicInputTps	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryInstanceBaseInfo	OnsInstanceBaseInfo	get	*Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	Ninguna
mq:QueryGroupSubDetail	OnsGroupSubDetail	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:CreateGroup	OnsGroupCreate	create	*Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryMessage	OnsMessageGetByKey	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:ListTopic	OnsTopicList	list	Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	mq:QueryInstanceBaseInfo
mq:ResetConsumerOffset	OnsConsumerResetOffset	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:UpdateInstance	OnsInstanceUpdate		*Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	mq:QueryInstanceBaseInfo
mq:UntagResources	UntagResources	get	All Resource ``	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryInstanceBaseInfo	OnsInstanceInServiceList	list	Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	Ninguna
mq:QueryTrace	OnsTraceQueryByMsgId	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:SUB	OnsMessagePush	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:DeleteGroup	OnsGroupDelete	delete	Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryMessage	OnsMessageGetByMsgId	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:GetTraceResult	OnsTraceGetResult	get	Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}`	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryConsumerConnection	OnsConsumerGetConnection	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryDLQMessage	OnsDLQMessagePageQueryByGroupId	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:ListGroup	OnsGroupList	list	Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryTrendGroupOutputTps	OnsTrendGroupOutputTps	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryConsumerStatus	OnsConsumerStatus	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:ResendDLQMessage	OnsDLQMessageResendById	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:ListTagResources	ListTagResources	get	All Resource ``	Ninguna	mq:QueryInstanceBaseInfo
mq:TagResources	TagResources	update	All Resource ``	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryMessage	OnsMessagePageQueryByTopic	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryConsumerAccumulate	OnsConsumerAccumulate	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryConsumerTimeSpan	OnsConsumerTimeSpan	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryMessageDetail	OnsMessageDetail	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:CreateTopic	OnsTopicCreate		Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:QueryInstanceBaseInfo
mq:QueryMessageTrace	OnsMessageTrace	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:DeleteInstance	OnsInstanceDelete		*Instance `acs:mq:{#regionId}:{#accountId}:{#InstanceId}`	Ninguna	mq:QueryInstanceBaseInfo
mq:DeleteTopic	OnsTopicDelete		Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryTopicSubDetail	OnsTopicSubDetail	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:UpdateTopic	OnsTopicUpdate		Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryTrace	OnsTraceQueryByMsgKey	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:QueryDLQMessage	OnsDLQMessageGetById	get	Group `acs:mq:{#regionId}:{#accountId}:{#GroupName}` Group `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName}`	Ninguna	mq:OnsInstanceBaseInfo
mq:CreateInstance	OnsInstanceCreate	create	All Resource ``	Ninguna	Ninguna
mq:QueryTopicStatus	OnsTopicStatus	get	Topic `acs:mq:{#regionId}:{#accountId}:{#TopicName}` Topic `acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}`	Ninguna	mq:OnsInstanceBaseInfo

Resource

La siguiente tabla enumera los recursos definidos por ApsaraMQ. Especifíquelos en el elemento Resource de las declaraciones de directivas de RAM para otorgar permisos sobre operaciones específicas. Se identifican de forma única mediante ARN. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: Acrónimo de Alibaba Cloud service, que indica la nube pública de Alibaba Cloud.
{#ramcode}: Código utilizado en RAM para identificar un servicio de Alibaba Cloud.
{#regionId}: El ID de región. Si el recurso abarca todas las regiones, establézcalo como un asterisco (*).
{#accountId}: ID de la cuenta de Alibaba Cloud. Si el recurso abarca todas las cuentas de Alibaba Cloud, establézcalo como un asterisco (*).
{#resourceType}: Identificador de recurso definido por el servicio. Admite una estructura jerárquica similar a una ruta de archivo. Si la declaración abarca recursos globales, establézcalo como un asterisco (*).

Tipo de recurso	ARN
Group	acs:mq:{#regionId}:{#accountId}:{#GroupName} acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#GroupName} acs:mq:{#regionId}:{#accountId}:{#InstanceId}
Topic	acs:mq:{#regionId}:{#accountId}:{#TopicName} acs:mq:{#regionId}:{#accountId}:{#InstanceId}%{#TopicName}
Instance	acs:mq:{#regionId}:{#accountId}:{#InstanceId} acs:mq:{#regionId}:{#accountId}:*

Condition

ApsaraMQ no define claves de condición a nivel de producto. No obstante, puede utilizar las claves de condición comunes de Alibaba Cloud para el control de acceso. Para obtener más información, consulte Claves de condición comunes.

¿Cómo crear directivas de RAM personalizadas?

Puede crear directivas personalizadas y asignarlas a usuarios de RAM, grupos de usuarios de RAM o roles de RAM. Para consultar las instrucciones, revise: