Resource Access Management (RAM) le permite crear cuentas de usuario independientes para los miembros de su equipo y otorgar a cada cuenta solo los permisos que necesita. En lugar de compartir el par de AccessKey de su cuenta de Alibaba Cloud, con el riesgo de exponer credenciales, asigne a los usuarios de RAM acceso detallado a recursos de ApsaraMQ for RocketMQ, como instancias, temas y grupos. Solo los usuarios de RAM autorizados pueden gestionar recursos en la consola de ApsaraMQ for RocketMQ, así como publicar y suscribirse a mensajes mediante SDK y operaciones de API.
Ventajas:
Control de acceso basado en roles. Conceda a los desarrolladores permiso para publicar y suscribirse a mensajes, mientras restringe a los operadores a la creación y gestión de recursos.
Facturación centralizada. La actividad de los usuarios de RAM se factura a la cuenta principal de Alibaba Cloud, sin seguimiento de costos por separado.
Revocación instantánea. Quite permisos o elimine un usuario de RAM en cualquier momento.
Requisitos previos
Antes de empezar, compruebe que tiene:
Una cuenta de Alibaba Cloud con ApsaraMQ for RocketMQ activado
Permisos para gestionar usuarios de RAM en la cuenta de Alibaba Cloud
Para obtener contexto sobre RAM, consulte What is RAM?.
Procedimiento
Paso 1: Cree un usuario de RAM
Cree un usuario de RAM para cada miembro del equipo que necesite acceso a ApsaraMQ for RocketMQ.
Para obtener instrucciones detalladas, consulte Create a RAM user.
Paso 2 (opcional): Cree directivas personalizadas
Cree directivas personalizadas para definir permisos detallados para instancias, temas y grupos.
Consulte Create custom policies para obtener instrucciones generales y Custom policies for ApsaraMQ for RocketMQ para ver ejemplos de directivas específicos de este producto.
Paso 3: Adjunte directivas al usuario de RAM
Adjunte directivas personalizadas al usuario de RAM.
Para obtener instrucciones paso a paso, consulte Grant permissions to a RAM user.
Usar credenciales del usuario de RAM
Una vez que cree un usuario de RAM y le asigne permisos, comparta las credenciales con el miembro del equipo. El usuario de RAM puede acceder a ApsaraMQ for RocketMQ mediante la consola o la API.
Iniciar sesión en la consola
Abra la página Inicio de sesión de usuario de RAM.
-
Introduzca el nombre de inicio de sesión del usuario de RAM, haga clic en Next, introduzca la contraseña y, a continuación, haga clic en Login.
NotaEl nombre de inicio de sesión usa el formato
<$username>@<$AccountAlias>
o
<$username>@<$AccountAlias>.onaliyun.com
.
<$AccountAlias>
es el alias de la cuenta. Si no se ha definido ningún alias de cuenta, se usa el ID de la cuenta de Alibaba Cloud en su lugar.
En la consola de Alibaba Cloud, busque ApsaraMQ for RocketMQ en la barra de búsqueda superior para abrir la consola del producto.
Invocar operaciones de API
Incluya el AccessKey ID y el AccessKey secret del usuario de RAM en las solicitudes de API. Para crear un par de AccessKey para el usuario de RAM, consulte Create an AccessKey pair.
Prácticas recomendadas
Aplique el principio de mínimo privilegio. Otorgue solo los permisos mínimos que exige cada tarea. Evite otorgar acceso administrativo completo, a menos que sea necesario.
Use usuarios de RAM independientes por persona. No comparta las credenciales de usuario de RAM entre miembros del equipo. Esto proporciona registros de auditoría precisos y facilita revocar el acceso de una persona específica.