Autorización de RAM - Application Real-Time Monitoring Service - Centro de documentación de Alibaba Cloud

Resource Access Management (RAM) es un servicio de Alibaba Cloud diseñado para gestionar identidades de usuarios y permisos de acceso a recursos. El uso de RAM le permite evitar compartir las claves de su cuenta de Alibaba Cloud con otros usuarios y otorgarles únicamente los privilegios mínimos necesarios. Las autorizaciones en RAM se definen mediante directivas de permisos. Este tema describe la estructura general de una directiva de RAM, así como los elementos de declaración de directiva (Action, Resource y Condition) definidos por Application Real-Time Monitoring Service para las directivas de permisos de RAM. El código RAM (RamCode) correspondiente a Application Real-Time Monitoring Service es arms,xtrace , y la granularidad de autorización compatible es RESOURCE .

Estructura general de una directiva

Las directivas de permisos admiten el formato JSON con la siguiente estructura general:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A continuación, se describen los campos de la directiva:

Version: Especifica el número de versión de la directiva. Su valor fijo es 1.
Statement:
- Effect: Determina el resultado de la autorización. Valores válidos: Allow y Deny.
- Action: Define una o más operaciones permitidas o denegadas.
- Resource: Indica los objetos específicos afectados por las operaciones. Puede utilizar nombres de recursos de Alibaba Cloud (ARN) para describir recursos concretos.
- Condition: Establece las condiciones necesarias para que la autorización surta efecto. Este campo es opcional.
  - Operador de condición: Define los operadores condicionales. Cada tipo de condición admite distintos operadores.
  - Condition_key: Especifica las claves de condición.
  - Condition_value: Define los valores de condición.

Action

La siguiente tabla enumera las acciones definidas por Application Real-Time Monitoring Service. A continuación, se detallan las columnas de la tabla:

Action: Estas acciones pueden utilizarse en el elemento Action de las declaraciones de directivas de permisos de RAM para otorgar permisos de ejecución de la operación.
API: La API que puede invocar para ejecutar la acción.
Nivel de acceso: Nivel de acceso predefinido otorgado para cada API. Valores válidos: create, list, get, update y delete.
Tipo de recurso: Tipo de recurso compatible con la autorización para ejecutar la acción. Indica si la acción admite permisos a nivel de recurso. El recurso especificado debe ser compatible con la acción; de lo contrario, la directiva no tendrá efecto.
- Para las API con permisos a nivel de recurso, los tipos de recurso obligatorios se marcan con un asterisco (*). Especifique el ARN correspondiente en el elemento Resource de la directiva.
- En el caso de las API sin permisos a nivel de recurso, se muestra como All Resources. Utilice un asterisco (*) en el elemento Resource de la directiva.
Clave de condición: Claves de condición definidas por el servicio. Esta clave permite un control granular y se aplica tanto a acciones individuales como a acciones asociadas con recursos específicos. Además de las claves específicas del servicio, Alibaba Cloud proporciona un conjunto de claves de condición comunes aplicables a todos los servicios integrados con RAM. Para obtener más información, consulte Claves de condición comunes.
Acción dependiente: Acciones dependientes necesarias para ejecutar la acción principal. Para completar la operación, el usuario de RAM o el rol de RAM debe contar con los permisos para ejecutar todas las acciones dependientes.

Action	API	Nivel de acceso	Tipo de recurso	Clave de condición	Acción dependiente
arms:GetAgentDownloadUrl	GetAgentDownloadUrlV2	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetAppJVMConfig	GetAppJVMConfig	none	Todos los recursos. ``	Ninguna	Ninguna
arms:SaveTraceAppConfig	SaveTraceAppConfig	none	*TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:CheckCommercialStatus	CheckCommercialStatus	none	Todos los recursos. ``	Ninguna	Ninguna
arms:SearchTraceAppByName	SearchTraceAppByName	get	*TraceApp. `acs:arms:{#regionId}:{#AccountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:DeleteTraceApp	DeleteTraceApp	none	*TraceApp. `acs:arms:{#regionId}:{#AccountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:ConfigApp	ConfigApp	none	Todos los recursos. ``	Ninguna	Ninguna
arms:QueryCommercialUsage	QueryCommercialUsage	get	Todos los recursos. ``	Ninguna	Ninguna
arms:QueryReleaseMetric	QueryReleaseMetric	none	Todos los recursos. ``	Ninguna	Ninguna
arms:QueryMetricByPage	QueryMetricByPage	get	Todos los recursos. ``	Ninguna	Ninguna
arms:DescribeTraceLicenseKey	DescribeTraceLicenseKey	get	Todos los recursos. ``	Ninguna	Ninguna
arms:OpenArmsDefaultSLR	OpenArmsDefaultSLR	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetAgentDownloadUrl	GetAgentDownloadUrl	none	Todos los recursos. ``	Ninguna	Ninguna
arms:ChangeResourceGroup	ChangeResourceGroup	update	Prometheus. `acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId}` RetcodeApp. `acs:arms:{#regionId}:{#accountId}:retcodeapp/{#Pid}` TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}` Entorno. `acs:arms:{#regionId}:{#accountId}:environment/{#EnvironmentId}` Espacio de trabajo de Grafana. `acs:arms:{#regionId}:{#accountId}:grafanaworkspace/{#GrafanaWorkspaceId}` XTraceApp. `acs:arms:{#regionId}:{#accountId}:xtraceapp/{#Pid}`	Ninguna	Ninguna
arms:QueryTopology	QueryAppTopology	get	Todos los recursos. ``	Ninguna	Ninguna
arms:OpenXtraceDefaultSLR	OpenXtraceDefaultSLR	none	Todos los recursos. ``	Ninguna	Ninguna
arms:DoInsightsAction	DoInsightsAction	get	Todos los recursos. ``	Ninguna	Ninguna
arms:GetAppApiPageInfo	GetAppApiByPage	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetTraceAppConfig	GetTraceAppConfig	get	*TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:DeleteAppList	DeleteAppList	none	*TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:SearchTraces	SearchTraces	none	Todos los recursos. ``	Ninguna	Ninguna
arms:ListTraceApps	ListTraceApps	none	Todos los recursos. ``	Ninguna	Ninguna
arms:SearchTracesByPage	SearchTracesByPage	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetAlert	ListInsightsEvents	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetTrace	GetTrace	none	Todos los recursos. ``	Ninguna	Ninguna
arms:TagResources	TagResources	update	Prometheus. `acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId}` RetcodeApp. `acs:arms:{#regionId}:{#accountId}:retcodeapp/{#Pid}` TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}` Entorno. `acs:arms:{#regionId}:{#accountId}:environment/{#EnvironmentId}` *Espacio de trabajo de Grafana. `acs:arms:{#regionId}:{#accountId}:grafanaworkspace/{#GrafanaWorkspaceId}`	Ninguna	Ninguna
arms:OpenArmsService	OpenArmsServiceSecondVersion	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetTraceApp	GetTraceApp	none	*TraceApp. `acs:arms:{#regionId}:{#AccountId}:traceapp/{#Pid}`	Ninguna	Ninguna
arms:UntagResources	UntagResources	update	Prometheus. `acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId}` RetcodeApp. `acs:arms:{#regionId}:{#accountId}:retcodeapp/{#Pid}` TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid}` Entorno. `acs:arms:{#regionId}:{#accountId}:environment/{#EnvironmentId}` *Espacio de trabajo de Grafana. `acs:arms:{#regionId}:{#accountId}:grafanaworkspace/{#GrafanaWorkspaceId}`	Ninguna	Ninguna
arms:GetCommercialStatus	GetCommercialStatus	none	Todos los recursos. ``	Ninguna	Ninguna
arms:QueryAppMetadata	QueryAppMetadata	get	Todos los recursos. ``	Ninguna	Ninguna
arms:GetStack	GetStack	none	Todos los recursos. ``	Ninguna	Ninguna
arms:GetMultipleTrace	GetMultipleTrace	none	Todos los recursos. ``	Ninguna	Ninguna
arms:SearchTraceAppByPage	SearchTraceAppByPage	none	TraceApp. `acs:arms:{#regionId}:{#accountId}:traceapp/`	Ninguna	Ninguna

Resource

La siguiente tabla enumera los recursos definidos por Application Real-Time Monitoring Service. Especifíquelos en el elemento Resource de las declaraciones de directivas de RAM para otorgar permisos sobre operaciones específicas. Se identifican de forma única mediante ARN. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: Acrónimo de Alibaba Cloud service, que indica la nube pública de Alibaba Cloud.
{#ramcode}: Código utilizado en RAM para identificar un servicio de Alibaba Cloud.
{#regionId}: El ID de región. Si el recurso abarca todas las regiones, establézcalo como un asterisco (*).
{#accountId}: ID de la cuenta de Alibaba Cloud. Si el recurso abarca todas las cuentas de Alibaba Cloud, establézcalo como un asterisco (*).
{#resourceType}: Identificador de recurso definido por el servicio. Admite una estructura jerárquica similar a una ruta de archivo. Si la declaración abarca recursos globales, establézcalo como un asterisco (*).

Tipo de recurso	ARN
Entorno.	acs:arms:{#regionId}:{#accountId}:environment/{#environmentId} acs:arms:{#regionId}:{#accountId}:environment/*
Regla de alerta.	acs:arms:{#regionId}:{#AccountId}:alertrule/{#AlertRuled} acs:arms:{#regionId}:{#accountId}:AlertRule/{#AlertRuled} acs:arms:{#regionId}:{#AccountId}:AlertRule/*
Prometheus.	acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId} acs:arms:{#regionId}:{#accountId}:Prometheus/{#ClusterId} acs:arms:{#regionId}:{#accountId}:prometheus/*
TraceApp.	acs:arms:{#regionId}:{#accountId}:traceapp/{#Pid} acs:arms:{#regionId}:{#accountId}:traceapp/*
Monitoreo de Prometheus.	acs:arms:{#regionId}:{#accountId}:prometheus/{#clusterId}/monitoring/{#type}/{#monitoringName}/* acs:arms:{#regionId}:{#accountId}:prometheus/{#clusterId}/monitoring/* acs:arms:{#regionId}:{#accountId}:prometheus/{#clusterId}/monitoring/{#type}/* acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId} acs:arms:{#regionId}:{#accountId}:prometheus/{#clusterId}/monitoring/{#type}/{#monitoringName}
Regla de alerta de Prometheus.	acs:arms:{#regionId}:${AccountId}:prometheus/${ClusterId}/prometheusalertrule/* acs:arms:{#regionId}:{#accountId}:prometheusalertrule/{#ClusterId}/{#PrometheusAlertRuleId} acs:arms:${Region}:${AccountId}:prometheus/${ClusterId}/prometheusalertrule/* acs:arms:${Region}:${AccountId}:prometheus/${ClusterId}/prometheusalertrule/${PrometheusAlertRuleId}
Espacio de trabajo de Grafana.	acs:arms:{#regionId}:{#AccountId}:grafanaworkspace/* acs:arms:{#regionId}:{#accountId}:grafanaworkspace/{#GrafanaWorkspaceId}
Tarea sintética.	acs:arms:{#regionId}:{#accountId}:synthetictask/* acs:arms:{#regionId}:{#accountId}:synthetictask/{#TaskId}
IntegrationExporter.	acs:arms:{#regionId}:{#accountId}:prometheus/{#ClusterId}
RetcodeApp.	acs:arms:{#regionId}:{#accountId}:retcodeapp/* acs:arms:{#regionId}:{#accountId}:retcodeapp/{#Pid} acs:arms:{#regionId}:{#accountId}:retcodeapp/{#RetcodeAppId}
XTraceApp.	acs:arms:{#regionId}:{#accountId}:xtraceapp/{#Pid}
Rum.	acs:arms:{#regionId}:{#accountId}:rum/*

Condition

Application Real-Time Monitoring Service no define claves de condición a nivel de producto. No obstante, puede utilizar las claves de condición comunes de Alibaba Cloud para el control de acceso. Para obtener más información, consulte Claves de condición comunes.

¿Cómo crear directivas de RAM personalizadas?

Puede crear directivas personalizadas y asignarlas a usuarios de RAM, grupos de usuarios de RAM o roles de RAM. Para consultar las instrucciones, revise: