Use resource groups for fine-grained access control - Auto Scaling

Puede usar Resource Group para gestionar los recursos de Auto Scaling como un conjunto y aplicar directivas de Resource Access Management (RAM) que autoricen acciones únicamente sobre los recursos de un grupo específico. Esto le permite aplicar el principio de mínimo privilegio (PoLP) en su cuenta de Alibaba Cloud.

Nota

El alcance de los permisos se limita a un resource group solo para supported resource types y acciones. En el caso de unsupported actions, se ignora cualquier alcance de resource group definido en una directiva y los permisos deben otorgarse a nivel de cuenta.

Funcionamiento

Resource groups le permiten organizar sus recursos por proyecto o entorno. Una vez agrupados los recursos, puede adjuntar una directiva de RAM a una identidad (como un usuario de RAM, un grupo de usuarios o un rol) para limitar sus permisos exclusivamente a ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece dos ventajas principales:

Control de acceso detallado: en lugar de otorgar permisos en toda la cuenta, puede restringir el acceso de una identidad únicamente a los recursos de un grupo específico. Esto ayuda a aislar las cargas de trabajo de cada proyecto y reduce el riesgo de accesos no deseados.
Gestión simplificada: cuando se añaden nuevos recursos a un resource group, las identidades de RAM con permisos limitados a ese grupo obtienen acceso automáticamente. No es necesario actualizar las directivas de RAM cada vez que se crea un recurso nuevo.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se explica cómo otorgar a un usuario de RAM permiso para acceder únicamente a los recursos de Auto Scaling dentro de un resource group específico.

1. Requisitos previos

Create a RAM user.
Cree un resource group y asegúrese de que los recursos de destino se encuentren en él. Si necesita ayuda con este proceso, consulte Create a resource group, Add resources to a resource group automatically y Add resources to a resource group manually.

2. Otorgar permisos

Los permisos a nivel de resource group se pueden otorgar desde la consola de Resource Management o desde la consola de RAM.

Consola de Resource Management

Inicie sesión en la consola de Resource Management.
En la página Resource Group, busque el resource group de destino y haga clic en Permission Management en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la entidad de seguridad y la directiva de acceso.
- Principal: seleccione un usuario de RAM.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Grant permissions on resource groups to a RAM identity.

Consola de RAM

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud o una cuenta de administrador de RAM.
En el panel de navegación izquierdo, vaya a Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Attach Policy en la columna Actions.
En el panel Attach Policy, añada permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el usuario de RAM creado en el paso anterior.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Manage RAM user permissions.

Recursos compatibles

A continuación se muestran los recursos de Auto Scaling que admiten autorización a nivel de resource group:

Servicio de Alibaba Cloud	Código de servicio	Tipo de recurso
Auto Scaling	ess	scalinggroup : scaling group

Nota

Si necesita compatibilidad con tipos de recursos que no aparecen en esta lista, envíe sus comentarios mediante la consola de Resource Management.

Acciones no compatibles

Las siguientes acciones de Auto Scaling no admiten autorización a nivel de resource group:

Acción	Descripción
ess:AiChat	-
ess:DeleteDiagnoseReport	DeleteDiagnoseReport
ess:DescribeAlarm	-
ess:DescribeCandidateInstanceType	-
ess:DescribeElasticStrength	Consulta la capacidad de escalado de una configuración de escalado. La tasa de éxito de los eventos de escalado horizontal depende de dicha capacidad. Al revisar este valor, Auto Scaling puede medir su rendimiento y mejorar configuraciones específicas.
ess:DescribeLimitation	Consulta las cuotas de recursos. Por ejemplo, puede llamar a la operación DescribeLimitation para consultar el número máximo de tareas programadas que puede crear en un grupo de escalado, los balanceadores de carga que puede adjuntar, las instancias que puede añadir y las configuraciones de escalado que puede crear.
ess:DescribeNotificationTypes	Consulta los tipos de notificación. Puede llamar a la operación DescribeNotificationTypes para ver los tipos de notificaciones sobre eventos de escalado o cambios de recursos ocurridos en sus grupos de escalado. Estas notificaciones se activan en escenarios como eventos de escalado horizontal exitosos, eventos de reducción exitosos, expiración de tareas programadas y escalados horizontales parcialmente exitosos.
ess:DescribePatternTypes	Consulta los tipos de instancia. Al llamar a la operación DescribePatternTypes, puede especificar atributos como el ID del vSwitch, la cantidad de vCPU, el tamaño de memoria, la familia de instancias y el precio máximo aceptable para filtrar los tipos de instancia que cumplan con sus requisitos de negocio.
ess:DescribeRegions	Comprueba si Auto Scaling está activado. Esta operación garantiza que el sistema ajuste automáticamente el aprovisionamiento de recursos ante cambios en las cargas de trabajo o variaciones en el tráfico entrante. Esta capacidad de escalado automático mejora el rendimiento general del sistema, ya que asegura alta disponibilidad y mayor flexibilidad para atender demandas dinámicas.
ess:DescribeUser	-
ess:ExitStandBy	-
ess:ListTagKeys	Consulta las claves de etiqueta añadidas a los recursos de Auto Scaling. Consultar estas claves facilita la clasificación, identificación y monitoreo de dichos recursos, lo que mejora la flexibilidad y comodidad de sus procesos de gestión de recursos.
ess:ListTagValues	Consulta las claves de etiqueta asociadas a los recursos de Auto Scaling para comprender mejor dichos recursos. De este modo, puede categorizar y gestionar sus recursos de Auto Scaling de forma más eficiente.
ess:RemoveInstances	-
ess:UnTagResources	-

Para estas acciones, debe crear una directiva personalizada con el alcance establecido en Account.

Personalice los siguientes ejemplos de directivas según sus necesidades:

Permitir acceso de solo lectura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ess:DescribeAlarm",
        "ess:DescribeCandidateInstanceType",
        "ess:DescribeElasticStrength",
        "ess:DescribeLimitation",
        "ess:DescribeNotificationTypes",
        "ess:DescribePatternTypes",
        "ess:DescribeRegions",
        "ess:DescribeUser",
        "ess:ListTagKeys",
        "ess:ListTagValues"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acceso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ess:AiChat",
        "ess:DeleteDiagnoseReport",
        "ess:DescribeAlarm",
        "ess:DescribeCandidateInstanceType",
        "ess:DescribeElasticStrength",
        "ess:DescribeLimitation",
        "ess:DescribeNotificationTypes",
        "ess:DescribePatternTypes",
        "ess:DescribeRegions",
        "ess:DescribeUser",
        "ess:ExitStandBy",
        "ess:ListTagKeys",
        "ess:ListTagValues",
        "ess:RemoveInstances",
        "ess:UnTagResources"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Otorgar permisos a nivel de cuenta permite el acceso a todos los recursos relevantes de la misma. Aplique siempre el principio PoLP.

Preguntas frecuentes

¿Cómo puedo saber a qué resource group pertenece un recurso?

Método 1: desde la consola del servicio
- Vaya a la consola del servicio donde se creó el recurso. En la página de detalles del recurso, generalmente encontrará el resource group en la sección de información básica.
Método 2: desde la consola de Resource Management
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, seleccione la cuenta propietaria del recurso de destino (el valor predeterminado es Current Account).
- Use las condiciones de filtro para buscar su recurso.
- La columna Resource Group Name muestra a qué grupo pertenece el recurso.

¿Cómo puedo consultar todos los recursos de un resource group específico?

Método 1:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, bajo la cuenta propietaria de los recursos (el valor predeterminado es Current Account), haga clic en el nombre del resource group deseado.
- En el panel derecho, seleccione el servicio en la nube desde la lista desplegable Select resource types.
- Se mostrarán todos los recursos de ese grupo.
Método 2:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Group > Resource Group.
- Busque el resource group deseado y haga clic en Resource Management en la columna Actions.
- En la página de gestión de recursos, seleccione el servicio en la nube desde la lista desplegable Service.
- Se mostrarán todos los recursos de ese grupo.

¿Cómo puedo mover varios recursos a otro resource group de forma masiva?

Inicie sesión en la consola de Resource Management.
Vaya a Resource Group > Resource Group.
Busque el resource group deseado y haga clic en Resource Management en la columna Actions.
En la página de gestión de recursos, use las condiciones de filtro para buscar los recursos que desea mover.
Seleccione la casilla de verificación de cada recurso.
En la parte inferior de la página, haga clic en Transfer.
En el cuadro de diálogo, seleccione el resource group de destino y haga clic en Confirm.