Use resource groups to manage Auto Scaling for resource isolation and access control - Auto Scaling

Si su cuenta contiene muchos recursos en la nube, como grupos de escalado, puede utilizar resource groups para organizarlos y lograr el aislamiento de recursos junto con un control de acceso detallado.

Contexto

Un resource group permite organizar los recursos en la nube según su propósito, permisos o propiedad, lo que facilita la gestión jerárquica para múltiples usuarios y proyectos. Un recurso en la nube solo puede pertenecer a un resource group, y sus relaciones con otros recursos no se ven afectadas al agregarlo a dicho grupo. Para obtener más información, consulte Resource groups.

Al utilizar resource groups, tenga en cuenta lo siguiente:

Cuando agrega un grupo de escalado a un resource group, sus recursos relacionados (como configuraciones de escalado, reglas de escalado, tareas activadas por eventos y tareas programadas) se agregan automáticamente al mismo resource group.
El resource group de un grupo de escalado es independiente de los resource groups de las instancias que contiene.

Por ejemplo, un grupo de escalado puede pertenecer a un resource group distinto al de las instancias ECS o las instancias de contenedor elástico que escala horizontalmente.
Un resource group puede contener grupos de escalado de diferentes regiones.

Por ejemplo, un resource group puede incluir un grupo de escalado de la región China (Beijing) y otro de la región China (Hangzhou).
Si otorga a un usuario RAM permisos para gestionar todos los recursos de Alibaba Cloud, este podrá ver todos los resource groups bajo la cuenta principal.

Casos de uso

Nota

Antes de usar resource groups para gestionar grupos de escalado, asegúrese de haber creado un usuario RAM. Si aún no lo ha hecho, consulte Create a RAM user.

Los resource groups admiten los siguientes casos de uso para la gestión de grupos de escalado:

Agregue grupos de escalado con distintos propósitos a diferentes resource groups para clasificarlos y gestionarlos. Para obtener más información, consulte Scenario 1: Group scaling groups by purpose.
Asigne administradores separados a cada resource group para gestionar usuarios y permisos dentro del alcance de cada grupo. Para obtener más información, consulte Scenario 2: Scope administrator access to a resource group.

Escenario 1: Agrupar grupos de escalado por propósito

Descripción general

Si los grupos de escalado de producción y de prueba comparten una misma lista, aumenta la probabilidad de errores operativos. Crear resource groups separados para cada entorno permite aislarlos y reducir equivocaciones.

Por ejemplo, una cuenta de Alibaba Cloud tiene dos grupos de escalado: el Grupo de escalado A para el entorno de producción y el Grupo de escalado B para el entorno de pruebas. Usted agrega el Grupo de escalado A al resource group de producción y el Grupo de escalado B al resource group de pruebas. Los requisitos son los siguientes:

En el resource group de pruebas, solo puede ver y gestionar el Grupo de escalado B. Esto evita modificaciones accidentales en el Grupo de escalado A que podrían afectar los servicios en línea cuando se selecciona el alcance All resources.
En el resource group de producción, solo puede ver y gestionar el Grupo de escalado A. Esto previene cambios accidentales en el Grupo de escalado B que podrían impactar el calendario de versiones de producción cuando se selecciona el alcance All resources.

Procedimiento

Cree resource groups para los entornos de pruebas y producción.

Este ejemplo utiliza un resource group de producción llamado ProdResourceGroup y un resource group de pruebas llamado TestResourceGroup. Para obtener más información, consulte Create a resource group.

Después de completar la operación, el estado del resource group será Creating.... Después de aproximadamente 3 segundos, haga clic en . Si el estado cambia a Available, significa que el resource group se creó correctamente.
Cree un grupo de escalado para el entorno de pruebas.

Para garantizar que las instancias ECS de un grupo de escalado pertenezcan al mismo resource group que dicho grupo, utilice los siguientes métodos al crear un grupo de escalado (por ejemplo, TestScalingGroup). El método depende de la opción seleccionada en Instance Configuration Source.
- Si establece Instance Configuration Source en Launch Template, especifique el Resource Group como TestResourceGroup en el paso Advanced configurations (optional) al crear la plantilla de lanzamiento. Para obtener más información, consulte Create a launch template.
- Si establece Instance Configuration Source en Select Existing Instance, especifique el Resource Group como TestResourceGroup en la sección Advanced configurations (optional) al crear la instancia ECS. Para obtener más información, consulte Create an instance by using the wizard.
- Si establece Instance Configuration Source en Create from Scratch, especifique el Resource Group como TestResourceGroup en la sección Advanced Settings al crear la configuración de escalado. Para obtener más información, consulte Create a scaling configuration for ECS instances.
Al configurar los parámetros del grupo de escalado, establezca Resource Group en TestResourceGroup para crear el grupo de escalado del entorno de pruebas. Para obtener más información, consulte Create a scaling group.
Cree un grupo de escalado para el entorno de producción.

Para garantizar que las instancias ECS del grupo de escalado pertenezcan al mismo resource group que dicho grupo, utilice los siguientes métodos al crear un grupo de escalado (por ejemplo, ProdScalingGroup). El método depende de la opción seleccionada en Instance Configuration Source.
- Si establece Instance Configuration Source en Launch Template, especifique el Resource Group como ProdResourceGroup en el paso Advanced configurations (optional) al crear la plantilla de lanzamiento. Para obtener más información, consulte Create a launch template.
- Si establece Instance Configuration Source en Select Existing Instance, especifique el Resource Group como ProdResourceGroup en la sección Advanced configurations (optional) al crear la instancia ECS. Para obtener más información, consulte Create an instance by using the wizard.
- Si establece Instance Configuration Source en Create from Scratch, especifique el Resource Group como ProdResourceGroup en la sección Advanced Settings al crear la configuración de escalado. Para obtener más información, consulte Create a scaling configuration for ECS instances.
Al configurar los parámetros del grupo de escalado, establezca Resource Group en ProdResourceGroup para crear el grupo de escalado del entorno de producción. Para obtener más información, consulte Create a scaling group.

Comprobar el resultado

Inicie sesión en la Auto Scaling console.
En la esquina superior izquierda de la barra de navegación superior, seleccione diferentes resource groups para comprobar la visibilidad de los grupos de escalado y sus instancias.
- Al seleccionar All resources, tanto el grupo de escalado de pruebas (TestScalingGroup) como el de producción (ProdScalingGroup) aparecen en la lista de grupos de escalado. Si los grupos de escalado han escalado horizontalmente nuevas instancias ECS, podrá ver todas las instancias de los resource groups de pruebas (TestResourceGroup) y producción (ProdResourceGroup) en la pestaña Instances.
- Al seleccionar TestResourceGroup, solo aparece el grupo de escalado TestScalingGroup en la lista. Si el grupo de escalado ha escalado horizontalmente nuevas instancias ECS, solo podrá ver las instancias que pertenecen al resource group de pruebas (TestResourceGroup) en la pestaña Instances.
- Al seleccionar ProdResourceGroup, solo aparece el grupo de escalado ProdScalingGroup en la lista. Si el grupo de escalado ha escalado horizontalmente nuevas instancias ECS, solo podrá ver las instancias que pertenecen al resource group de producción (ProdResourceGroup) en la pestaña Instances.

Escenario 2: Gestionar permisos por resource group

Descripción general

Cuando distintos departamentos utilizan grupos de escalado separados, puede otorgar a los administradores de cada departamento permisos limitados a su propio resource group. Esto garantiza que los administradores solo puedan ver y operar recursos dentro de su propio departamento.

Por ejemplo, una empresa utiliza una sola cuenta de Alibaba Cloud y asigna un usuario RAM a cada departamento. Para dos departamentos, Departamento A y Departamento B, el objetivo es asegurar que puedan gestionar sus grupos de escalado de forma independiente sin interferir entre sí. Los requisitos de control de acceso son los siguientes:

Los administradores no pueden crear ni modificar grupos de escalado, ni cambiar configuraciones como reglas de escalado, de otro departamento.
Los administradores no pueden ver los grupos de escalado de otro departamento.

Procedimiento

En RAM, cree una directiva personalizada llamada ApiWithoutResourcePolicy.

Algunas operaciones de la API de Auto Scaling no admiten autenticación basada en resource groups, por lo que debe crear una directiva personalizada para otorgar permisos sobre estas operaciones. Para obtener más información, consulte Create a custom policy.
- Las siguientes operaciones de API no admiten autenticación basada en resource groups:
  - DescribeRegions
  - DescribeLimitation
  - DescribeNotificationTypes
  - ListTagKeys
  - ListTagValues
- Utilice el siguiente contenido para la directiva personalizada ApiWithoutResourcePolicy:
```
{
  "Version": "1",
  "Statement": [
     {
        "Action": [
           "ess:DescribeRegions",
           "ess:DescribeLimitation",
           "ess:DescribeNotificationTypes",
           "ess:ListTagKeys",
           "ess:ListTagValues"
          ],
         "Resource": "*",
         "Effect": "Allow"
       }
    ]
}
```
Cree usuarios RAM para los administradores del Departamento A y del Departamento B, y otórqueles permisos con alcance de Alibaba Cloud account.

Este paso muestra un ejemplo para el administrador del Departamento A. Seleccione el usuario RAM del administrador del Departamento A como Principal. Adjunte la directiva personalizada ApiWithoutResourcePolicy creada en Step 1 y la directiva del sistema AliyunECSFullAccess. Para obtener más información, consulte Grant permissions to a RAM user.
- Otorgue la directiva personalizada al administrador del Departamento A:
  
  En el panel Add permissions, establezca Authorized scope en Alibaba Cloud account, confirme que el principal sea el usuario RAM objetivo, haga clic en la pestaña Custom policy y luego busque y seleccione la directiva ApiWithoutResourcePolicy.
- En la página Add permissions, establezca Authorized scope en Alibaba Cloud account, confirme que el principal sea el usuario RAM objetivo, haga clic en la pestaña System policy y luego busque y seleccione AliyunECSFullAccess (permisos para gestionar Elastic Compute Service).
Cree un resource group llamado DepartmentA para el Departamento A y un resource group llamado DepartmentB para el Departamento B.

Para obtener más información, consulte Create a resource group.
Otorgue al administrador del Departamento A la directiva AliyunESSFullAccess, con alcance limitado al resource group DepartmentA.

Para obtener más información, consulte Grant permissions on a resource group to a RAM identity o Grant permissions to a RAM user.
Repita Step 4 para otorgar al administrador del Departamento B la directiva AliyunESSFullAccess, con alcance limitado al resource group DepartmentB.

Establezca Permission Scope en el resource group específico DepartmentB y seleccione el usuario RAM del administrador del Departamento B como Principal.

Comprobar el resultado

Inicie sesión en la Auto Scaling console.
En la esquina superior izquierda de la barra de navegación superior, seleccione diferentes resource groups e intente crear un grupo de escalado.

Para obtener más información, consulte Create a scaling group.
- Al seleccionar DepartmentA, el administrador del Departamento A puede crear correctamente un grupo de escalado en el resource group DepartmentA.
  
  En la página Scaling Groups, se muestra el grupo de escalado ScalingGroup-A con tipo ECS y estado Enabled.
- Al seleccionar DepartmentB, el administrador del Departamento A no tiene permiso para crear un grupo de escalado en el resource group DepartmentB.
  
  La consola devuelve el código de error Forbidden.Unauthorized. El tipo de directiva es Identity-based policy (resource-group-level) y la decisión de permiso es Implicitly denied.
Compruebe si el administrador del Departamento A puede ver grupos de escalado en diferentes resource groups.

Para obtener más información, consulte View scaling groups.
- El administrador del Departamento A puede ver correctamente los grupos de escalado en el resource group DepartmentA.
  
  La página Scaling Groups muestra ScalingGroup-A con tipo ECS, estado Enabled, un máximo de 1 instancia y ninguna instancia en ejecución.
- Cuando el administrador del Departamento A intenta ver grupos de escalado en el resource group DepartmentB, se deniega el permiso.
  
  Los detalles del error muestran el código de error Forbidden.Unauthorized, acción de autenticación ess:DescribeScalingGroups, tipo de directiva Identity-based policy (resource-group-level) y decisión de permiso Implicitly denied.