Identidades y permisos de Alibaba Cloud - The Beginner's Guide - Centro de documentación de Alibaba Cloud

Conozca el modelo de identidades de usuario y permisos que rige el acceso a los recursos de Alibaba Cloud.

Identidades

Alibaba Cloud admite dos tipos de identidades de usuario: las identidades de usuario de entidad y las identidades de usuario virtuales.

Identidades de usuario de entidad

Una identidad de usuario de entidad tiene un ID fijo y credenciales (contraseña de inicio de sesión o par de AccessKey) vinculadas a una persona, empresa o aplicación. Este tipo de identidades incluye las cuentas de Alibaba Cloud y los usuarios de Resource Access Management (RAM). Existen dos formas de acceder a los recursos en la nube:

Inicie sesión en la consola con un nombre de usuario, una contraseña y autenticación multifactor (MFA).
Llame a las API con un par de AccessKey.

Alibaba Cloud accounts and RAM users differ in scope and permissions.

Cuenta de Alibaba Cloud

Funciones

Cuenta con permisos raíz o administrativos sobre el sistema operativo de la nube.
Actúa como la entidad de facturación y tiene control total sobre todos los recursos de su propiedad.

Notas de uso

Evite usar la cuenta de Alibaba Cloud para acceder a los recursos en la nube, salvo que sea necesario.

Práctica recomendada: cree un usuario de RAM con permisos administrativos y utilícelo para crear y gestionar otros usuarios de RAM.

Usuario de RAM

Funciones

Un usuario de RAM debe recibir permisos de la cuenta de Alibaba Cloud o de un administrador de RAM antes de acceder a los recursos.
Un usuario de RAM no es propietario de recursos ni se le puede facturar de manera independiente. La cuenta de Alibaba Cloud principal posee y paga todos los recursos, por lo que el usuario de RAM solo es visible dentro de esa cuenta.

Notas de uso

Cree un usuario de RAM para cada operador o aplicación que necesite acceder a los recursos en la nube.

Nota

Agrupe los usuarios de RAM con responsabilidades compartidas en un grupo de usuarios de RAM y otorgue los permisos al grupo.

Identidades de usuario virtuales

Una identidad de usuario virtual no tiene credenciales fijas. Un rol de RAM es una identidad virtual asumida por una entidad de confianza, la cual recibe un token temporal de Security Token Service (STS) para acceder a los recursos autorizados.

Los roles de RAM son compatibles con los siguientes tipos de entidades de confianza.

Entidad de confianza	Escenario	Referencias
Cuenta de Alibaba Cloud	Acceso entre cuentas y autorización temporal. Solo los usuarios de RAM pertenecientes a la cuenta de Alibaba Cloud de confianza (la actual u otra cuenta) pueden asumir el rol.	Create a RAM role for a trusted Alibaba Cloud account
Servicio de Alibaba Cloud	Acceso a recursos entre servicios. Solo los servicios de Alibaba Cloud de confianza pueden asumir el rol.	Create a RAM role for a trusted Alibaba Cloud service
Proveedor de identidades	Integración de SSO. Solo los usuarios del proveedor de identidades de confianza pueden asumir el rol.	Create a RAM role for a trusted identity provider

Permisos

Un permiso define si se permite o se deniega la ejecución de operaciones sobre recursos específicos bajo ciertas condiciones.

Permisos de las identidades de usuario de entidad

Identidad de usuario de entidad

Permiso predeterminado

Requiere autorización

Detalles de autorización

Cuenta de Alibaba Cloud

Tiene todos los permisos sobre sus recursos.

Una cuenta de Alibaba Cloud tiene control total sobre sus recursos.
La cuenta de Alibaba Cloud debe otorgar permisos a cualquier otro usuario para que acceda a sus recursos en la nube.

Usuario de RAM

Sin permisos

Sí. No cuenta con permisos hasta que se le otorgan de forma explícita.

Otorgue permisos mediante la vinculación de directivas de acceso a las identidades en RAM. Una directiva de acceso define los recursos autorizados, las acciones permitidas y las condiciones.

RAM admite dos tipos de directivas de acceso:

Directivas del sistema: predefinidas por Alibaba Cloud. Se pueden utilizar, pero no modificar.
Directivas personalizadas: usted las crea, actualiza y mantiene.

Vincule una directiva de acceso a un usuario de RAM o a un grupo de usuarios de RAM para otorgar permisos. Manage permissions for a RAM user. Grant permissions to a RAM user group.

Permisos de las identidades de usuario virtuales

Un rol de RAM no tiene permisos de forma predeterminada.

Después de especificar una entidad de confianza, vincule una directiva de acceso para que el rol pueda acceder a los recursos desde la consola y la API.

Vincule una directiva de acceso a un rol de RAM para otorgarle permisos. Manage permissions for a RAM role.

Referencias

Servicios de Alibaba Cloud compatibles con RAM y sus directivas del sistema: Alibaba Cloud services that support RAM.
Elementos, sintaxis y estructura de las directivas de acceso: Basic elements of a RAM policy y Policy structure and syntax.