Este tema describe cómo usar Resource Access Management (RAM) para controlar el acceso de las cuentas de Alibaba Cloud a Cloud Storage Gateway (CSG). Para implementar el control de acceso, debe crear usuarios o grupos de RAM y otorgar los permisos necesarios a dichos usuarios o grupos.
Contexto
RAM es un servicio de control de acceso de Alibaba Cloud que permite implementar acceso compartido sin exponer el par de AccessKey de una cuenta de Alibaba Cloud. Puede otorgar a los usuarios los permisos mínimos según sea necesario, lo cual ayuda a mejorar la seguridad de los datos. Para obtener más información, consulte What is RAM
Usuarios de RAM: si varios usuarios de su organización necesitan acceder a sus puertas de enlace, puede crear una política que permita el acceso a usuarios específicos. Esto evita riesgos de fuga derivados de compartir su par de AccessKey y mejora la seguridad de la cuenta.
Grupos de usuarios de RAM: puede crear varios grupos de usuarios y otorgar diferentes permisos a cada uno. Esto le permite gestionar a los usuarios del mismo grupo simultáneamente.
Creación de un usuario de RAM
Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud.
En el panel de navegación izquierdo, seleccione y luego haga clic en Create User.
Configure la información de la cuenta de usuario.
En la sección Access Mode, seleccione Console Access o OpenAPI Access.
Seleccione Reset Custom Password, introduzca una contraseña inicial y seleccione Required at Next Logon.
(Opcional) Habilite un dispositivo de autenticación multifactor (MFA) y luego haga clic en {op}.
-
Guarde el nombre de usuario, la contraseña y el par de AccessKey de la cuenta.
NotaSe recomienda guardar inmediatamente el par de AccessKey y mantenerlo estrictamente confidencial.
Creación de un grupo
Si tiene varios usuarios de RAM en su cuenta de Alibaba Cloud, puede crear grupos de usuarios de RAM para clasificarlos y autorizarlos. Esto simplifica la gestión de usuarios y permisos de RAM.
Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud.
En el panel de navegación izquierdo, seleccione y luego haga clic en Create User Group.
Introduzca un nombre de grupo de usuarios y un nombre para mostrar, y luego haga clic en {op}.
Otorgamiento de permisos al usuario o grupo de RAM
De forma predeterminada, un usuario o grupo de RAM no tiene permisos. Debe usar la consola o llamar a las operaciones de API relacionadas para otorgar permisos al usuario o grupo de RAM antes de usarlos para gestionar recursos. El siguiente ejemplo describe cómo otorgar permisos a un usuario de RAM.
En la página Users, busque el usuario de RAM que desea autorizar y haga clic en Add Permissions en la columna Actions.
-
En la página key , asocie las políticas necesarias al usuario de RAM y luego haga clic en key .
Para acceder a puertas de enlace locales, solo necesita asociar las políticas AliyunHCSSGWFullAccess y AliyunOSSFullAccess al usuario. Para acceder a puertas de enlace desplegadas en Alibaba Cloud, debe asociar las siguientes políticas al usuario de RAM:
AliyunHCSSGWFullAccess: proporciona acceso completo a CSG.
AliyunOSSFullAccess: proporciona acceso completo a Object Storage Service (OSS).
AliyunVPCFullAccess: proporciona acceso completo a Virtual Private Cloud (VPC).
AliyunECSFullAccess: proporciona acceso completo a Elastic Compute Service (ECS).
En la página Add Permissions, establezca Principal en Account Level. En la sección Policies, busque y seleccione las políticas necesarias, y luego haga clic en OK.