Elastic Container Instance:Use resource groups for fine-grained access control

Funcionamiento

Resource groups organizan sus recursos por proyecto o entorno. Una vez agrupados, puede adjuntar una política de RAM a una identidad (como un usuario de RAM, un grupo de usuarios o un rol) para limitar sus permisos exclusivamente a ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece dos ventajas principales:

• Control de acceso detallado: en lugar de otorgar permisos en toda la cuenta, puede restringir el acceso de una identidad únicamente a los recursos de un grupo específico. Esto ayuda a aislar las cargas de trabajo de cada proyecto y reduce el riesgo de accesos no deseados.

• Gestión simplificada: cuando se agregan nuevos recursos a un resource group, las identidades de RAM con permisos limitados a ese grupo obtienen acceso automáticamente. No necesita actualizar las políticas de RAM cada vez que se crea un recurso nuevo.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se explica cómo otorgar a un usuario de RAM permiso para acceder únicamente a los recursos de Elastic Container Instance dentro de un resource group específico.

Recursos compatibles

A continuación se muestran los recursos de Elastic Container Instance que admiten autorización a nivel de resource group:

Acciones no compatibles

Las siguientes acciones de Elastic Container Instance no admiten autorización a nivel de resource group:

Para estas acciones, debe crear una política personalizada con el alcance establecido en Account.

Adapte los siguientes ejemplos de políticas según sus necesidades:

• Permitir acceso de solo lectura

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "eci:DescribeCommandResult",
          "eci:DescribeContainerGroupPrice",
          "eci:DescribeContainerInstanceStatus",
          "eci:DescribeImageCacheMetrics",
          "eci:DescribeRegions",
          "eci:DescribeUpdateConfigMapTask",
          "eci:DescribeUpdateSecretTask",
          "eci:DescribeVnodeCapacity",
          "eci:ListUsage"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permitir acceso total

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "eci:CreateLaunchTemplate",
          "eci:DeleteContainerGroups",
          "eci:DeleteLaunchTemplate",
          "eci:DescribeCommandResult",
          "eci:DescribeContainerGroupPrice",
          "eci:DescribeContainerInstanceStatus",
          "eci:DescribeImageCacheMetrics",
          "eci:DescribeRegions",
          "eci:DescribeUpdateConfigMapTask",
          "eci:DescribeUpdateSecretTask",
          "eci:DescribeVnodeCapacity",
          "eci:ListUsage",
          "eci:RunCommand",
          "eci:UpdateVirtualNodeStatusEvents",
          "eci:UploadVirtualNodeConfig"
        ],
        "Resource": "*"
      }
    ]
  }
  

Preguntas frecuentes