Otorgar permisos a un usuario de RAM - Elastic Container Instance - Centro de documentación de Alibaba Cloud

Los usuarios de RAM creados en una cuenta de Alibaba Cloud no tienen permisos de forma predeterminada. Para que un usuario de RAM gestione recursos de Elastic Container Instance (ECI), asigne una directiva de permisos al usuario.

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

Un usuario de RAM. Consulte Create a RAM user

Directivas disponibles

Existen dos directivas del sistema que cubren los recursos de ECI. Use la siguiente tabla para elegir la más adecuada.

Directiva	Nivel de acceso	Permisos incluidos
AliyunECIReadOnlyAccess	Solo lectura	`eci:Describe`, `eci:List` — consultar recursos de ECI `ecs:DescribeSecurityGroups` — consultar grupos de seguridad `vpc:DescribeVSwitches` — consultar vSwitches `vpc:DescribeVpcs` — consultar redes privadas virtuales (VPC)
AliyunECIFullAccess	Gestión completa	`eci:*` — todas las operaciones de ECI `ecs:DescribeSecurityGroups` — consultar grupos de seguridad `vpc:DescribeVSwitches` — consultar vSwitches `vpc:DescribeVpcs` — consultar VPC `vpc:DescribeEipAddresses` — consultar direcciones IP elásticas (EIP)

Si el usuario de RAM necesita trabajar en la consola de ECI, asigne AliyunECIFullAccess junto con una directiva personalizada que otorgue los siguientes permisos adicionales:

Acción	Propósito
`ram:ListRoles`	Consultar roles de RAM de las instancias
`nas:DescribeFileSystems`	Consultar sistemas de archivos NAS (almacenamiento conectado a la red)
`oss:ListBuckets`	Consultar buckets de Object Storage Service (OSS)
`vpc:DescribeCommonBandwidthPackages`	Consultar paquetes de ancho de banda de EIP
`cr:GetRepoList`, `cr:GetRepoTags`, `cr:GetImageManifest`, `cr:SearchRepo`	Consultar y buscar repositorios de imágenes

Otorgar permisos

Paso 1: Cree la directiva personalizada (solo para acceso a la consola)

Omita este paso si el usuario de RAM solo requiere acceso mediante API.

Inicie sesión en la RAM console con su cuenta de Alibaba Cloud.
En el panel de navegación izquierdo, seleccione Permissions > Policies.
Haga clic en Create Policy.

Haga clic en la pestaña JSON, pegue la siguiente directiva y haga clic en OK.

{
    "Statement": [
        {
            "Action": "ram:ListRoles",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "nas:DescribeFileSystems",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "oss:ListBuckets",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": "vpc:DescribeCommonBandwidthPackages",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "cr:GetRepoList",
                "cr:GetRepoTags",
                "cr:GetImageManifest",
                "cr:SearchRepo"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "1"
}

Introduzca un nombre en el campo Name y haga clic en OK.

Paso 2: Asignar directivas al usuario de RAM

En el panel de navegación izquierdo, seleccione Identities > Users.
Localice al usuario de RAM y haga clic en Add Permissions en la columna Actions.

Configure los siguientes parámetros.

Parámetro	Descripción
Resource Scope	Account: los permisos se aplican a la cuenta actual de Alibaba Cloud.ResourceGroup: los permisos se aplican a un resource group específico.
Principal	El usuario de RAM al que se le otorgarán los permisos. Se rellena automáticamente según su selección; puede modificarlo.
Policy	Seleccione según el nivel de acceso necesario:- Solo consultar recursos de ECI → AliyunECIReadOnlyAccess- Gestionar recursos de ECI mediante API → AliyunECIFullAccess- Gestionar recursos de ECI desde la consola de ECI → AliyunECIFullAccess + la directiva personalizada del Paso 1

Haga clic en Grant permissions y siga las instrucciones en pantalla.

Pasos siguientes

Para gestionar los permisos de ECI con mayor granularidad, use resource groups o etiquetas para controlar el acceso de cada usuario de RAM: