Use resource groups for fine-grained access control - - Centro de documentación de Alibaba Cloud

Resource Group le permite gestionar los recursos de Elastic Block Storage (EBS) como un conjunto. También puede aplicar políticas de Resource Access Management (RAM) que autoricen acciones únicamente sobre los recursos de un grupo específico. De esta manera, aplica el principio de mínimo privilegio (PoLP) en su cuenta de Alibaba Cloud.

Nota

Los permisos se limitan a un resource group solo para supported resource types y acciones. En el caso de unsupported actions, se ignora cualquier ámbito de resource group definido en una política. Por lo tanto, los permisos deben otorgarse a nivel de cuenta.

Cómo funciona

Resource groups organizan sus recursos por proyecto o entorno. Una vez agrupados, asocie una política de RAM a una identidad (como un usuario de RAM, un grupo de usuarios o un rol) para limitar sus permisos exclusivamente a ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece dos ventajas principales:

Control de acceso detallado: en lugar de otorgar permisos en toda la cuenta, limite el acceso de una identidad únicamente a los recursos de un grupo específico. Esto ayuda a aislar las cargas de trabajo de cada proyecto y reduce el riesgo de accesos no deseados.
Gestión simplificada: cuando se agregan nuevos recursos a un resource group, las identidades de RAM con permisos limitados a ese grupo obtienen acceso automáticamente. No es necesario actualizar las políticas de RAM cada vez que se crea un recurso nuevo.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se explica cómo otorgar a un usuario de RAM permiso para acceder únicamente a los recursos de Elastic Block Storage (EBS) dentro de un resource group específico.

1. Requisitos previos

Create a RAM user.
Cree un resource group y asegúrese de que los recursos de destino estén incluidos en él. Si necesita ayuda con este proceso, consulte Create a resource group, Add resources to a resource group automatically y Add resources to a resource group manually.

2. Otorgar permisos

Los permisos a nivel de resource group se otorgan desde la consola de Resource Management o desde la consola de RAM.

Consola de Resource Management

Inicie sesión en la consola de Resource Management.
En la página Resource Group, busque el resource group de destino y haga clic en Manage Permission dentro de la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la entidad de seguridad y la política de acceso.
- Principal: seleccione un usuario de RAM.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en Grant permissions.

Para obtener más información, consulte Grant permissions on resource groups to a RAM identity.

Consola de RAM

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud o con una cuenta de administrador de RAM.
En el panel de navegación izquierdo, vaya a Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Add Permissions dentro de la columna Actions.
En el panel Grant Permission, agregue permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el usuario creado en el paso anterior.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Manage RAM user permissions.

Recursos compatibles

A continuación se muestran los recursos de Elastic Block Storage (EBS) que admiten autorización a nivel de resource group:

Servicio de Alibaba Cloud	Código de servicio	Tipo de recurso
Elastic Block Storage (EBS)	ebs	dedicatedblockstoragecluster : clúster de block storage dedicado
Elastic Block Storage (EBS)	ebs	disk : disco en la nube
Elastic Block Storage (EBS)	ebs	diskreplicagroup : grupo coherente de pares de replicación
Elastic Block Storage (EBS)	ebs	diskreplicapair : par de replicación
Elastic Block Storage (EBS)	ebs	enterprisesnapshotpolicy : política de instantáneas de nivel empresarial
Elastic Block Storage (EBS)	ebs	solutioninstance : instancia de solución

Nota

Si necesita compatibilidad con tipos de recursos que no aparecen en esta lista, envíe sus comentarios mediante la consola de Resource Management.

Acciones no compatibles

Las siguientes acciones de Elastic Block Storage (EBS) no admiten autorización a nivel de resource group:

Acción	Descripción
ebs:ApplyLensService	Cancela el análisis de datos de Elastic Block Storage (CloudLens for EBS).
ebs:BatchCreateDiagnoseReport	-
ebs:CancelLensService	Cancela el análisis de datos de Elastic Block Storage (CloudLens for EBS).
ebs:CreateApp	-
ebs:CreateDiagnoseReport	-
ebs:DeleteApp	-
ebs:DeleteDedicatedBlockStorageCluster	-
ebs:DescribeApps	-
ebs:DescribeDiagnoseReport	-
ebs:DescribeDiskEvents	Consulta los eventos de riesgo de un disco. Esta operación quedará obsoleta pronto; cambie a la nueva operación DescribeEvents.
ebs:DescribeDiskMonitorData	Consulta los datos de monitoreo detallados de un disco.
ebs:DescribeDiskMonitorDataList	Consulta los datos de monitoreo detallados de varios discos. Solo puede consultar los datos de rendimiento burst de los discos ESSD AutoPL. Los datos se agregan por hora.
ebs:DescribeEvents	Consulta los eventos de riesgo de un disco.
ebs:DescribeLensMonitorDisks	Consulta uno o más dispositivos de Elastic Block Storage (EBS) creados por usted.
ebs:DescribeLensServiceStatus	Consulta el estado de CloudLens for EBS.
ebs:DescribeMetricData	Consulta la información de monitoreo de una métrica individual.
ebs:DescribeRegions	Consulta los detalles de las regiones donde se admiten funciones de Elastic Block Storage (EBS), como la replicación asíncrona, CloudLens for EBS y Dedicated Block Storage Cluster.
ebs:DescribeSolution	-
ebs:DescribeSolutionInstanceConfiguration	Consulta las configuraciones predeterminadas de una solución.
ebs:DescribeUserTagKeys	Rol centralizado: consulta las claves de etiqueta (tagKeys) de discos e instantáneas del usuario.
ebs:DescribeUserTagValues	Rol centralizado: consulta los valores de etiqueta (tagValues) de discos e instantáneas del usuario.
ebs:GetReport	Rol centralizado: obtiene el informe de uso del usuario mediante reportId.
ebs:ListAvailableDisksForReplicaPair	-
ebs:ListReplicaEdgeSupported	-
ebs:ListReports	Consulta los informes históricos de una aplicación específica.
ebs:ModifyApp	-
ebs:QueryDedicatedBlockStorageClusterDiskThroughputStatus	Consulta el estado de rendimiento de un disco de clúster de block storage dedicado configurado mediante la API SetDedicatedBlockStorageClusterDiskThroughput.
ebs:QueryDedicatedBlockStorageClusterInventoryData	Consulta los datos de tendencia de capacidad de un clúster dedicado de Elastic Block Storage (EBS) durante un periodo específico, incluida la capacidad disponible y la capacidad total.
ebs:QueryDedicatedBlockStorageClusterLogicalSpaceInventoryData	-
ebs:SetDedicatedBlockStorageClusterDiskThroughput	En un clúster de block storage dedicado de tipo elástico, alcance fácilmente el rendimiento especificado (Bps) para el disco de destino. Solo necesita indicar el ID del disco en la nube y el rendimiento deseado, lo que simplifica el proceso de configuración.

Para estas acciones, debe crear una política personalizada con el ámbito establecido en Account.

Personalice los siguientes ejemplos de políticas según sus necesidades:

Permitir acceso de solo lectura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ebs:DescribeApps",
        "ebs:DescribeDiagnoseReport",
        "ebs:DescribeDiskEvents",
        "ebs:DescribeDiskMonitorData",
        "ebs:DescribeDiskMonitorDataList",
        "ebs:DescribeEvents",
        "ebs:DescribeLensMonitorDisks",
        "ebs:DescribeLensServiceStatus",
        "ebs:DescribeMetricData",
        "ebs:DescribeRegions",
        "ebs:DescribeSolution",
        "ebs:DescribeSolutionInstanceConfiguration",
        "ebs:DescribeUserTagKeys",
        "ebs:DescribeUserTagValues",
        "ebs:GetReport",
        "ebs:ListAvailableDisksForReplicaPair",
        "ebs:ListReplicaEdgeSupported",
        "ebs:ListReports"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acceso completo

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ebs:ApplyLensService",
        "ebs:BatchCreateDiagnoseReport",
        "ebs:CancelLensService",
        "ebs:CreateApp",
        "ebs:CreateDiagnoseReport",
        "ebs:DeleteApp",
        "ebs:DeleteDedicatedBlockStorageCluster",
        "ebs:DescribeApps",
        "ebs:DescribeDiagnoseReport",
        "ebs:DescribeDiskEvents",
        "ebs:DescribeDiskMonitorData",
        "ebs:DescribeDiskMonitorDataList",
        "ebs:DescribeEvents",
        "ebs:DescribeLensMonitorDisks",
        "ebs:DescribeLensServiceStatus",
        "ebs:DescribeMetricData",
        "ebs:DescribeRegions",
        "ebs:DescribeSolution",
        "ebs:DescribeSolutionInstanceConfiguration",
        "ebs:DescribeUserTagKeys",
        "ebs:DescribeUserTagValues",
        "ebs:GetReport",
        "ebs:ListAvailableDisksForReplicaPair",
        "ebs:ListReplicaEdgeSupported",
        "ebs:ListReports",
        "ebs:ModifyApp",
        "ebs:QueryDedicatedBlockStorageClusterDiskThroughputStatus",
        "ebs:QueryDedicatedBlockStorageClusterInventoryData",
        "ebs:QueryDedicatedBlockStorageClusterLogicalSpaceInventoryData",
        "ebs:SetDedicatedBlockStorageClusterDiskThroughput"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Otorgar permisos a nivel de cuenta permite el acceso a todos los recursos relacionados dentro de ella. Aplique siempre el principio de mínimo privilegio (PoLP).

Preguntas frecuentes

¿Cómo identifico el resource group al que pertenece un recurso?

Método 1: desde la consola del servicio
- Vaya a la consola del servicio donde se creó el recurso. En la página de detalles del recurso, el resource group suele aparecer en la sección de información básica.
Método 2: desde la consola de Resource Management
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, seleccione la cuenta propietaria del recurso de destino (el valor predeterminado es Current Account).
- Utilice los filtros para localizar su recurso.
- La columna Resource Group indica a qué grupo pertenece el recurso.

¿Cómo consulto todos los recursos de un resource group específico?

Método 1:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, dentro de la cuenta propietaria de los recursos (el valor predeterminado es Current Account), haga clic en el nombre del resource group deseado.
- En el panel derecho, seleccione el servicio en la nube desde la lista desplegable Select resource types.
- Se mostrarán todos los recursos de ese grupo.
Método 2:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Group > Resource Group.
- Busque el resource group deseado y haga clic en Manage Resource dentro de la columna Actions.
- En la página de gestión de recursos, seleccione el servicio en la nube desde la lista desplegable Service.
- Se mostrarán todos los recursos de ese grupo.

¿Cómo transfiero varios recursos a otro resource group de forma masiva?

Inicie sesión en la consola de Resource Management.
Vaya a Resource Group > Resource Group.
Busque el resource group deseado y haga clic en Manage Resource dentro de la columna Actions.
En la página de gestión de recursos, utilice los filtros para localizar los recursos que desea transferir.
Seleccione la casilla de verificación de cada recurso.
En la parte inferior de la página, haga clic en Transfer.
En el cuadro de diálogo, seleccione el resource group de destino y haga clic en Confirm.