Los security groups administrados protegen los recursos compartidos en la nube contra errores operativos que podrían provocar fallas o riesgos de seguridad.
Contexto
Un security group administrado es un security group creado en modo administrado para resolver problemas de control de permisos en servicios en la nube como Network Load Balancer (NLB), Secure Access Service Edge (SASE) y API Gateway. Los sistemas de los servicios en la nube gestionan estos security groups. Puede consultarlos, pero no ejecutar operaciones sobre ellos.
Los servicios en la nube usan STS para asumir los roles de RAM de su cuenta y crear los security groups administrados. Consulte What is Security Token Service (STS)?
En la consola, puede consultar los security groups administrados, pero no modificarlos.
Para los security groups administrados solo se admiten las operaciones de API de consulta. Las demás operaciones de API devuelven el código de error
InvalidOperation.ResourceManagedByCloudProduct. Consulte Permissions on API operations related to managed security groups.
Para identificar un security group administrado, llame a DescribeSecurityGroups y compruebe si ServiceManaged es True, o bien verifique si la consola muestra You cannot modify security groups managed by cloud services.
Ciclo de vida de los security groups administrados
Los security groups administrados están vinculados al ciclo de vida de las instancias del servicio en la nube que los crean.
Creación automática: cuando crea una instancia de un servicio en la nube (como una instancia de NLB o de API Gateway), el sistema crea automáticamente un security group administrado en la VPC asociada a dicha instancia.
Restricción de eliminación: no es posible eliminar directamente un security group administrado. Si llama a la operación de API DeleteSecurityGroup sobre uno de estos security groups, se devuelve el código de error
InvalidOperation.ResourceManagedByCloudProduct.Limpieza automática: después de liberar la instancia del servicio en la nube que creó originalmente el security group administrado, el sistema lo limpia automáticamente.
Eliminación de VPC: si desea eliminar una VPC que contiene un security group administrado, primero debe liberar la instancia del servicio en la nube que lo creó y esperar a que el sistema lo limpie automáticamente. Una vez completada la limpieza, podrá eliminar la VPC.
Permisos de las operaciones de API
A continuación se presenta una tabla donde × indica que la operación no es compatible y √ que sí lo es.
Operación de API | Descripción | Cuenta de Alibaba Cloud | Sistema del servicio en la nube |
| × | √ | |
| × | √ | |
Elimina una regla de entrada de un security group. | × | √ | |
Elimina una regla de salida de un security group. | × | √ | |
Agrega un recurso a un security group. | × | √ | |
Quita un recurso de un security group. | × | √ | |
Elimina un security group. | × | √ | |
Modifica un security group. | × | √ | |
Modifica una regla de entrada de un security group. | × | √ | |
Modifica una regla de salida de un security group. | × | √ | |
Modifica la política interna de control de acceso de un security group básico. | × | √ | |
Consulta las reglas de un security group. | √ | √ | |
Consulta security groups. | √ | √ | |
Consulta los security groups a los que hacen referencia las reglas de otros security groups. | √ | √ | |
Crea una ENI. | × | √ | |
Modifica una ENI. | × | √ | |
Crea varias instancias por lotes. | × | √ | |
Crea una instancia. | × | √ | |
Modifica la pertenencia de una instancia a un security group. | × | √ |