EventBridge:Delegación de acceso entre cuentas de Alibaba Cloud

Contexto

La Empresa A utiliza el servicio EventBridge y desea delegar algunas tareas en la Empresa B.

Requisitos:

• La Empresa A desea conservar la propiedad de los recursos y, al mismo tiempo, delegar tareas como la publicación de eventos en la Empresa B.

• La Empresa A quiere evitar modificar los permisos cada vez que un empleado ingrese o salga de la Empresa B. La Empresa B debe poder gestionar el acceso de sus propios usuarios de RAM (empleados o aplicaciones) y definir permisos detallados para los recursos de la Empresa A.

• La Empresa A debe tener la capacidad de revocar el acceso de la Empresa B en cualquier momento; por ejemplo, si finaliza su contrato.

Procedimiento

1. Inicie sesión en la consola de RAM con la cuenta de Alibaba Cloud de la Empresa A y cree un rol de RAM para la cuenta de Alibaba Cloud de la Empresa B.

   Para obtener más información, consulte Create a RAM role for a trusted Alibaba Cloud account.

2. Opcional:Cree una directiva personalizada para el rol de RAM.

   Para obtener más información, consulte Create a custom policy.

   EventBridge admite permisos a nivel de recurso. Para obtener más información, consulte Policies and examples.

3. Un nuevo rol de RAM no tiene permisos asignados. La Empresa A debe otorgarle permisos mediante la vinculación de una directiva del sistema o una directiva personalizada.

   Para obtener más información, consulte Manage permissions for a RAM role.

4. Utilice la cuenta de Alibaba Cloud de la Empresa B para iniciar sesión en la consola de RAM y crear un usuario de RAM.

   Para obtener más información, consulte Create a RAM user.

5. Otorgue la directiva AliyunSTSAssumeRoleAccess al usuario de RAM de la Empresa B.

   Para obtener más información, consulte Grant permissions to a RAM user.

   La Empresa B debe conceder el permiso AliyunSTSAssumeRoleAccess a su usuario de RAM. Esto permite que el usuario de RAM asuma el rol de RAM creado por la Empresa A.

6. El usuario de RAM de la Empresa B ahora puede acceder a los recursos de la Empresa A a través de la consola o mediante llamadas a la API.

   Para consultar las instrucciones detalladas, vea la sección Pasos siguientes de este tema.

Más información

What is RAM?

Pasos siguientes

El usuario de RAM de la Empresa B puede acceder a los recursos de Alibaba Cloud de la Empresa A al iniciar sesión en la consola o mediante llamadas a la API.

• Inicio de sesión en la consola para acceder a los recursos de la Empresa A

  1. Abra el portal de inicio de sesión de usuario de RAM en su navegador.

  2. En la página RAM User Logon, introduzca el nombre de inicio de sesión del usuario de RAM, haga clic en Next, introduzca la contraseña y luego haga clic en Logon.

     Nota

     El nombre de inicio de sesión de un usuario de RAM debe tener el formato <$username>@<$AccountAlias> o <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> es el alias de la cuenta. Si no se ha configurado ningún alias de cuenta, se utiliza de forma predeterminada el ID de la cuenta de Alibaba Cloud.

  3. En la consola de Alibaba Cloud, pase el puntero sobre su foto de perfil en la esquina superior derecha y haga clic en Switch Role.

  4. En la página Switch Role, introduzca el Enterprise Alias o el Default Domain de la cuenta de la Empresa A, así como el Role Name. A continuación, haga clic en Switch.

  5. Ahora puede realizar operaciones en los recursos de Alibaba Cloud de la Empresa A.

• Llamadas a la API para acceder a los recursos de la Empresa A

  Para acceder a los recursos de la Empresa A mediante llamadas a la API, incluya en su código el AccessKeyId, el AccessKeySecret y el SecurityToken del usuario de RAM. El SecurityToken es un token de seguridad temporal que se obtiene de STS. Para obtener más información, consulte AssumeRole.