Este tema describe información clave sobre la concesión de permisos, incluidos los escenarios de autorización, el modelo de permisos, las diferencias entre consolas, el proceso de autorización y cómo otorgar acceso según su método de inicio de sesión.
Notas
Cuando activa Realtime Compute for Apache Flink por primera vez, la página de activación le solicita completar una autorización automatizada. Se le redirige a RAM, donde hace clic en Agree to Authorization en la página Cloud Resource Access Authorization. Una vez completada la autorización, su cuenta de Alibaba Cloud tiene acceso tanto a la Management Console como a la Development Console, y puede invocar los recursos de los servicios en la nube relacionados.
Si necesita compartir un espacio de trabajo con otros usuarios y otorgarles permisos detallados, siga las instrucciones de este tema para configurar su autorización.
Autorización
Escenarios
Escenario | Descripción | Estrategia de autorización | Método de autorización |
Operaciones administrativas | Si un usuario necesita ejecutar operaciones administrativas, como adquirir un espacio de trabajo, comprar recursos o ajustar configuraciones de recursos, debe iniciar sesión en la Management Console. |
| |
Operaciones de desarrollo y O&M | Si un usuario necesita ejecutar operaciones como desarrollo de trabajos, depuración u O&M, debe iniciar sesión en la Development Console. |
|
Modelo de permisos
Management console
Los permisos de la Management Console los gestiona una cuenta de Alibaba Cloud en la RAM console mediante la asignación de directivas a usuarios RAM o identidades RAM. El alcance de estas directivas abarca todos los recursos dentro de la cuenta de Alibaba Cloud, incluidos los de Realtime Compute for Apache Flink y los servicios relacionados.
Development console
Los permisos de la Development Console los gestiona una cuenta de Alibaba Cloud en la Development Console mediante la asignación de roles a usuarios RAM u otras cuentas de Alibaba Cloud. El alcance de estos roles cubre todos los permisos para las funciones principales y secundarias de la Development Console.
Consolas
Antes de iniciar sesión y otorgar permisos, identifique qué consola autorizar. Realtime Compute for Apache Flink proporciona una Management Console y una Development Console. La siguiente tabla describe las diferencias en sus interfaces de usuario (UI) y propósitos.
|
Consola |
Interfaz de usuario |
Propósito |
|
Management Console |
La página Overview muestra una tarjeta de producto Flink Fully Managed en la parte superior, que ofrece los puntos de entrada Quick Start y Buy Now. Debajo de esta tarjeta hay una lista de espacios de trabajo con columnas como Workspace Status, Used/Purchased CUs y Billing Method. En la columna Actions, haga clic en Console para ir al espacio de trabajo correspondiente. Haga clic en More para ejecutar operaciones administrativas como escalar o liberar recursos. |
Consultar, adquirir y liberar espacios de trabajo, ajustar recursos, clonar namespaces y cambiar buckets de OSS para almacenamiento totalmente gestionado. |
|
Development Console |
La Development Console consta de las siguientes áreas: el panel de navegación izquierdo proporciona puntos de entrada para funciones como Data Development, Data Management, Data Lineage, O&M Center (que incluye Job O&M, Queue Management, Session Management y Configuration Management), Connectors, File Management y Security Services. El árbol de archivos de la izquierda se usa para gestionar job drafts. La barra de herramientas superior incluye botones para operaciones como New, Save, Format, Deep Check, Debug, Deploy y Go to O&M. El área central es el editor SQL, que se utiliza para escribir y editar scripts de Flink SQL. |
En un namespace objetivo, puede ejecutar operaciones como desarrollo de trabajos, O&M y autorización de namespaces. |
Proceso de autorización
Antes de otorgar permisos, el administrador (la cuenta de Alibaba Cloud que adquirió el espacio de trabajo u otro usuario con los permisos necesarios) debe determinar el caso de uso, identificar la consola requerida y elegir una estrategia de autorización (otorgar una directiva o rol del sistema, o crear uno personalizado). Luego, complete la autorización siguiendo el método específico para la consola objetivo.
Autorización por método de inicio de sesión
Inicio de sesión con cuenta de Alibaba Cloud
La cuenta de Alibaba Cloud que adquirió el espacio de trabajo tiene permisos completos en la Management Console y la Development Console de forma predeterminada y no requiere autorización adicional. Si otra cuenta de Alibaba Cloud necesita acceder a las consolas de Realtime Compute, puede otorgar permisos como se describe en las siguientes instrucciones.
Método de inicio de sesión | Consola objetivo | Autorización |
Cuenta de Alibaba Cloud | Management Console | No se puede otorgar acceso a la Management Console a otras cuentas de Alibaba Cloud. |
Development Console |
|
Inicio de sesión de usuario RAM
Método de inicio de sesión | Consola objetivo | Autorización |
Usuario RAM | Management Console |
|
Development Console |
|
Inicio de sesión con rol RAM
Al iniciar sesión asumiendo un rol RAM, el usuario RAM correspondiente debe tener el permiso AliyunSTSAssumeRoleAccess para asumir roles RAM.
Método de inicio de sesión | Consola objetivo | Autorización |
Un usuario RAM que asume un rol desde una cuenta de Alibaba Cloud | Management Console |
|
Development Console |
|
Por ejemplo, si un usuario RAM de la cuenta A y otro de la cuenta B asumen el mismo rol en la cuenta A, el principal autorizado es el rol mismo, independientemente de qué usuario lo asuma.
Inicio de sesión de miembro de Resource Directory
Método de inicio de sesión | Consola objetivo | Autorización |
Iniciar sesión como root user (cuenta de Alibaba Cloud) | Management Console | No se requiere autorización por separado. |
Development Console |
| |
Un usuario RAM de la cuenta de gestión inicia sesión asumiendo un rol RAM de un miembro | Management Console | En la mayoría de los casos, no se requiere autorización por separado. |
Development Console |
| |
Iniciar sesión como usuario RAM de un miembro | Management Console |
|
Development Console |
| |
Un usuario de CloudSSO inicia sesión asumiendo un rol RAM | Management Console |
|
Development Console |
| |
Un usuario de CloudSSO inicia sesión como usuario RAM | Management Console |
|
Development Console |
|
Conceptos clave
Tipos de cuenta
Tipo de cuenta | Descripción |
Cuenta de Alibaba Cloud | Una cuenta de Alibaba Cloud es la entidad fundamental propietaria de los recursos de Alibaba Cloud y se utiliza para la medición y facturación. Tiene acceso completo a todos los productos adquiridos. |
Usuario RAM | Un usuario RAM es una identidad en RAM que representa a una persona o aplicación que necesita acceder a recursos de Alibaba Cloud. Después de crear y autorizar un usuario RAM, este puede acceder a los recursos en la nube según los permisos otorgados. Para obtener más información, consulte Create a RAM user. |
Rol RAM | Un rol RAM es un usuario virtual al que se le puede otorgar un conjunto de directivas. A diferencia de un usuario RAM, un rol RAM no tiene credenciales permanentes como una contraseña de inicio de sesión o un par de AccessKey. Una entidad de confianza debe asumir el rol para utilizarlo. Para obtener más información, consulte RAM role overview. |
Miembro de Resource Directory | Resource Directory (RD) es un servicio que permite a los clientes empresariales gestionar relaciones multinivel entre cuentas y recursos. Un miembro es una cuenta de recursos creada en Resource Directory para alojar proyectos o aplicaciones específicos en Alibaba Cloud. Para obtener más información, consulte What is Resource Directory?. |
Permiso
Alibaba Cloud utiliza permisos para describir lo que una identidad RAM (usuario RAM, grupo de usuarios RAM o rol RAM) puede hacer con recursos específicos:
-
La cuenta de Alibaba Cloud (propietario del recurso) controla todos los permisos
Cada recurso tiene exactamente un propietario, que debe ser una cuenta de Alibaba Cloud. El propietario tiene control total sobre el recurso.
El propietario del recurso no es necesariamente quien lo creó. Por ejemplo, si se otorga permiso a una identidad RAM para crear recursos, los recursos creados pertenecen a la cuenta de Alibaba Cloud. En este caso, la identidad RAM es el creador pero no el propietario.
-
Las identidades RAM (operadores) no tienen permisos de forma predeterminada
Una identidad RAM representa a un operador. Todas sus operaciones deben ser autorizadas explícitamente por una cuenta de Alibaba Cloud.
Una identidad RAM recién creada no tiene permisos de forma predeterminada. Solo puede operar sobre recursos a través de la consola o la API después de que la cuenta de Alibaba Cloud le otorgue permisos.
Directiva
Una directiva es un conjunto de permisos definidos con una sintaxis y estructura específicas. Especifica los recursos, acciones y condiciones autorizados. Para obtener más información sobre los elementos de directiva y las especificaciones de lenguaje compatibles con RAM, consulte Policy elements y Policy structure and syntax.
RAM admite los siguientes tipos de directivas:
Directivas del sistema: Creadas y mantenidas por Alibaba Cloud. Puede usarlas, pero no modificarlas.
Directivas personalizadas: Creadas y mantenidas por los usuarios. Puede crearlas, actualizarlas y eliminarlas usted mismo.
Puede otorgar permisos de acceso a una identidad RAM adjuntando directivas. Para obtener más información, consulte Grant permissions to a RAM user, Grant permissions to a RAM user group y Grant permissions to a RAM role.