Uso de resource groups para el control detallado de recursos - ApsaraDB for HBase

Cuando utiliza resource groups para organizar y gestionar sus recursos, puede integrarlos con Resource Access Management (RAM) para implementar el aislamiento de recursos y la gestión detallada de permisos dentro de una sola cuenta de Alibaba Cloud. Este tema describe cómo ApsaraDB for HBase admite los resource groups y proporciona instrucciones paso a paso para otorgar permisos a nivel de resource group.

Nota

La autorización a nivel de resource group solo surte efecto para resource types that support resource groups y para las acciones que admiten este tipo de autorización.
En los tipos de recursos que no admiten resource groups, otorgar permisos con alcance de resource group no tiene ningún efecto. En su lugar, debe otorgar los permisos a nivel de cuenta. Para obtener más información, consulte Actions that do not support resource-group-level authorization.

Funcionamiento de la autorización por resource group

Un resource group le permite gestionar los recursos de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group para cada uno de sus proyectos y trasladar los recursos a sus grupos correspondientes para gestionarlos de forma centralizada. Para obtener más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos sobre un resource group específico a distintas identidades de RAM (usuarios de RAM, grupos de usuarios de RAM o roles de RAM). Esto restringe a la identidad para que gestione únicamente los recursos dentro de ese resource group. Para obtener más información, consulte Resource Grouping and Authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: garantiza que cada identidad tenga únicamente el acceso necesario y evita mezclar recursos de distintos proyectos dentro de la misma cuenta.
Escalabilidad: al agregar nuevos recursos, solo necesita incorporarlos al resource group. La identidad obtiene automáticamente los permisos correspondientes para los nuevos recursos, sin requerir autorizaciones adicionales.

Otorgar permisos a nivel de resource group

Esta sección toma como ejemplo un RAM user para mostrar cómo otorgar permisos sobre los recursos de ApsaraDB for HBase dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para obtener más información, consulte Create a RAM user.
Cree un resource group y traslade los recursos existentes al resource group de destino. Para obtener más información, consulte Create a resource group, Automatically move resources to a resource group y Manually move resources to a resource group.

2. Otorgar permisos a nivel de resource group

Los permisos a nivel de resource group se pueden otorgar mediante cualquiera de los siguientes métodos.

Método 1: Resource Management console

Utilice la función de gestión de permisos de un resource group para otorgar permisos a un usuario de RAM específico. Para obtener más información, consulte Grant permissions on a resource group to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página de resource groups, busque el resource group de destino y haga clic en Permissions en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la identidad y la política de permisos.
- Principal: seleccione un usuario de RAM existente.
- Permission Policy: elija una system policy o una custom policy existente. Para obtener más información, consulte Create a custom permission policy.
Haga clic en Grant.

Método 2: RAM console

Otorgue permisos a nivel de resource group a un usuario de RAM específico desde la consola de RAM. Para obtener más información, consulte Manage permissions for a RAM user.

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud (cuenta principal) o con un administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Add Permissions en la columna Actions.
En el panel Add Permissions, agregue los permisos para el usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el usuario de RAM creado en los requisitos previos.
- Permission Policy: elija una system policy o una custom policy existente. Para obtener más información, consulte Create a custom permission policy.
Haga clic en Grant.

Tipos de recursos que admiten resource groups

A continuación se muestran los tipos de recursos de ApsaraDB for HBase que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo de recurso
ApsaraDB for HBase	multimod	clúster

Nota

Para solicitar compatibilidad con resource groups en otros tipos de recursos, envíe sus comentarios en la consola de Resource Management.

Acciones no compatibles con la autorización por resource group

A continuación se muestran las acciones de ApsaraDB for HBase que no admiten la autorización a nivel de resource group.

Acción	Descripción
hbase:CheckComponentsVersion	Comprueba si las versiones de los componentes son las más recientes.
hbase:CreateHBaseSlbServer	Crea un servicio de balanceo de carga.
hbase:CreateMultiZoneCluster	Crea un clúster multizona de disponibilidad.
hbase:DeleteHBaseHaDB	Elimina una instancia de alta disponibilidad.
hbase:DescribeActiveOperationMaintainConf	-
hbase:DescribeActiveOperationTaskType	Consulta los tipos, la cantidad y los detalles de las tareas de operación y mantenimiento de una instancia de HBase.
hbase:DescribeActiveOperationTasks	Consulta los detalles de las tareas de operación y mantenimiento de una instancia de HBase.
hbase:DescribeAvailableResource	Consulta los recursos disponibles.
hbase:DescribeBackups	Recupera los registros de copias de seguridad de un clúster de HBase.
hbase:DescribeDeletedInstances	Recupera una lista de clústeres eliminados que aún no se han liberado por completo.
hbase:DescribeEventMetaInfo	-
hbase:DescribeInstanceType	Llama a la operación DescribeInstanceType para consultar las especificaciones de la instancia (CPU y memoria).
hbase:DescribeMultiZoneAvailableRegions	Consulta las combinaciones de regiones disponibles para clústeres multizona de disponibilidad.
hbase:DescribeMultiZoneAvailableResource	Recupera los recursos que se pueden adquirir en una zona de disponibilidad múltiple.
hbase:DescribeRdsVSwitchs	-
hbase:DescribeRdsVpcs	-
hbase:DescribeRdsVswitchs	-
hbase:DescribeSubDomain	Llama a la operación DescribeSubDomain para obtener un subdominio disponible.
hbase:DescribeVSwitches	-
hbase:DescribeVpcs	-
hbase:EnableHBaseueBackup	Habilita la función de copia de seguridad y recuperación para HBase.
hbase:EnableHBaseueModule	Llama a la operación EnableHBaseueModule para habilitar un servicio extendido.
hbase:EvaluateMultiZoneResource	Llama a la operación EvaluateMultiZoneResource para evaluar si existen recursos disponibles.
hbase:GetMultimodeCmsUrl	Obtiene la URL de monitoreo según el ID del clúster.
hbase:ListBdsInstances	-
hbase:ListHBaseInstances	Muestra las instancias de HBase dentro de la misma VPC.
hbase:ListHbaseInstances	-
hbase:ListTagResources	Obtiene una lista de etiquetas por ID de recurso o por etiqueta (consulta por clave, o por clave y valor).
hbase:ListTags	Obtiene todas las etiquetas dentro de una región.
hbase:ModifyActiveOperationTasks	Llama a la operación ModifyActiveOperationTasks para modificar la hora programada de cambio de una tarea de operación y mantenimiento.
hbase:ModifyMultimodSpec	-
hbase:OpenBackup	Llama a la operación OpenBackup para habilitar la función de copia de seguridad y recuperación de un clúster de HBase.
hbase:RenewInstance	Llama a la operación RenewInstance para renovar una instancia de HBase.
hbase:ResizeColdStorage	-
hbase:ResizeMultiZoneClusterDiskSize	Llama a la operación ResizeMultiZoneClusterDiskSize para cambiar el tamaño del disco de una instancia multizona de disponibilidad.
hbase:SwitchHbaseHaSlb	A diferencia de la operación CreateHbaseHaSlb, esta operación ejecuta un cambio entre nodo activo y en espera para Thrift de alta disponibilidad o Phoenix de alta disponibilidad.
hbase:TagResources	Agrega una etiqueta a una instancia.
hbase:UnTagResources	Quita una o más etiquetas de un recurso.
hbase:UntagResources	-
hbase:XpackRelateDB	Llama a la operación XpackRelateDB para asociar una base de datos.
hbase:action	-

En las acciones que no admiten la autorización por resource group, seleccionar Resource Group como alcance del recurso durante la autorización no tiene ningún efecto. Si necesita que un usuario de RAM cuente con estos permisos, debe crear una política de permisos personalizada y seleccionar Account como alcance del recurso.

A continuación se presentan dos ejemplos de políticas de permisos personalizadas. Puede ajustar el contenido de la política según sus necesidades.

Para permitir todas las acciones de solo lectura que no admiten la autorización a nivel de resource group, inclúyalas en el elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "hbase:DescribeActiveOperationMaintainConf",
        "hbase:DescribeActiveOperationTaskType",
        "hbase:DescribeActiveOperationTasks",
        "hbase:DescribeAvailableResource",
        "hbase:DescribeBackups",
        "hbase:DescribeDeletedInstances",
        "hbase:DescribeEventMetaInfo",
        "hbase:DescribeInstanceType",
        "hbase:DescribeMultiZoneAvailableRegions",
        "hbase:DescribeMultiZoneAvailableResource",
        "hbase:DescribeRdsVSwitchs",
        "hbase:DescribeRdsVpcs",
        "hbase:DescribeRdsVswitchs",
        "hbase:DescribeSubDomain",
        "hbase:DescribeVSwitches",
        "hbase:DescribeVpcs",
        "hbase:GetMultimodeCmsUrl",
        "hbase:ListBdsInstances",
        "hbase:ListHBaseInstances",
        "hbase:ListHbaseInstances",
        "hbase:ListTagResources",
        "hbase:ListTags"
      ],
      "Resource": "*"
    }
  ]
}

Para permitir todas las acciones que no admiten la autorización a nivel de resource group, inclúyalas en el elemento Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "hbase:CheckComponentsVersion",
        "hbase:CreateHBaseSlbServer",
        "hbase:CreateMultiZoneCluster",
        "hbase:DeleteHBaseHaDB",
        "hbase:DescribeActiveOperationMaintainConf",
        "hbase:DescribeActiveOperationTaskType",
        "hbase:DescribeActiveOperationTasks",
        "hbase:DescribeAvailableResource",
        "hbase:DescribeBackups",
        "hbase:DescribeDeletedInstances",
        "hbase:DescribeEventMetaInfo",
        "hbase:DescribeInstanceType",
        "hbase:DescribeMultiZoneAvailableRegions",
        "hbase:DescribeMultiZoneAvailableResource",
        "hbase:DescribeRdsVSwitchs",
        "hbase:DescribeRdsVpcs",
        "hbase:DescribeRdsVswitchs",
        "hbase:DescribeSubDomain",
        "hbase:DescribeVSwitches",
        "hbase:DescribeVpcs",
        "hbase:EnableHBaseueBackup",
        "hbase:EnableHBaseueModule",
        "hbase:EvaluateMultiZoneResource",
        "hbase:GetMultimodeCmsUrl",
        "hbase:ListBdsInstances",
        "hbase:ListHBaseInstances",
        "hbase:ListHbaseInstances",
        "hbase:ListTagResources",
        "hbase:ListTags",
        "hbase:ModifyActiveOperationTasks",
        "hbase:ModifyMultimodSpec",
        "hbase:OpenBackup",
        "hbase:RenewInstance",
        "hbase:ResizeColdStorage",
        "hbase:ResizeMultiZoneClusterDiskSize",
        "hbase:SwitchHbaseHaSlb",
        "hbase:TagResources",
        "hbase:UnTagResources",
        "hbase:UntagResources",
        "hbase:XpackRelateDB",
        "hbase:action"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede operar sobre los recursos correspondientes en toda la cuenta. Confirme que los permisos otorgados cumplan con lo esperado y aplique el principio de privilegio mínimo al asignarlos.

Preguntas frecuentes

Consultar el resource group de un recurso

Método 1: haga clic en el nombre del recurso para abrir su página de detalles, donde podrá consultar su resource group.
Método 2: inicie sesión en la consola de Resource Management y elija Resource Center > Resource Search. En el panel izquierdo, seleccione la cuenta a la que pertenece el recurso (de forma predeterminada, se selecciona Current Account). Utilice los filtros para ubicar el recurso de destino y consulte su resource group.

Consultar los recursos de un resource group

Método 1: inicie sesión en la consola de Resource Management y elija Resource Center > Resource Search. En el panel izquierdo, debajo de la cuenta a la que pertenecen los recursos (de forma predeterminada, se selecciona Current Account), haga clic en el nombre del resource group de destino. Luego, seleccione el producto en la lista Select Resource Type del lado derecho para consultar todos sus recursos dentro de ese resource group.
Método 2: inicie sesión en la consola de Resource Management y elija Resource Groups > Resource Groups. Busque el resource group de destino y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product para consultar todos sus recursos dentro de ese resource group.

Trasladar recursos a otro resource group

Inicie sesión en la consola de Resource Management y elija Resource Groups > Resource Groups. En la fila del resource group de destino, haga clic en Manage Resources en la columna Actions. En la página de gestión de recursos, utilice los filtros para ubicar los recursos de destino. Seleccione las casillas de verificación de la primera columna para los recursos que desea trasladar, haga clic en Transfer Resources en la parte inferior y siga las instrucciones en pantalla para completar el proceso.