Cree usuarios o roles de RAM y asígneles directivas personalizadas para aplicar un control de acceso detallado en IoT Platform sin compartir las credenciales de su cuenta de Alibaba Cloud.
Contexto
Los conceptos y escenarios de RAM y STS se describen en Introducción a RAM y STS. Los fundamentos del control de acceso se explican en Conceptos básicos del control de acceso.
Detalles del servicio de RAM
|
Servicio |
Descripción |
|
Nombre del servicio de RAM |
IoT Platform. |
|
Código de RAM |
iot. |
|
Compatibilidad con la consola |
Sí. |
|
Compatibilidad con API |
Sí. |
|
Granularidad de autorización |
Nivel de API. Los usuarios o roles de RAM pueden ejecutar operaciones específicas en un tipo de recurso determinado. |
|
Directivas del sistema |
|
Elementos de directiva
Una directiva de RAM consta de los elementos Effect, Action, Resource, Condition y Principal. Para consultar la sintaxis y las reglas de evaluación, consulte Lenguaje de directivas.
La siguiente tabla describe los elementos de directiva para IoT Platform.
|
Elemento |
Obligatorio |
Descripción |
|
Effect |
Sí |
Allow o Deny. Nota
Si una directiva contiene instrucciones Allow y Deny, Deny tiene prioridad. |
|
Action |
Sí |
Una operación en un recurso específico. El formato de Action para IoT Platform es Especifique varias acciones separadas por comas (,) y utilice el comodín asterisco (). Por ejemplo, |
|
Resource |
Sí |
El objeto que se autoriza. IoT Platform solo admite autorización a nivel de API, no a nivel de recurso para productos o dispositivos individuales. Establezca Resource en |
|
Condition |
No |
Especifica cuándo entra en vigor la autorización. IoT Platform no admite el elemento Condition. |
Acciones de autorización de RAM
Cada Action sigue el formato iot:${APIName}. Para ver la lista completa de nombres de API, consulte Lista de todas las API públicas en la nube de IoT Platform. La siguiente tabla enumera ejemplos de Actions para API públicas de IoT Platform y Actions para operaciones correspondientes a API no listadas.
|
Nombre de API u operación |
Operación de autorización de RAM (Action) |
Resource |
Descripción de la API |
|
CreateProduct |
iot:CreateProduct |
* |
Crea un producto. |
|
DeleteConsumerGroupSubscribeRelation |
iot:DeleteConsumerGroupSubscribeRelation |
* |
Elimina un grupo de consumidores específico de varios grupos de consumidores en una suscripción AMQP. |
|
Configurar una suscripción del lado del servidor AMQP |
iot:sub |
* |
Admite conexiones para suscripciones del lado del servidor AMQP. |
|
Restablecer una clave de certificado de producto |
iot:ResetProductSecret |
* |
Restablece el ProductSecret de un certificado de producto. |
Primeros pasos
-
Crear un administrador de cuenta.
Una cuenta de Alibaba Cloud tiene permisos completos sobre todos los recursos. No es posible restringir su acceso por dirección IP de origen ni por horario. Si varias personas comparten la cuenta, las operaciones no se pueden rastrear hasta usuarios individuales. Una cuenta comprometida representa un riesgo de seguridad significativo. No utilice su cuenta de Alibaba Cloud para operaciones diarias.
Cree un usuario de RAM y otórguele el permiso AdministratorAccess. Utilice este administrador para crear otros usuarios de RAM y asignar permisos.
-
Crear una directiva personalizada.
RAM proporciona directivas del sistema (predefinidas y no modificables) y directivas personalizadas. Cree directivas personalizadas cuando las del sistema no satisfagan sus requisitos.
-
Cree y autorice usuarios de RAM:
-
Crear y autorizar un único usuario de RAM.
Cree usuarios de RAM y asigne a cada uno únicamente los permisos necesarios para sus responsabilidades.
Esto evita compartir las credenciales de su cuenta de Alibaba Cloud y aplica el principio de menor privilegio para reducir riesgos de seguridad.
-
Crear y autorizar un grupo de usuarios de RAM.
Utilice grupos de usuarios de RAM para clasificar y autorizar a usuarios que comparten las mismas responsabilidades; esto simplifica la gestión de permisos.
-
Crear y autorizar un rol de RAM, y luego otorgar a un usuario de RAM el permiso para asumir el rol.
Un rol de RAM es un usuario virtual sin credenciales permanentes. Una entidad de confianza asume el rol y recibe credenciales temporales de STS para acceder a los recursos autorizados.
-
Ejemplos
Directivas personalizadas para escenarios comunes en IoT Platform
Usar un usuario de RAM para acceder a la consola de IoT Platform
Usar un usuario de RAM para asumir un rol de RAM para acceso temporal a IoT Platform
Otorgar permisos de suscripción del lado del servidor a un usuario de RAM mediante un rol de RAM