Permisos de RAM - - Centro de documentación de Alibaba Cloud

Los usuarios RAM y los roles RAM necesitan permisos específicos para administrar Model Studio, utilizar bases de conocimiento o invocar API de gestión de datos y de prompts. Este tema aborda las políticas de permisos de RAM de Model Studio.

Permisos de RAM: Se dividen en políticas del sistema y políticas personalizadas. Las políticas del sistema cubren escenarios comunes para una configuración rápida. Para un control granular (por ejemplo, restringir que usuarios RAM específicos invoquen ciertas API), utilice políticas personalizadas o combine ambos tipos de políticas. Consulte la descripción general de las políticas de RAM.

Políticas del sistema

Colecciones de permisos administradas por Alibaba Cloud. Los usuarios RAM y los roles RAM pueden usarlas pero no modificarlas. Model Studio proporciona las siguientes políticas del sistema:

Consulte Gestión de permisos para obtener orientación sobre el uso y la selección de políticas del sistema.

De forma predeterminada, las cuentas que activan Model Studio tienen AliyunBailianFullAccess y permisos para todos los espacios de trabajo.

AliyunBailianFullAccess: Permisos completos de gestión de permisos y de datos.

Nota: Los permisos de datos no son iguales a los permisos de la capa de datos. Esta política no otorga permisos de espacio de trabajo.
- Capa de administración: Permisos completos, que incluyen:
  - Administrar espacios de trabajo, cuentas y claves API.
  - Activar nuevas funciones en Model Studio.
  - Permisos esenciales para la facturación por suscripción; consulte las preguntas frecuentes.
- Datos: Permisos de administración, que incluyen:
  - Crear, administrar y acceder a bases de conocimiento estructuradas.
  - Utilizar prueba de aciertos para bases de conocimiento.
  - Invocar todas las API del catálogo de API.
AliyunBailianReadOnlyAccess: Permisos de administración y datos limitados (solo lectura).

Nota: Los permisos de datos no son iguales a los permisos de la capa de datos. Esta política no otorga permisos de espacio de trabajo.
- Capa de administración: Permisos de solo lectura, que incluyen:
  - Acceso de solo lectura a espacios de trabajo, cuentas y claves API.
  - No se pueden activar nuevas funciones.
  - Permisos esenciales para la facturación por suscripción; consulte las preguntas frecuentes.
- Datos: Solo lectura, que incluye:
  - No se pueden crear, administrar ni acceder a bases de conocimiento estructuradas.
  - No se puede utilizar la prueba de aciertos para bases de conocimiento.
  - No se pueden invocar API que modifican datos (agregar, eliminar, actualizar), como Retrieve, AddFile y CreateIndex.
  - Puede invocar API de solo lectura del catálogo de API como DescribeFile y GetIndexJobStatus.
AliyunBailianControlFullAccess: Permisos de administración limitados (control).
- Capa de administración: Permisos de control, que incluyen:
  - Administrar espacios de trabajo, cuentas y claves API.
  - No se pueden activar nuevas funciones.
  - Permisos esenciales para la facturación por suscripción; consulte las preguntas frecuentes.
AliyunBailianControlReadOnlyAccess: Permisos de administración limitados (solo lectura).
- Capa de administración: Permisos de solo lectura, que incluyen:
  - Acceso de solo lectura a espacios de trabajo, cuentas y claves API.
  - No se pueden activar nuevas funciones.
  - Permisos esenciales para la facturación por suscripción; consulte las preguntas frecuentes.
AliyunBailianDataFullAccess: Permisos de datos completos.

Nota: Los permisos de datos no son iguales a los permisos de la capa de datos. Esta política no otorga permisos de espacio de trabajo.
- Datos: Permisos de administración, que incluyen:
  - Crear, administrar y acceder a bases de conocimiento estructuradas.
  - Utilizar la prueba de aciertos para bases de conocimiento.
  - Invocar todas las API del catálogo de API.
AliyunBailianDataReadOnlyAccess: Permisos de datos limitados (solo lectura).

Nota: Los permisos de datos no son iguales a los permisos de la capa de datos. Esta política no otorga permisos de espacio de trabajo.
- Datos: Solo lectura, que incluye:
  - No se pueden crear, administrar ni acceder a bases de conocimiento estructuradas.
  - No se puede utilizar la prueba de aciertos para bases de conocimiento.
  - No se pueden invocar API que modifican datos (agregar, eliminar, actualizar), como Retrieve, AddFile y CreateIndex.
  - Puede invocar API de solo lectura del catálogo de API como DescribeFile y GetIndexJobStatus.

Políticas personalizadas

Las cuentas de Alibaba Cloud o los usuarios RAM con la política AliyunRAMFullAccess pueden crear y administrar políticas personalizadas. Mantenga, actualice o elimine estas políticas según sea necesario.

Las API de gestión de bases de conocimiento y datos admiten políticas personalizadas. Seleccione los permisos necesarios de la lista a continuación para otorgar la autorización mínima a los usuarios RAM. Para conocer el procedimiento, consulte Configurar una política personalizada.

Función	API	Permiso requerido	Descripción del permiso
Base de conocimientos	CreateIndex	sfm:CreateIndex	Consulte La siguiente tabla describe la autorización necesaria para invocar esta API. Puede definirla en una política de Resource Access Management (RAM). Las columnas de la tabla se detallan a continuación: Acción: Las acciones se pueden utilizar en el elemento Action de las declaraciones de políticas de permisos de RAM para otorgar permisos para realizar la operación. API: La API que puede invocar para realizar la acción. Nivel de acceso: El nivel de acceso predefinido otorgado para cada API. Valores válidos: create, list, get, update y delete. Tipo de recurso: El tipo de recurso que admite la autorización para realizar la acción. Indica si la acción admite permisos a nivel de recurso. El recurso especificado debe ser compatible con la acción; de lo contrario, la política será ineficaz. Para las API con permisos a nivel de recurso, los tipos de recursos requeridos están marcados con un asterisco (). Especifique el nombre de recurso de Alibaba Cloud (ARN) correspondiente en el elemento Resource de la política. Para las API sin permisos a nivel de recurso, se muestra como Todos los recursos. Utilice un asterisco () en el elemento Resource de la política. Clave de condición: Las claves de condición definidas por el servicio. La clave permite un control granular, aplicándose ya sea solo a las acciones o a las acciones asociadas con recursos específicos. Además de las claves de condición específicas del servicio, Alibaba Cloud proporciona un conjunto de claves de condición comunes aplicables a todos los servicios compatibles con RAM. Acción dependiente: Las acciones dependientes necesarias para ejecutar la acción. Para completar la acción, el usuario RAM o el rol RAM deben tener los permisos para realizar todas las acciones dependientes. Acción Nivel de acceso Tipo de recurso Clave de condición Acción dependiente sfm:CreateIndex create Todos los recursos None None.
	GetIndexJobStatus	sfm:GetIndexJobStatus	Consulte Autorización de RAM.
	SubmitIndexJob	sfm:SubmitIndexJob	Consulte Autorización de RAM.
	SubmitIndexAddDocumentsJob	sfm:SubmitIndexAddDocumentsJob	Consulte Autorización de RAM.
	Retrieve	sfm:Retrieve	Consulte Autorización de RAM.
	ListIndexDocuments	sfm:ListIndexFiles	Consulte Autorización de RAM.
	ListChunks	sfm:ChunkList	Consulte Autorización de RAM.
	ListIndices	sfm:ListIndex	Consulte Autorización de RAM.
	DeleteIndex	sfm:DeleteIndex	Consulte Autorización de RAM.
	DeleteIndexDocument	sfm:DeleteIndexDocument	Consulte Autorización de RAM.
Gestión de datos	ApplyFileUploadLease	sfm:ApplyFileUploadLease	Consulte Autorización de RAM.
	AddFile	sfm:AddFile	Consulte Autorización de RAM.
	DescribeFile	sfm:DescribeFile	Consulte Autorización de RAM.

FAQ

¿Qué permisos de RAM se requieren al activar nuevas funciones, como la invocación de modelos, mediante un usuario RAM (o rol RAM)?

Función	Permisos de RAM requeridos
Invocación de modelos	Utilice la cuenta de Alibaba Cloud para otorgar la política del sistema `AliyunBailianFullAccess` a su usuario RAM (o rol RAM) en la consola de RAM. Otros permisos de la capa de administración no son aplicables.
Pago de facturas de suscripción	Utilice la cuenta de Alibaba Cloud para otorgar la política del sistema `AliyunBSSOrderAccess` y una de las políticas de gestión de permisos (`AliyunBailianFullAccess`, `AliyunBailianReadOnlyAccess`, `AliyunBailianControlFullAccess` o `AliyunBailianControlReadOnlyAccess`) en la consola de RAM.