Use resource groups for fine-grained access control - ApsaraDB for MongoDB

Puede utilizar Resource Group para gestionar los recursos de ApsaraDB for MongoDB como un conjunto. También permite aplicar directivas de Resource Access Management (RAM) que autorizan acciones únicamente sobre los recursos de un grupo específico. De esta manera, se aplica el principio de mínimo privilegio (PoLP) en su cuenta de Alibaba Cloud.

Nota

El alcance de los permisos hacia un resource group solo está disponible para supported resource types y acciones. En el caso de unsupported actions, se ignora cualquier alcance de resource group definido en una directiva. Por lo tanto, los permisos deben otorgarse a nivel de cuenta.

Funcionamiento

Resource groups le permiten organizar sus recursos por proyecto o entorno. Una vez agrupados, puede adjuntar una directiva de RAM a una identidad (como un usuario de RAM, un grupo de usuarios o un rol) para limitar sus permisos exclusivamente a ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece dos ventajas principales:

Control de acceso detallado: en lugar de otorgar permisos en toda la cuenta, puede restringir el acceso de una identidad únicamente a los recursos de un grupo específico. Esto ayuda a aislar las cargas de trabajo de cada proyecto y reduce el riesgo de accesos no deseados.
Gestión simplificada: cuando se añaden nuevos recursos a un resource group, las identidades de RAM con permisos limitados a ese grupo obtienen acceso automáticamente. No es necesario actualizar las directivas de RAM cada vez que se crea un recurso.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se explica cómo otorgar a un usuario de RAM permiso para acceder únicamente a los recursos de ApsaraDB for MongoDB dentro de un resource group específico.

1. Requisitos previos

Create a RAM user.
Cree un resource group y asegúrese de que los recursos de destino se encuentren en él. Si necesita ayuda con este proceso, consulte Create a resource group, Add resources to a resource group automatically y Add resources to a resource group manually.

2. Otorgar permisos

Los permisos a nivel de resource group se pueden otorgar desde la consola de Resource Management o desde la consola de RAM.

Consola de Resource Management

Inicie sesión en la consola de Resource Management.
En la página Resource Group, busque el resource group de destino y haga clic en Permission Management dentro de la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la entidad de seguridad y la directiva de acceso.
- Principal: seleccione un usuario de RAM.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Grant permissions on resource groups to a RAM identity.

Consola de RAM

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud o una cuenta de administrador de RAM.
En el panel de navegación izquierdo, vaya a Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Attach Policy dentro de la columna Actions.
En el panel Attach Policy, agregue los permisos correspondientes al usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el creado en el paso anterior.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Manage RAM user permissions.

Recursos compatibles

A continuación se muestran los recursos de ApsaraDB for MongoDB que admiten autorización a nivel de resource group:

Servicio de Alibaba Cloud	Código de servicio	Tipo de recurso
ApsaraDB for MongoDB	dds	dbinstance : instancia

Nota

Si necesita compatibilidad con tipos de recursos que no aparecen en esta lista, envíe sus comentarios mediante la consola de Resource Management.

Acciones no compatibles

Las siguientes acciones de ApsaraDB for MongoDB no admiten autorización a nivel de resource group:

Acción	Descripción
dds:CancelActiveOperationTasks	-
dds:CheckServiceLinkedRole	Comprueba si se ha creado un rol vinculado al servicio (SLR) para una instancia.
dds:CreateGlobalSecurityIPGroup	Crea una plantilla global de lista de permitidos de IP.
dds:DescribeActiveOperationMaintenanceConfig	-
dds:DescribeActiveOperationTask	Consulta la información detallada sobre las tareas de una instancia de ApsaraDB for MongoDB.
dds:DescribeActiveOperationTaskRegion	Consulta los tipos y las cantidades de tareas de mantenimiento.
dds:DescribeAvailableZones	-
dds:DescribeDBInstanceByConnectionStringForInner	-
dds:DescribeDBInstanceSpecInfo	Consulta las especificaciones de una instancia de ApsaraDB for MongoDB.
dds:DescribeDetachedInstances	-
dds:DescribeEventMetaInfo	-
dds:DescribeHistoryEventsStat	-
dds:DescribeInstances	-
dds:DescribeKmsKeys	Consulta las claves de Key Management Service (KMS) disponibles para el cifrado de discos.
dds:DescribeResourceQuota	-
dds:DescribeUserEventConfig	-
dds:InitializeDdsPermission	-
dds:ModifyActiveOperationMaintenanceConfig	-
dds:ModifyActiveOperationTask	-
dds:ModifyActiveOperationTasks	Modifica la hora de cambio de las tareas programadas de O\\\\\\&M para una instancia de ApsaraDB for MongoDB.
dds:ModifyEventInfo	-
dds:ModifyGlobalSecurityIPGroup	Modifica la plantilla global de lista de permitidos de IP asociada a una instancia de ApsaraDB for MongoDB.
dds:ModifyGlobalSecurityIPGroupName	Modifica el nombre de una plantilla global de lista de permitidos de IP asociada a una instancia de ApsaraDB for MongoDB.
dds:ModifyTaskInfo	Modifica la información de una tarea en el centro de tareas de una instancia de ApsaraDB for MongoDB.
dds:ModifyUserEventConfig	-

Para estas acciones, debe crear una directiva personalizada con el alcance establecido en Account.

Adapte los siguientes ejemplos de directivas según sus necesidades:

Permitir acceso de solo lectura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:CheckServiceLinkedRole",
        "dds:DescribeActiveOperationMaintenanceConfig",
        "dds:DescribeActiveOperationTask",
        "dds:DescribeActiveOperationTaskRegion",
        "dds:DescribeAvailableZones",
        "dds:DescribeDBInstanceByConnectionStringForInner",
        "dds:DescribeDBInstanceSpecInfo",
        "dds:DescribeDetachedInstances",
        "dds:DescribeEventMetaInfo",
        "dds:DescribeHistoryEventsStat",
        "dds:DescribeInstances",
        "dds:DescribeKmsKeys",
        "dds:DescribeResourceQuota",
        "dds:DescribeUserEventConfig"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acceso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dds:CancelActiveOperationTasks",
        "dds:CheckServiceLinkedRole",
        "dds:CreateGlobalSecurityIPGroup",
        "dds:DescribeActiveOperationMaintenanceConfig",
        "dds:DescribeActiveOperationTask",
        "dds:DescribeActiveOperationTaskRegion",
        "dds:DescribeAvailableZones",
        "dds:DescribeDBInstanceByConnectionStringForInner",
        "dds:DescribeDBInstanceSpecInfo",
        "dds:DescribeDetachedInstances",
        "dds:DescribeEventMetaInfo",
        "dds:DescribeHistoryEventsStat",
        "dds:DescribeInstances",
        "dds:DescribeKmsKeys",
        "dds:DescribeResourceQuota",
        "dds:DescribeUserEventConfig",
        "dds:InitializeDdsPermission",
        "dds:ModifyActiveOperationMaintenanceConfig",
        "dds:ModifyActiveOperationTask",
        "dds:ModifyActiveOperationTasks",
        "dds:ModifyEventInfo",
        "dds:ModifyGlobalSecurityIPGroup",
        "dds:ModifyGlobalSecurityIPGroupName",
        "dds:ModifyTaskInfo",
        "dds:ModifyUserEventConfig"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Otorgar permisos a nivel de cuenta permite el acceso a todos los recursos relacionados dentro de ella. Aplique siempre el principio PoLP.

Preguntas frecuentes

¿Cómo identifico a qué resource group pertenece un recurso?

Método 1: desde la consola del servicio
- Vaya a la consola del servicio donde se creó el recurso. En la página de detalles del recurso, generalmente encontrará el resource group en la sección de información básica.
Método 2: desde la consola de Resource Management
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, seleccione la cuenta propietaria del recurso de destino (el valor predeterminado es Current Account).
- Utilice los filtros para localizar su recurso.
- La columna Resource Group Name indica a qué grupo pertenece el recurso.

¿Cómo consulto todos los recursos de un resource group específico?

Método 1:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Center > Resource Search.
- En el panel izquierdo, bajo la cuenta propietaria de los recursos (el valor predeterminado es Current Account), haga clic en el nombre del resource group deseado.
- En el panel derecho, seleccione el servicio en la nube desde la lista desplegable Select resource types.
- Se mostrarán todos los recursos de ese grupo.
Método 2:
- Inicie sesión en la consola de Resource Management.
- Vaya a Resource Group > Resource Group.
- Busque el resource group deseado y haga clic en Resource Management dentro de la columna Actions.
- En la página de gestión de recursos, seleccione el servicio en la nube desde la lista desplegable Service.
- Se mostrarán todos los recursos de ese grupo.

¿Cómo traslado varios recursos a otro resource group de forma masiva?

Inicie sesión en la consola de Resource Management.
Vaya a Resource Group > Resource Group.
Busque el resource group deseado y haga clic en Resource Management dentro de la columna Actions.
En la página de gestión de recursos, utilice los filtros para localizar los recursos que desea trasladar.
Seleccione la casilla de verificación de cada recurso.
En la parte inferior de la página, haga clic en Transfer.
En el cuadro de diálogo, seleccione el resource group de destino y haga clic en Confirm.