Utilice las políticas de Resource Access Management (RAM) para controlar qué usuarios pueden acceder a sus sistemas de archivos NAS y qué operaciones pueden ejecutar.
Al otorgar acceso a NAS a los usuarios de RAM, aplique el principio de privilegio mínimo. Los permisos demasiado amplios generan riesgos de seguridad.
Procedimiento
-
Seleccione una política de permisos para el usuario de RAM.
Las políticas de permisos incluyen {type} y {type}.
-
{type}: Alibaba Cloud proporciona políticas predeterminadas para tareas comunes. Políticas del sistema para NAS:
AliyunNASFullAccess (no recomendada): otorga control total sobre los sistemas de archivos NAS. No se recomienda debido a que implica permisos de alto riesgo.
AliyunNASReadOnlyAccess: otorga acceso de solo lectura a los sistemas de archivos NAS.
-
{type}: cree políticas personalizadas para un control de acceso detallado.
Use el editor JSON para crear una política personalizada con base en los ejemplos a continuación. Create a custom permission policy.
-
-
Otorgue permisos al usuario de RAM.
Asigne al usuario de RAM la política que seleccionó en Step 2. Manage the permissions of a RAM user.
Ejemplo 1: otorgar permisos sobre un sistema de archivos
Otorgar control total sobre un sistema de archivos
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
RAM no admite otorgar permisos de consulta sobre un único sistema de archivos. Para dar control total sobre un sistema de archivos específico, primero otorgue permisos para consultar todos los sistemas de archivos. Después, conceda los permisos de modificación y eliminación sobre ese sistema de archivos.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "nas:*",
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
},
{
"Effect": "Allow",
"Action": "nas:CreateMountTarget",
"Resource": "acs:vpc:*:*:vswitch/*"
},
{
"Effect": "Allow",
"Action": "cms:Query*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "nas:DescribeFileSystems",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"nas:DescribeAccessGroups",
"nas:DescribeAccessRules"
],
"Resource": "acs:nas:*:*:accessgroup/*"
},
{
"Effect": "Allow",
"Action": [
"vpc:DescribeVpcs",
"vpc:DescribeVSwitches"
],
"Resource": "*"
}
]
}Otorgar permisos para modificar atributos del sistema de archivos
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:DescribeFileSystems",
"nas:ModifyFileSystem"
],
"Resource": "acs:nas:*:*:filesystem/07d****294"
}],
"Version": "1"
}Otorgar permisos para consultar todos los sistemas de archivos
{
"Statement": [{
"Effect": "Allow",
"Action": "nas:DescribeFileSystems",
"Resource": "*"
}],
"Version": "1"
}Ejemplo 2: otorgar permisos sobre un destino de montaje
La siguiente política otorga control total sobre los destinos de montaje del sistema de archivos 07d****294.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateMountTarget",
"nas:DescribeMountTargets",
"nas:ModifyMountTarget",
"nas:DeleteMountTarget"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294",
"acs:vpc:*:*:vswitch/*"
]
}],
"Version": "1"
}Ejemplo 3: otorgar permisos sobre un grupo de permisos
La siguiente política otorga control total sobre todos los grupos de permisos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateAccessGroup",
"nas:DescribeAccessGroups",
"nas:ModifyAccessGroup",
"nas:DeleteAccessGroup",
"nas:CreateAccessRule",
"nas:DescribeAccessRules",
"nas:ModifyAccessRule",
"nas:DeleteAccessRule"
],
"Resource": "acs:nas:*:*:accessgroup/*"
}],
"Version": "1"
}Ejemplo 4: otorgar permisos para consultar métricas de rendimiento
La siguiente política otorga permisos para consultar las métricas de rendimiento de cualquier sistema de archivos en la consola.
{
"Statement": [{
"Effect": "Allow",
"Action": "cms:Query*",
"Resource": "*"
}],
"Version": "1"
}Ejemplo 5: otorgar permisos para gestionar la papelera de reciclaje
Otorgar control total sobre la papelera de reciclaje
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:EnableRecycleBin",
"nas:DisableAndCleanRecycleBin ",
"nas:UpdateRecycleBinAttribute",
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinRestoreJob",
"nas:CreateRecycleBinDeleteJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Otorgar permisos para restaurar archivos desde la papelera de reciclaje
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinRestoreJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Otorgar permisos para eliminar archivos de la papelera de reciclaje
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:GetRecycleBinAttribute",
"nas:CreateRecycleBinDeleteJob",
"nas:CancelRecycleBinJob",
"nas:ListRecycleBinJobs",
"nas:ListRecycledDirectoriesAndFiles",
"nas:ListRecentlyRecycledDirectories"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Otorgar permisos para modificar la configuración de la papelera de reciclaje
La siguiente política toma como ejemplo el sistema de archivos 07d****294. Reemplace este valor por el ID real de su sistema de archivos.
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:EnableRecycleBin",
"nas:UpdateRecycleBinAttribute",
"nas:DisableAndCleanRecycleBin",
"nas:GetRecycleBinAttribute"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294"
]
}
],
"Version": "1"
}Apéndice: referencia de acciones y recursos
Para crear una política personalizada en la consola de RAM, establezca Configuration Mode en Script e introduzca la política en formato JSON. Utilice los valores de Action y Resource de la tabla a continuación. Basic elements of a permission policy.
|
API |
Action |
Resource |
Descripción |
|
|
Sistema de archivos |
CreateFileSystem |
nas:CreateFileSystem |
acs:nas:<region>:<account-id>:filesystem/* |
Crea un sistema de archivos. |
|
DeleteFileSystem |
nas:DeleteFileSystem |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Elimina un sistema de archivos. |
|
|
ModifyFileSystem |
nas:ModifyFileSystem |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Modifica la configuración del sistema de archivos. |
|
|
DescribeFileSystems |
nas:DescribeFileSystems |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Consulta los sistemas de archivos. |
|
|
Destino de montaje |
CreateMountTarget |
nas:CreateMountTarget |
|
Crea un destino de montaje. |
|
DeleteMountTarget |
nas:DeleteMountTarget |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Elimina un destino de montaje. |
|
|
ModifyMountTarget |
nas:ModifyMountTarget |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Modifica la configuración del destino de montaje. |
|
|
DescribeMountTargets |
nas:DescribeMountTargets |
acs:nas:<region>:<account-id>:filesystem/<filesystemid> |
Consulta los destinos de montaje de un sistema de archivos. |
|
|
Grupo de permisos |
CreateAccessGroup |
nas:CreateAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Crea un grupo de permisos. |
|
DeleteAccessGroup |
nas:DeleteAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Elimina un grupo de permisos. |
|
|
ModifyAccessGroup |
nas:ModifyAccessGroup |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Modifica un grupo de permisos. |
|
|
DescribeAccessGroups |
nas:DescribeAccessGroups |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Consulta los grupos de permisos. |
|
|
CreateAccessRule |
nas:CreateAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Crea una regla de permisos. |
|
|
DeleteAccessRule |
nas:DeleteAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Elimina una regla de permisos. |
|
|
ModifyAccessRule |
nas:ModifyAccessRule |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Modifica una regla de permisos. |
|
|
DescribeAccessRules |
nas:DescribeAccessRules |
acs:nas:<region>:<account-id>:accessgroup/<accessgroupname> |
Consulta las reglas de permisos. |
|