Grant RAM users the minimum permissions needed to use AI Search Open Platform. - OpenSearch

Create RAM users and grant only the minimum permissions required to avoid sharing your Alibaba Cloud account password or AccessKey across your organization.

Use cases

Cree usuarios de RAM y otorgue los permisos mínimos en los siguientes escenarios :

A RAM user calls AI Search Open Platform services through an API or SDK. The user authenticates with an AccessKey.
A RAM user uses the AI Search Open Platform console. Common scenarios include:
- Creating a workspace and activating AI Search Open Platform.
- Managing API keys.
  Importante
  In AI Search Open Platform , API keys are scoped to a specific workspace. A RAM user with a valid API key for a workspace can call all services in that workspace through an API or SDK without separate RAM authorization.
- Using the Service overview and experience para probar servicios como el análisis de documentos y la segmentación de documentos.
- Realización de una evaluation en una cadena RAG.

Directivas de permisos

Directivas del sistema

Alibaba Cloud proporciona y mantiene dos directivas del sistema para AI Search Open Platform. Puede utilizarlas, pero no modificarlas:

AliyunOpenSearchFullAccess: Otorga acceso completo a los servicios de OpenSearch. Incluye todos los permisos de la Permission list. Asígnela con precaución.
AliyunOpenSearchReadOnlyAccess: Otorga acceso de solo lectura a los servicios de OpenSearch. Incluye todos los permisos de las API de control List y Describe, así como todos los permisos de las API de tráfico en la Permission list.

Directivas personalizadas

Cree directivas personalizadas para un control de acceso detallado.

Lista de permisos

Permisos de la API de control

Categoría	API	Acción de RAM	Resource	Descripción
Workspace	`CreateWorkspace`	`searchplat:WriteWorkspace`	`workspaces/*`	Crea un workspace y activa AI Search Open Platform. Nota La activación de AI Search Open Platform es gratuita. No se le cobrará hasta que utilice los servicios.
	`UpdateWorkspace`	`searchplat:WriteWorkspace`	`workspaces/{workspaceName}`	Modifica un workspace.
	`GetWorkspace`	`searchplat:DescribeWorkspace`	`workspaces/{workspaceName}`	Obtiene los detalles de un workspace.
	`ListWorkspaces`	`searchplat:ListWorkspaces`	`workspaces/*`	Enumera los workspaces.
	`ListServices`	`searchplat:ListServices`	`workspaces/{workspaceName}`	Enumera los servicios.
Credencial de acceso	`CreateCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Crea una credencial de acceso.
	`DeleteCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Elimina una credencial de acceso.
	`UpdateCredentials`	`searchplat:WriteCredentials`	`workspaces/{workspaceName}`	Modifica una credencial de acceso.
	`GetCredentials`	`searchplat:DescribeCredentials`	`workspaces/{workspaceName}`	Obtiene los detalles de una credencial de acceso.
	`ListCredentials`	`searchplat:DescribeCredentials`	`workspaces/{workspaceName}`	Enumera las credenciales de acceso.
Cuota gratuita restante	`GetMeasure`	`searchplat:DescribeMeasure`	`workspaces/{workspaceName}`	Obtiene la cuota gratuita restante de un workspace. Nota Tras la activación, cada cuenta de Alibaba Cloud recibe 10 llamadas de servicio gratuitas. La cuota gratuita se comparte entre la cuenta de Alibaba Cloud y sus usuarios de RAM. Haga clic en Activate Now para probar el servicio de modelos. Una vez agotadas las 10 llamadas gratuitas, se aplicarán cargos según el uso del servicio de modelos.
Datos de prueba	`CreateExperienceData`	`searchplat:WriteExperienceData`	`workspaces/{workspaceName}`	Agrega datos de prueba.
	`DeleteExperienceData`	`searchplat:WriteExperienceData`	`workspaces/{workspaceName}`	Elimina datos de prueba.
	`GetExperienceData`	`searchplat:DescribeExperienceData`	`workspaces/{workspaceName}`	Obtiene los detalles de los datos de prueba.
	`ListExperienceData`	`searchplat:DescribeExperienceData`	`workspaces/{workspaceName}`	Enumera los datos de prueba.
Tarea asíncrona	`CreateAsyncTask`	`searchplat:WriteAsyncTask`	`workspaces/{workspaceName}`	Crea una tarea asíncrona de análisis de documentos.
	`GetAsyncTask`	`searchplat:DescribeAsyncTask`	`workspaces/{workspaceName}`	Obtiene los detalles de una tarea asíncrona de análisis de documentos.
	`ListAsyncTasks`	`searchplat:DescribeAsyncTask`	`workspaces/{workspaceName}`	Enumera las tareas asíncronas de análisis de documentos.
Evaluación	`CreateRagEvaluatorTask`	`searchplat:WriteEvaluation`	`workspaces/{workspaceName}`	Crea una tarea de evaluación.
	`GetRagEvaluatorTask`	`searchplat:DescribeEvaluation`	`workspaces/{workspaceName}`	Obtiene los detalles de una tarea de evaluación.
	`ListRagEvaluatorTasks`	`searchplat:DescribeEvaluation`	`workspaces/{workspaceName}`	Enumera las tareas de evaluación.
	`DeleteRagEvaluatorTask`	`searchplat:WriteEvaluation`	`workspaces/{workspaceName}`	Elimina una tarea de evaluación.
Servicio de modelos	`CreateFunctionInstance`	`searchplat:WriteFunction`	`workspaces/{workspaceName}`	Crea un servicio o modelo.
	`CreateFunctionTask`		`workspaces/{workspaceName}`	Activa la configuración del servicio de inmediato.
	`UpdateFunctionInstance`		`workspaces/{workspaceName}`	Modifica la configuración del servicio o modelo.
	`DeleteFunctionInstance`		`workspaces/{workspaceName}`	Elimina la configuración del servicio o modelo.
	`ListFunctionInstances`	`searchplat:DescribeFunction`	`workspaces/{workspaceName}`	Enumera las configuraciones de servicios o modelos.
	`GetFunctionInstance`	`searchplat:DescribeFunction`	`workspaces/{workspaceName}`	Obtiene los detalles de la configuración de un servicio o modelo.
	`GetTableFields`	`searchplat:GetTableFields`	`workspaces/{workspaceName}`	Obtiene el esquema de una tabla de MaxCompute.
	`CeaseFunctionInstance`	`searchplat:CeaseFunctionInstance`	`workspaces/{workspaceName}`	Detiene un servicio.
	`ResumeFunctionInstance`	`searchplat:ResumeFunctionInstance`	`workspaces/{workspaceName}`	Reanuda un servicio.
Servicio de modelos - Despliegue de servicios	`ListFunctionRestrictions`	`searchplat:ListFunctionRestrictions`	`workspaces/{workspaceName}`	Obtiene las restricciones de funciones: regiones de despliegue disponibles, categorías de modelos, tipos de modelos y modelos.

Permisos de la API de tráfico

API	Acción de RAM	Resource	Descripción
`GetTextEmbedding`	`searchplat:GetTextEmbedding`	`workspaces/{workspaceName}`	Servicio de embedding de texto.
`GetTextSparseEmbedding`	`searchplat:GetTextSparseEmbedding`	`workspaces/{workspaceName}`	Servicio de embedding disperso de texto.
`CreateDocumentAnalyzeTask`	`searchplat:CreateDocumentAnalyzeTask`	`workspaces/{workspaceName}`	Crea una solicitud asíncrona de análisis de documentos.
`DescribeDocumentAnalyzeTask`	`searchplat:DescribeDocumentAnalyzeTask`	`workspaces/{workspaceName}`	Obtiene el resultado de una solicitud asíncrona de análisis de documentos.
`GetDocumentAnalysis`	`searchplat:GetDocumentAnalysis`	`workspaces/{workspaceName}`	Obtiene el resultado de una solicitud síncrona de análisis de documentos.
`CreateImageAnalyzeTask`	`searchplat:CreateImageAnalyzeTask`	`workspaces/{workspaceName}`	Crea una solicitud asíncrona de análisis de imágenes.
`DescribeImageAnalyzeTask`	`searchplat:DescribeImageAnalyzeTask`	`workspaces/{workspaceName}`	Obtiene el resultado de una solicitud asíncrona de análisis de imágenes.
`GetImageAnalysis`	`searchplat:GetImageAnalysis`	`workspaces/{workspaceName}`	Obtiene el resultado de una solicitud síncrona de análisis de imágenes.
`GetDocumentSplit`	`searchplat:GetDocumentSplit`	`workspaces/{workspaceName}`	Servicio de segmentación de documentos.
`GetDocumentRank`	`searchplat:GetDocumentRank`	`workspaces/{workspaceName}`	Servicio de reclasificación.
`GetTextGeneration`	`searchplat:GetTextGeneration`	`workspaces/{workspaceName}`	Servicio de generación de contenido (LLM).
`GetQueryAnalysis`	`searchplat:GetQueryAnalysis`	`workspaces/{workspaceName}`	Servicio de análisis de consultas.
`GetEmbeddingTuning`	`searchplat:GetEmbeddingTuning`	`workspaces/{workspaceName}`	Servicio de ajuste fino de embeddings.
`GetWebSearch`	`searchplat:SearchWeb`	`workspaces/{workspaceName}`	Servicio de búsqueda web.
`GetMultiModalEmbedding`	`searchplat:GetMultiModalEmbedding`	`workspaces/{workspaceName}`	Servicio de embedding multimodal.
`CreateVideoSnapshotTask`	`searchplat:CreateVideoSnapshotTask`	`workspaces/{workspaceName}`	Crea una tarea asíncrona de extracción de fotogramas de video.
`GetVideoSnapshotTaskStatus`	`searchplat:DescribeVideoSnapshotTask`	`workspaces/{workspaceName}`	Obtiene el estado de una tarea de extracción de fotogramas de video.
`CreateAudioAsrTask`	`searchplat:CreateAudioAsrTask`	`workspaces/{workspaceName}`	Crea una tarea asíncrona de transcripción de audio.
`GetAudioAsrTaskStatus`	`searchplat:DescribeAudioAsrTask`	`workspaces/{workspaceName}`	Obtiene el estado de una tarea asíncrona de transcripción de audio.
`GetImageObjectDetection`	`searchplat:GetImageObjectDetection`	`workspaces/{workspaceName}`	Servicio de detección de objetos en imágenes.
`GetMultiModalReranker`	`searchplat:GetMultiModalReranker`	`workspaces/{workspaceName}`	Servicio de reclasificación multimodal.
`CreateVideoSummarizationTask`	`searchplat:CreateVideoSummarizationTask`	`workspaces/{workspaceName}`	Crea una tarea asíncrona de resumen de video.
`GetVideoSummarizationTaskStatus`	`searchplat:DescribeVideoSummarizationTask`	`workspaces/{workspaceName}`	Obtiene el estado de una tarea de resumen de video.
`CreateVideoSegmentationTask`	`searchplat:CreateVideoSegmentationTask`	`workspaces/{workspaceName}`	Crea una tarea asíncrona de segmentación de video.
`GetVideoSegmentationTaskStatus`	`searchplat:DescribeVideoSegmentationTask`	`workspaces/{workspaceName}`	Obtiene el estado de una tarea de segmentación de video.

Procedure

Paso 1: Crear un usuario de RAM

Un usuario de RAM es una identidad física con un ID fijo y credenciales que representa a una persona o aplicación. Sus características principales son:

Una cuenta de Alibaba Cloud puede crear un usuario de RAM, o bien un usuario de RAM o rol de RAM con privilegios administrativos. En cualquier caso, el usuario de RAM creado pertenece a la cuenta de Alibaba Cloud del creador.
El usuario de RAM no posee recursos. Todos los costos de uso se facturan a la cuenta principal de Alibaba Cloud. Los usuarios de RAM no pueden recibir facturas ni realizar pagos.
Los usuarios de RAM deben recibir autorización antes de iniciar sesión en la consola o invocar operaciones de la API. Tras la autorización, pueden acceder a los recursos propiedad de la cuenta principal de Alibaba Cloud.
Los usuarios de RAM cuentan con contraseñas independientes o pares de AccessKey para iniciar sesión.
Una cuenta de Alibaba Cloud puede crear varios usuarios de RAM para representar empleados, sistemas y aplicaciones.

Para obtener instrucciones, consulte Create a RAM user.

Paso 2: Crear una directiva de permisos personalizada

Consulte Examples of minimum required permissions, seleccione los permisos obligatorios de la Permission list y combínelos en una directiva personalizada. Para obtener instrucciones, consulte Create a custom policy.

Paso 3: Autorizar al usuario de RAM

Adjunte una directiva del sistema o personalizada al usuario de RAM. Otorgue únicamente los permisos necesarios para las tareas del usuario. Para obtener instrucciones, consulte Manage RAM user permissions.

Nota

Los cambios de permisos surten efecto en aproximadamente 5 minutos.

Ejemplos de permisos mínimos requeridos

Ejemplo 1: Permitir que un usuario de RAM enumere workspaces, compruebe la cuota gratuita restante e invoque el servicio de segmentación de documentos en el workspace default.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "searchplat:ListWorkspaces",
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}

Ejemplo 2: Permitir que un usuario de RAM enumere workspaces, compruebe la cuota gratuita restante, gestione claves de API e invoque el servicio de segmentación de documentos en el workspace default.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "searchplat:ListWorkspaces"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/*"
        },
        {
            "Effect": "Allow",
           "Action": [
                "searchplat:DescribeWorkspace",
                "searchplat:WriteCredentials",
                "searchplat:GetDocumentSplit",
                "searchplat:DescribeCredentials",
                "searchplat:DescribeMeasure"
            ],
            "Resource": "acs:searchplat:*:*:workspaces/default"
        }
    ]
}