Una identidad identifica de forma única a un usuario dentro de un sistema. El sistema determina los permisos de un usuario con base en su identidad. Alibaba Cloud admite los siguientes tipos de identidades: cuenta de Alibaba Cloud, usuario de Resource Access Management (RAM) y rol de RAM.
Cuenta de Alibaba Cloud
La cuenta de Alibaba Cloud es la entidad básica para la propiedad de los recursos de Alibaba Cloud, así como para la medición y facturación de su uso. Esta cuenta recibe los cargos por el uso de todos los recursos que contiene y tiene permisos completos sobre ellos. Salvo en los escenarios donde sea obligatorio usar una cuenta de Alibaba Cloud, se recomienda utilizar un usuario de RAM o un rol de RAM para iniciar sesión en la consola de administración de Alibaba Cloud y llamar a las operaciones de la API.
Usuario de RAM
Un usuario de RAM es una identidad física con un ID fijo y credenciales propias que representa a una persona o a una aplicación. Características principales:
Una cuenta de Alibaba Cloud puede crear un usuario de RAM, o bien puede hacerlo un usuario de RAM o un rol de RAM con privilegios administrativos. En ambos casos, el usuario de RAM creado pertenece a la cuenta de Alibaba Cloud del creador.
Un usuario de RAM no posee recursos. Todos los costos de uso se facturan a la cuenta de Alibaba Cloud principal. Los usuarios de RAM no pueden recibir facturas ni realizar pagos.
Los usuarios de RAM deben recibir autorización antes de iniciar sesión en la consola o llamar a operaciones de la API. Una vez autorizados, pueden acceder a los recursos propiedad de la cuenta de Alibaba Cloud principal.
Los usuarios de RAM cuentan con contraseñas independientes o pares de accesskey para iniciar sesión.
Una cuenta de Alibaba Cloud puede crear varios usuarios de RAM para representar a empleados, sistemas y aplicaciones.
Para obtener más información, consulte Descripción general.
Recomendaciones
Cree un usuario de RAM independiente para cada desarrollador
Puede crear varios usuarios de RAM para distintos desarrolladores según sus regiones, servicios, entornos de desarrollo y organizaciones. La ventaja de esta separación detallada es que cada usuario de RAM tiene límites claros de responsabilidad empresarial, lo cual facilita la identificación y el análisis de operaciones.
Desventajas de compartir un usuario de RAM:
Si se ejecuta una operación anómala, es posible determinar qué usuario de RAM la realizó. Sin embargo, resulta muy difícil identificar a la organización o persona específica responsable, ya que el usuario de RAM es compartido por varias organizaciones o individuos.
Si se filtra el par de accesskey de un usuario de RAM, deshabilite dicho par lo antes posible. Si el usuario de RAM es compartido por varios desarrolladores y el par de accesskey está codificado directamente en las aplicaciones, no podrá deshabilitarlo hasta eliminarlo de todo el código. Esto representa una amenaza crítica para el sistema.
Separe los usuarios de consola de los usuarios de API
Se recomienda no crear simultáneamente una contraseña de inicio de sesión para operaciones en consola y un par de accesskey para operaciones de API en el mismo usuario de RAM. Esta práctica evita que errores operativos de los usuarios de RAM afecten su negocio.
Recomendaciones:
Para permitir que una aplicación acceda a recursos mediante llamadas a operaciones de la API, solo solicite un par de accesskey para el usuario de RAM correspondiente a dicha aplicación.
Para permitir que un empleado gestione recursos desde la consola, solo establezca una contraseña de inicio de sesión para el usuario de RAM de ese empleado.
Rol de RAM
Por ejemplo, la Cuenta A de Alibaba Cloud crea el rol de RAM a_rr1, otorga el permiso FullAccess sobre Object Storage Service (OSS) a dicho rol y luego asigna el rol de RAM al usuario de RAM b_ru1 de la Cuenta B de Alibaba Cloud. De este modo, los desarrolladores pueden iniciar sesión en la consola como el usuario de RAM b_ru1 y gestionar los recursos de OSS de la Cuenta A al asumir el rol de RAM a_rr1.