Platform For AI:Otorgar permisos en resource groups de computación de IA

Contexto

Los permisos de RAM se aplican a la gestión de recursos nativos de la nube (recursos de computación general y recursos Lingjun) y a las cuotas de recursos.

Pool de recursos

Un pool de recursos gestiona los recursos de computación de IA adquiridos en resource groups dedicados (ResourceGroup).

Para obtener más información, consulte Descripción general.

Cuota de recursos

Una cuota de recursos es un subconjunto de recursos de computación de IA asignados desde un pool de recursos. Una vez que una cuota de recursos se asocia con un espacio de trabajo, los miembros pueden utilizar dichos recursos para el desarrollo de IA y el despliegue de servicios en línea. Para obtener más información, consulte Descripción general.

Las cuotas de recursos siguen una estructura de árbol, como se muestra a continuación. Una cuota de recursos creada a partir de un pool de recursos se denomina cuota de recursos raíz. Cada cuota raíz puede dividirse en varias cuotas secundarias, y cada cuota secundaria puede subdividirse a su vez.

Procedimiento

1. Cree un usuario de RAM. Para obtener más información, consulte Create a RAM user.

2. Cree una política personalizada. Para obtener más información, consulte la sección "Create a custom policy on the JSON tab" en Create custom policies.

   Para consultar los permisos que otorgan las distintas políticas personalizadas, consulte Examples.

3. Asocie la política personalizada al usuario de RAM. Para obtener más información, consulte Grant permissions to a RAM user.

Ejemplos

Permisos de gestión del pool de recursos

Los usuarios de RAM con permisos de gestión del pool de recursos pueden consultar, crear, actualizar y eliminar resource groups dedicados dentro del pool de recursos.

Política de ejemplo:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:*ResourceGroup*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

Permisos de creación, escalado y eliminación de cuotas de recursos raíz

Una cuota de recursos raíz (de primer nivel) obtiene recursos de computación de los resource groups asociados en un pool de recursos. Puede seleccionar uno o varios resource groups. Por lo tanto, crear o escalar una cuota de recursos raíz requiere permisos tanto para el pool de recursos como para la cuota de recursos.

La siguiente política de ejemplo otorga permisos de Get, List y Update para tres pools de recursos: resourcegroup1, resourcegroup2 y resourcegroup3. Un usuario de RAM autorizado solo puede crear una cuota de recursos raíz si asigna recursos desde estos tres pools de recursos.

"acs:pai:*:*:quota/*" indica que un usuario con esta política puede operar sobre todos los árboles de cuotas de recursos, pero las fuentes de recursos se limitan a los resource groups resourcegroup1, resourcegroup2 y resourcegroup3.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:GetResourceGroup",
        "pai:ListResourceGroups",
        "pai:UpdateResourceGroup"
      ],
      "Resource": [
        "acs:pai:*:*:resourcegroup/resourcegroup1",
        "acs:pai:*:*:resourcegroup/resourcegroup2",
        "acs:pai:*:*:resourcegroup/resourcegroup3"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*"
      ]
    }
  ]
}

Permisos de gestión de cuotas de recursos raíz

Gestionar una cuota de recursos raíz no requiere permisos de pool de recursos. Por ejemplo, un usuario de RAM con permisos de gestión de quota1 puede:

• Consultar quota1.

• Actualizar los metadatos de quota1, como la etiqueta y la descripción.

• Gestionar las cuotas de recursos secundarias de quota1: crear, actualizar, escalar y eliminar.

La política para quota1 contiene dos instrucciones Statement. La primera instrucción Statement define los permisos para el árbol de cuotas de recursos con raíz en quota1. La segunda instrucción Statement define los permisos para quota1 en sí.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/quota1/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:UpdateQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/quota1"
      ]
    }
  ]
}

Permisos de gestión de cuotas de recursos secundarias

Por ejemplo, un usuario de RAM con permisos de gestión de quota1.2 puede:

• Consultar quota1.2.

• Actualizar los metadatos de quota1.2, como la etiqueta y la descripción.

• Gestionar las cuotas de recursos secundarias de quota1.2: crear, actualizar, escalar y eliminar.

La política para gestionar quota1.2 contiene dos instrucciones Statement: la primera define los permisos para el árbol de cuotas de recursos con raíz en quota1.2, y la segunda define los permisos para quota1.2 en sí.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "pai:CreateQuota",
        "pai:UpdateQuota",
        "pai:ScaleQuota",
        "pai:DeleteQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*/quota1.2/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "pai:UpdateQuota",
        "pai:GetQuota",
        "pai:ListQuotas"
      ],
      "Resource": [
        "acs:pai:*:*:quota/*/quota1.2"
      ]
    }
  ]
}

Permisos de VPC

Si adquiere recursos Lingjun en la región China (Ulanqab), la configuración de VPC está disponible al crear cuotas de recursos raíz y secundarias en la PAI console. Agregue los siguientes permisos de VPC a su política relacionada con cuotas:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}