Uso de resource groups para un control detallado de recursos - Platform For AI

La integración de los resource groups con Resource Access Management (RAM) permite aislar recursos y gestionar permisos de forma detallada dentro de una sola cuenta de Alibaba Cloud. En este tema se explica cómo Platform for AI (PAI) utiliza los resource groups y se muestra cómo otorgar permisos a nivel de resource group.

Nota

La autorización a nivel de resource group solo aplica para resource types y acciones compatibles.
Para los tipos de recurso no compatibles, otorgar permisos en el ámbito del resource group no tiene efecto. En su lugar, otorgue los permisos a nivel de cuenta. Para obtener más información, consulte Actions that do not support resource group-level authorization.

Funcionamiento

Los resource groups le permiten gestionar los recursos dentro de su cuenta de Alibaba Cloud. Por ejemplo, puede crear resource groups independientes para distintos proyectos y mover los recursos hacia ellos para administrarlos de manera centralizada. Para obtener más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos sobre un resource group específico a distintas identidades, como usuarios de RAM, grupos de usuarios de RAM o roles de RAM. Esto garantiza que cada identidad gestione únicamente los recursos de ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: garantizan que cada identidad tenga exactamente el acceso que necesita. De esta forma, se logra el aislamiento de recursos entre distintos proyectos dentro de la misma cuenta.
Escalabilidad: cuando agregue nuevos recursos, asígnelos al resource group correspondiente. La identidad obtiene automáticamente los permisos necesarios sobre esos recursos, lo que elimina la necesidad de volver a autorizarlos manualmente.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se muestra cómo otorgar a un RAM user permisos sobre los recursos de Platform for AI (PAI) dentro de un resource group específico.

1. Requisitos previos

Cree el RAM user que desea utilizar. Para obtener más información, consulte Create a RAM user.
Cree un resource group y mueva sus recursos existentes hacia él. Para obtener más información, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer resources to a resource group.

2. Otorgar permisos a nivel de resource group

Puede otorgar permisos a nivel de resource group mediante cualquiera de los siguientes métodos.

Método 1: Resource Management console

Otorgue permisos a un usuario de RAM directamente desde el resource group de destino. Para consultar las instrucciones detalladas, vea Grant permissions on a resource group to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, busque el resource group de destino y haga clic en Manage Permissions en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la identidad y la directiva de permisos.
- Principal: seleccione un usuario de RAM existente.
- Permission: seleccione una system policy o una custom policy que haya creado. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Método 2: RAM console

Otorgue permisos a un usuario de RAM desde la consola de RAM. Para consultar las instrucciones detalladas, vea Manage RAM user permissions.

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud (cuenta principal) o como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Add Permissions en la columna Actions.
En el panel Grant Permission, configure los siguientes parámetros:
- Effect Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el que creó en los requisitos previos.
- Permission: seleccione una system policy o una custom policy que haya creado. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Tipos de recurso compatibles con resource groups

A continuación se muestran los tipos de recurso de Platform for AI (PAI) que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo de recurso
Platform for AI (PAI)	paiworkspace	workspace: representa un espacio de trabajo de PAI.

Nota

Si un tipo de recurso obligatorio no es compatible con los resource groups, envíe sus comentarios en la consola de Resource Management.

Acciones sin autorización por resource group

Las siguientes acciones de Platform for AI (PAI) no admiten autorización a nivel de resource group:

Acción	Descripción
paiworkspace:ListGlobalPermissions	-

Para las acciones que no admiten autorización a nivel de resource group, establecer el ámbito de efecto en Resource Group no tiene ningún efecto. Para otorgar estos permisos, debe crear una directiva de permisos personalizada y establecer el ámbito de efecto en Account.

A continuación se presentan dos ejemplos de directivas de permisos personalizadas que puede modificar según sus necesidades.

Permitir todas las acciones de solo lectura que no admiten autorización a nivel de resource group: el elemento Action contiene la lista de estas acciones específicas.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
      ],
      "Resource": "*"
    }
  ]
}
```

Permitir todas las acciones que no admiten autorización a nivel de resource group: el elemento Action contiene la lista de estas acciones específicas.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "paiworkspace:ListGlobalPermissions"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Una identidad con permisos a nivel de cuenta puede acceder a todos los recursos relevantes de dicha cuenta. Para minimizar riesgos, aplique siempre el principio de privilegio mínimo y otorgue permisos con precaución. Compruebe que los permisos otorgados no excedan los requerimientos de la identidad.

Preguntas frecuentes

Consultar el grupo de un recurso

Método 1: haga clic en el nombre del recurso para abrir su página de detalles, donde se muestra el resource group al que pertenece.
Método 2: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Center > Resource Search. Seleccione la cuenta del recurso (la opción Current Account está seleccionada de forma predeterminada). Utilice los filtros para buscar el recurso y consulte su resource group.

Consultar los recursos de un producto dentro de un grupo

Método 1: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Center > Resource Search. Dentro de la cuenta a la que pertenecen los recursos (la opción Current Account está seleccionada de forma predeterminada), haga clic en el nombre del resource group de destino. En el panel derecho, seleccione el producto en la lista desplegable Select resource type para ver todos sus recursos dentro de ese grupo.
Método 2: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Groups > Resource Groups. Busque el resource group de destino y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product ubicada en la parte superior para ver todos sus recursos dentro de ese grupo.

Mover recursos a otro grupo

Inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Groups > Resource Groups. En la fila del resource group de destino, haga clic en Manage Resources en la columna Actions. En la página de gestión de recursos, utilice los filtros para localizar los recursos que desea mover. Seleccione las casillas correspondientes, haga clic en Transfer Resource Group en la parte inferior y siga las indicaciones para completar la transferencia.