Resource Access Management:Create a custom policy

Métodos de creación

• Using the visual editor

  RAM ofrece un editor visual WYSIWYG. Genere una política personalizada al seleccionar un efecto, servicio, acción, recurso y condición. Una función de validación inteligente integrada ayuda a comprobar que la política sea válida y efectiva. Este método es muy sencillo.

• Using the script editor

  RAM proporciona un editor de scripts JSON. Escriba la política personalizada según la sintaxis y estructura correspondientes. Esta opción ofrece mayor flexibilidad y resulta ideal si usted conoce bien la sintaxis de las políticas.

• By importing a policy

  • Importar una plantilla de política: RAM incluye plantillas para escenarios comunes, como administradores de sistemas, personal financiero y administradores de red. Importe la plantilla adecuada y aplique modificaciones menores para crear rápidamente una política personalizada.

  • Importar una política del sistema: importe una política del sistema y modifíquela según sus necesidades de negocio. Esta es una forma práctica y rápida de generar una política personalizada a partir de una plantilla estandarizada.

Uso del editor visual

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en la pestaña Visual Editor.

   El editor visual muestra un formulario de declaración con los siguientes campos: Effect (obligatorio, se puede establecer en Allow o Deny, valor predeterminado: Allow), Service (obligatorio), Action (obligatorio), Resource (obligatorio) y Condition (opcional). Seleccione un servicio antes de configurar Action, Resource y Condition. En la parte inferior de la página, haga clic en Add Statement para agregar más declaraciones.

5. Configure la política.

   Para obtener más información sobre los elementos básicos de una política, consulte Permission policy elements.

   1. En la sección Effect, seleccione Allow o Deny.

   2. En la sección Service, seleccione un servicio.

      Nota

      La consola muestra los servicios compatibles con el editor visual.

   3. En la sección Action, seleccione All action(s) o Select action(s).

      El sistema enumera automáticamente las acciones disponibles según el servicio seleccionado en el paso anterior. Si elige Select action(s), deberá seleccionar después las acciones específicas.

   4. En la sección Resources, seleccione All Resources o Specified resource(s).

      El sistema lista automáticamente los tipos de recursos disponibles según las acciones seleccionadas. Si elige Specified resource(s), haga clic en Add Resource para especificar los ARN. Utilice la función Match All para seleccionar rápidamente todos los recursos de un elemento de configuración.

      Nota

      La interfaz marca como Required los ARN de las acciones asociadas. Especifique estos ARN para garantizar que la política funcione correctamente.

   5. En la sección Condition, haga clic en Add Condition para configurar las condiciones.

      Las condiciones incluyen las condiciones comunes de Alibaba Cloud y las específicas de cada servicio. El sistema enumera automáticamente las condiciones disponibles según el servicio y las acciones configuradas. Solo tiene que seleccionar una clave de condición y establecer su valor.

   6. Haga clic en Add Statement y repita los pasos anteriores para configurar varias declaraciones.

6. En la parte superior de la página, haga clic en Optimize y luego en Perform para aplicar una optimización avanzada a la política.

   La función de optimización avanzada de políticas ejecuta las siguientes tareas:

   • Divide recursos o condiciones para acciones incompatibles.

   • Reduce el alcance de los recursos.

   • Elimina declaraciones duplicadas o combina declaraciones.

7. En la página Create Policy, haga clic en OK.

8. En el cuadro de diálogo Create Policy, introduzca un valor en Policy Name y en Description, y luego haga clic en OK.

Uso del editor de scripts

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en la pestaña JSON Editor.

   La página muestra un editor JSON. La plantilla de política predeterminada incluye un elemento Version (establecido en "1") y una matriz Statement. Cada declaración contiene los elementos Effect (con valor predeterminado "Allow"), Action, Resource y Condition. Debe completar los elementos Action y Resource.

5. Introduzca el contenido de la política.

   Para obtener más información sobre la sintaxis y estructura de las políticas, consulte Policy structure and syntax.

6. En la parte superior de la página, haga clic en Optimize y luego en Perform para aplicar una optimización avanzada a la política.

   La función de optimización avanzada de políticas ejecuta las siguientes tareas:

   • Divide recursos o condiciones para acciones incompatibles.

   • Reduce el alcance de los recursos.

   • Elimina declaraciones duplicadas o combina declaraciones.

7. En la página Create Policy, haga clic en OK.

8. En el cuadro de diálogo Create Policy, introduzca un valor en Policy Name y en Description, y luego haga clic en OK.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateUser",
        "ram:CreateAccessKey",
        "ram:ListUsers"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ChangePassword"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DescribeInstances",
        "ecs:DescribeInstanceAttribute",
        "ecs:DescribeInstanceStatus"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/i-bp1xxxxxxxxxxxxxxxxx"
      ]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:CreateStoreView",
        "log:GetProject",
        "log:GetLogStore"
      ],
      "Resource": [
        "acs:log:*:*:project/exampleproject",
        "acs:log:*:*:project/exampleproject/logstore/examplelogstore"
      ]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:RunInstances",
        "ecs:DescribeInstances",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches",
        "ecs:DescribeSecurityGroups"
      ],
      "Resource": ["*"]
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVpc",
        "vpc:CreateVSwitch",
        "vpc:CreateSecurityGroup",
        "vpc:DescribeVpcs",
        "vpc:DescribeVSwitches"
      ],
      "Resource": ["*"]
    }
  ]
}

Optimizar una política demasiado extensa

El contenido JSON de una política personalizada no puede superar los 6144 bytes. Cuando se excede este límite, la operación CreatePolicy devuelve un error InvalidParameter.PolicyDocument.Length (con el mensaje "The policy document size is limited to 6144 bytes"). Utilice los siguientes métodos para reducir la longitud de la política.

Mediante la importación de una política

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en Import Policy.

5. En el cuadro de diálogo Import Policy, seleccione una plantilla de política o una System Policy en la lista desplegable de la esquina superior derecha y luego importe la política.

   1. Seleccione una plantilla de política o una política del sistema.

   2. Para algunas plantillas de política, debe configurar parámetros según sus requisitos de negocio.

   3. Seleccione una regla de sobrescritura para la política importada.

      De forma predeterminada, el contenido de la política recién importada sobrescribe por completo el contenido existente. También puede elegir Do NOT overwrite but append new statements. para agregar el contenido importado al final del existente.

   4. Haga clic en Import.

6. Consulte y modifique el contenido de la política importada en el editor visual o en el editor de scripts.

7. En la parte superior de la página, haga clic en Optimize y luego en Perform para aplicar una optimización avanzada a la política.

   La función de optimización avanzada de políticas ejecuta las siguientes tareas:

   • Divide recursos o condiciones para acciones incompatibles.

   • Reduce el alcance de los recursos.

   • Elimina declaraciones duplicadas o combina declaraciones.

8. En la página Create Policy, haga clic en OK.

9. En el cuadro de diálogo Create Policy, introduzca un valor en Policy Name y en Description, y luego haga clic en OK.

Preguntas frecuentes