Create a RAM role and attach the required policies to the role - - Centro de documentación de Alibaba Cloud

Un rol de Resource Access Management (RAM) es una identidad virtual a la que se pueden adjuntar directivas. Un rol de RAM no tiene credenciales de identidad permanentes, como una contraseña de inicio de sesión o un par de AccessKey. Un rol de RAM solo se puede utilizar después de que una entidad de confianza lo asuma. Una vez que una entidad de confianza asume el rol de RAM, dicha entidad puede obtener un token de Security Token Service (STS) y usarlo para acceder a los recursos de Alibaba Cloud como el rol de RAM.

Paso 1: Crear un rol de RAM

Los métodos disponibles para crear un rol de RAM varían según el tipo de rol. El siguiente ejemplo describe cómo crear un rol de RAM cuya entidad de confianza es una cuenta de Alibaba Cloud. Para obtener más información, consulte Create a RAM role for a trusted Alibaba Cloud account, Create a RAM role for Alibaba Cloud services y Create a RAM role for a trusted identity provider.

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione Identities > Roles.
En la página Roles, haga clic en Create Role.
En la página Create Role, establezca Principal Type en Cloud Account, especifique los detalles de la cuenta de Alibaba Cloud y luego haga clic en OK.
- Current Account: Seleccione esta opción para permitir que todos los usuarios de RAM y los roles de RAM bajo la cuenta actual de Alibaba Cloud asuman el rol. Seleccione Current Account.
- Other Account: Seleccione esta opción para permitir que todos los usuarios de RAM y los roles de RAM de otra cuenta de Alibaba Cloud asuman el rol. Seleccione Other Account e introduzca el ID de la otra cuenta de Alibaba Cloud (cuenta principal). Esta opción se utiliza principalmente para el acceso a recursos entre cuentas. Para obtener más información, consulte Access resources across Alibaba Cloud accounts.Puede encontrar el ID de su cuenta de Alibaba Cloud (cuenta principal) en la página Security Settings.
(Opcional) Para restringir el rol a usuarios o roles de RAM específicos, haga clic en Switch to Policy Editor para modificar la directiva de confianza.

El editor admite dos modos: Visual Editor y JSON Editor. En el siguiente ejemplo, el rol de RAM solo puede ser asumido por el usuario de RAM Alice bajo la cuenta actual de Alibaba Cloud (AccountID=1000719).
- Visual Editor
  
  En la sección Principal, agregue el usuario de RAM.
  
  Haga clic en el enlace Edit junto a Cloud Account e introduzca el ID de la cuenta de confianza.
  
  En el cuadro de diálogo Add Principal, seleccione Current Account para Cloud Account y RAM user para Identity Type. Introduzca el nombre de usuario objetivo, como Alice, en el campo User Name y luego haga clic en OK.
- JSON Editor
  
  En el campo RAM del objeto Principal, introduzca el ARN completo del usuario de RAM.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
En el cuadro de diálogo Create Role, introduzca un Role Name y luego haga clic en OK.

Paso 2: (Opcional) Crear una directiva personalizada

RAM proporciona directivas del sistema y directivas personalizadas. Las directivas del sistema son proporcionadas por Alibaba Cloud y no se pueden modificar. Si las directivas del sistema no satisfacen sus requisitos comerciales, puede crear una directiva personalizada para implementar un control de acceso detallado.

Existen varios métodos para crear una directiva personalizada. En este ejemplo, se crea una directiva personalizada en la pestaña Visual editor. Para obtener más información, consulte Create a custom policy.

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione Permissions > Policies.
En la página Policies, haga clic en Create Policy.
En la página Create Policy, haga clic en la pestaña Visual Editor.

El editor visual muestra un formulario de declaración que incluye los siguientes campos: Effect (obligatorio, se puede establecer en Allow o Deny, predeterminado: Allow), Service (obligatorio), Action (obligatorio), Resource (obligatorio) y Condition (opcional). Debe seleccionar un servicio antes de poder configurar Action, Resource y Condition. En la parte inferior de la página, puede hacer clic en Add Statement para agregar más declaraciones.
Configure la directiva.

Para obtener más información sobre los elementos básicos de una directiva, consulte Basic elements of a policy.
1. En la sección Effect, seleccione Allow o Deny.
2. En la sección Service, seleccione un servicio.
  
  Nota
  La consola muestra los servicios compatibles con el editor visual.
3. En la sección Action, seleccione All action(s) o Select action(s).
  
  El sistema enumera automáticamente las acciones disponibles según el servicio seleccionado en el paso anterior. Si selecciona Select action(s), debe seleccionar posteriormente las acciones específicas.
4. En la sección Resources, seleccione All Resources o Specified resource(s).
  
  El sistema enumera automáticamente los tipos de recursos disponibles según las acciones seleccionadas. Si selecciona Specified resource(s), debe hacer clic en Add Resource para especificar los ARN. Puede utilizar la función Match All para seleccionar rápidamente todos los recursos de un elemento de configuración.
  
  Nota
  La interfaz marca los ARN de las acciones asociadas como Required. Especifique estos ARN para garantizar que la directiva funcione correctamente.
5. En la sección Condition, haga clic en Add Condition para configurar condiciones.
  
  Las condiciones incluyen condiciones comunes de Alibaba Cloud y condiciones específicas del servicio. El sistema enumera automáticamente las condiciones disponibles según el servicio y las acciones configuradas. Simplemente seleccione una clave de condición y configure su valor.
6. Haga clic en Add Statement y repita los pasos anteriores para configurar varias declaraciones.
En la parte superior de la página, haga clic en Optimize y luego en Perform para realizar una optimización avanzada de la directiva.

La función de optimización avanzada de directivas realiza las siguientes tareas:
- Divide recursos o condiciones para acciones incompatibles.
- Reduce el alcance de los recursos.
- Elimina declaraciones duplicadas o combina declaraciones.
En la página Create Policy, haga clic en OK.
En el cuadro de diálogo Create Policy, introduzca un policy name y una Description, y luego haga clic en OK.

Paso 3: Otorgar permisos al rol de RAM

Al otorgar permisos a un rol de RAM, se recomienda conceder únicamente los permisos necesarios basándose en el principio de privilegio mínimo.

Paso 4: Asumir el rol de RAM para acceder a Alibaba Cloud mediante una entidad de confianza

Obtenga un token STS para el rol de RAM en la consola de administración de Alibaba Cloud o mediante la llamada a una operación. Para obtener más información, consulte los siguientes temas:
- Assume a RAM role
- Call an operation
Asuma el rol de RAM para acceder a recursos específicos de Alibaba Cloud.