:Crear un grupo de usuarios de RAM y otorgar permisos al grupo

Paso 1: Crear un grupo de usuarios de RAM

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Groups.

3. En la página Groups, haga clic en Create Group.

4. En la página Create Group, introduzca un Group Name, un Display Name y una Note.

   Requisitos del nombre de grupo

   El campo Group Name solo puede contener letras, dígitos, puntos (.), guiones bajos (_) y guiones (-). La longitud debe ser de 1 a 64 caracteres. No se admiten caracteres chinos.

   Si introduce un carácter no válido, el botón OK se deshabilita y no se muestra ningún mensaje. Para enviar el formulario, cambie el nombre por letras, dígitos o una combinación de caracteres compatibles.

   • Válidos: admin-group, user.team1, dev_01

   • No válidos: nombres que contienen caracteres chinos o cualquier otro carácter no compatible

5. Haga clic en OK.

Paso 2: Agregar usuarios de RAM al grupo de usuarios de RAM

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Users.

3. En la página Users, busque el usuario que desea gestionar y haga clic en Add to Group en la columna Actions.

4. En el panel Add User, seleccione el grupo de usuarios de RAM al que desea agregar el usuario.

5. Haga clic en OK.

6. Haga clic en OK.

Paso 3: (Opcional) Crear una directiva personalizada

RAM proporciona directivas del sistema y directivas personalizadas. Las directivas del sistema son proporcionadas por Alibaba Cloud y no se pueden modificar. Si las directivas del sistema no satisfacen sus requisitos empresariales, puede crear una directiva personalizada para implementar un control de acceso detallado.

Puede crear una directiva personalizada mediante diferentes métodos. En este ejemplo, se crea una directiva personalizada en la pestaña Visual editor. Para obtener más información, consulte Create a custom policy.

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Permissions > Policies.

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en la pestaña Visual Editor.

   El editor visual muestra un formulario de declaración que incluye los siguientes campos: Effect (obligatorio, puede establecerse en Allow o Deny, valor predeterminado: Allow), Service (obligatorio), Action (obligatorio), Resource (obligatorio) y Condition (opcional). Debe seleccionar un servicio antes de poder configurar Action, Resource y Condition. En la parte inferior de la página, puede hacer clic en Add Statement para agregar más declaraciones.

5. Configure la directiva.

   Para obtener más información sobre los elementos básicos de una directiva, consulte Basic elements of a policy.

   1. En la sección Effect, seleccione Allow o Deny.

   2. En la sección Service, seleccione un servicio.

      Nota

      La consola muestra los servicios compatibles con el editor visual.

   3. En la sección Action, seleccione All action(s) o Select action(s).

      El sistema enumera automáticamente las acciones disponibles según el servicio que seleccionó en el paso anterior. Si selecciona Select action(s), debe seleccionar posteriormente las acciones específicas.

   4. En la sección Resources, seleccione All Resources o Specified resource(s).

      El sistema enumera automáticamente los tipos de recursos disponibles según las acciones que seleccionó. Si selecciona Specified resource(s), debe hacer clic en Add Resource para especificar los ARN. Puede usar la función Match All para seleccionar rápidamente todos los recursos de un elemento de configuración.

      Nota

      La interfaz de usuario marca los ARN de las acciones asociadas como Required. Especifique estos ARN para garantizar que la directiva funcione correctamente.

   5. En la sección Condition, haga clic en Add Condition para configurar condiciones.

      Las condiciones incluyen condiciones comunes de Alibaba Cloud y condiciones específicas del servicio. El sistema enumera automáticamente las condiciones disponibles según el servicio y las acciones que configuró. Simplemente seleccione una clave de condición y configure su valor.

   6. Haga clic en Add Statement y repita los pasos anteriores para configurar varias declaraciones.

6. En la parte superior de la página, haga clic en Optimize y luego en Perform para realizar una optimización avanzada de la directiva.

   La función de optimización avanzada de directivas realiza las siguientes tareas:

   • Divide recursos o condiciones para acciones incompatibles.

   • Reduce el alcance de los recursos.

   • Elimina declaraciones duplicadas o combina declaraciones.

7. En la página Create Policy, haga clic en OK.

8. En el cuadro de diálogo Create Policy, introduzca un policy name y una Description, y luego haga clic en OK.

Paso 4: Otorgar permisos al grupo de usuarios de RAM

Al otorgar permisos a un grupo de usuarios de RAM, se recomienda conceder únicamente los permisos necesarios basándose en el principio de menor privilegio.

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación, seleccione Identities > Groups.

3. En la página Groups, busque el grupo de usuarios de RAM objetivo y haga clic en Grant Permissions en la columna Actions.

   También puede seleccionar varios grupos de usuarios de RAM y hacer clic en Grant Permissions debajo de la lista para otorgar permisos de forma masiva.

4. En el panel Grant Permissions, configure la asignación de permisos.

   1. Seleccione el alcance de los recursos.

      • Account: Los permisos se aplican dentro de la cuenta actual de Alibaba Cloud.

      • Resource Group: Los permisos se aplican dentro del resource group especificado.

        Nota

        Para que los permisos se apliquen a un resource group, el servicio en la nube y el tipo de recurso deben ser compatibles con resource groups. Para obtener más información, consulte Cloud services that support resource groups.

   2. Seleccione la entidad de seguridad.

      La entidad de seguridad es el grupo de usuarios de RAM al que desea otorgar permisos. El sistema selecciona este grupo automáticamente.

   3. Seleccione una o más directivas.

      Una directiva es un conjunto de permisos. Puede seleccionar varias directivas.

      • Directivas del sistema: Directivas predefinidas creadas y mantenidas por Alibaba Cloud. Puede usar estas directivas, pero no modificarlas. Para obtener más información, consulte Cloud services that support RAM.

        Nota

        El sistema marca automáticamente las directivas del sistema de alto riesgo (por ejemplo, AdministratorAccess y AliyunRAMFullAccess). Evite otorgar directivas del sistema de alto riesgo innecesarias.

      • Directivas personalizadas: Directivas que usted crea y gestiona. Puede crear, actualizar y eliminar directivas personalizadas. Para obtener más información, consulte Create a custom policy.

   4. Haga clic en OK.

5. Haga clic en close.