Descripción general de las directivas de RAM - Resource Access Management

Las directivas de RAM son conjuntos de permisos que controlan el acceso a sus recursos de Alibaba Cloud. Definen qué acciones pueden ejecutar los principales de RAM en recursos específicos y bajo qué condiciones.

Funcionamiento de las directivas

Cuando un principal de RAM (usuario o rol) solicita acceso a un recurso, RAM evalúa todas las directivas aplicables. La evaluación se rige por dos principios:

Denegación predeterminada: De forma predeterminada, los principales de RAM carecen de permisos. Se deniega implícitamente cualquier solicitud de acción que una directiva no permita de manera explícita.
La denegación explícita prevalece sobre la concesión: Una instrucción Deny explícita siempre anula cualquier instrucción Allow para la misma acción, sin importar otros permisos otorgados.

Estructura y elementos de las directivas

Una directiva es un documento JSON compuesto por una o más instrucciones. Cada instrucción incluye los siguientes elementos fundamentales:

Elemento	Descripción
Effect	Especifica si la instrucción resulta en un `Allow` o un `Deny`.
Action/NotAction	Operaciones específicas de API permitidas o denegadas (como `ecs:DescribeInstances` y `oss:GetObject`).
Resource	Recursos de Alibaba Cloud a los que se aplica la acción, especificados mediante su Alibaba Cloud Resource Name (ARN).
Condition	(Opcional) Restricciones necesarias para aplicar la instrucción, como la dirección IP de origen o la hora de la solicitud.
Principal	Entidad (usuario, cuenta o servicio) con acceso permitido o denegado. Nota Este elemento se usa en directivas basadas en recursos (como una directiva de bucket de OSS), pero no en directivas basadas en identidad.

Para obtener más información, consulte Permission policy elements y Policy structure and syntax.

Tipos de directivas

RAM admite dos tipos de directivas:

Directivas del sistema: Predefinidas por Alibaba Cloud para casos de uso comunes, como AdministratorAccess o AliyunAccountCenterReadOnlyAccess. Puede adjuntar directivas del sistema a principales de RAM, pero no modificarlas.
Directivas personalizadas: Directivas creadas y gestionadas por usted para definir permisos granulares adaptados a sus requisitos de seguridad.

Para otorgar permisos, adjunte una o más directivas a un principal de RAM. Para obtener más información, consulte Manage RAM user permissions, Grant permissions to a RAM user group y Manage permissions for a RAM role.

Propiedad y permisos

Propiedad de los recursos: La cuenta de Alibaba Cloud posee todos los recursos y tiene control total sobre ellos. Aunque un usuario de RAM cree un recurso, la propiedad corresponde a la cuenta, no al usuario.
Permisos de los principales: Los principales de RAM (usuarios y roles) carecen de permisos de forma predeterminada. Solo ejecutan las acciones permitidas explícitamente por las directivas adjuntas.