Si ya conoce Microsoft Entra ID, esta guía relaciona sus conceptos, arquitectura y flujos de trabajo con Alibaba Cloud RAM para que pueda encontrar las funciones equivalentes y evitar confusiones derivadas de las diferencias de terminología.
Por qué necesita esta guía
RAM y Microsoft Entra comparten objetivos similares, pero difieren en terminología y arquitectura. Aplicar directamente la experiencia de Azure puede causar confusión. Tres ejemplos comunes:
"Role" tiene significados distintos: En Azure, un rol es una colección de permisos. En Alibaba Cloud, un rol de RAM es una entidad de identidad que otras identidades asumen.
Control unificado frente a separado: Azure separa la gestión de identidades (Microsoft Entra) del control de acceso a recursos (Azure RBAC). Alibaba Cloud RAM gestiona ambos aspectos dentro de un solo servicio.
Ausencia del concepto de entidad de servicio: Alibaba Cloud no cuenta con un tipo de identidad programática dedicado. En su lugar, se utiliza un usuario de RAM con una AccessKey para credenciales a largo plazo, o se asume un rol de RAM para obtener acceso temporal.
Esta guía relaciona conceptos y escenarios de forma sistemática para ayudarle a construir un modelo mental que facilite la transición del control de acceso de Azure/Microsoft Entra a Alibaba Cloud.
En esta guía
Esta guía cubre:
Product mapping: Cómo se relacionan los servicios principales de Azure con los de Alibaba Cloud y dónde difieren las filosofías de diseño.
Core concept mapping: Comparación lado a lado de jerarquías de recursos, entidades de identidad y modelos de permisos.
Scenario guidance: Equivalentes en Alibaba Cloud para flujos de trabajo comunes de Azure: autenticación, acceso entre cuentas, auditoría y desarrollo.
Mapeo de productos
A continuación se presenta una tabla que relaciona los servicios principales de Microsoft Entra con sus equivalentes en Alibaba Cloud.
|
Servicio de Azure |
Servicio de Alibaba Cloud |
Descripción |
|
El servicio principal de gestión de identidades y accesos (IAM) de cada plataforma. Admite MFA, SSO, integración de aplicaciones y emisión de tokens. Identity authentication and application integration. |
||
|
RAM utiliza políticas para gestionar todos los recursos dentro de una cuenta. Permission concept mapping. |
||
|
API para gestionar entidades de identidad, acceso a aplicaciones y asignaciones de políticas. Development and SDKs. |
||
|
Acceso entre cuentas o inquilinos. Cross-account/tenant access. |
Diferencias en la filosofía de diseño
Ambas plataformas proporcionan IAM, pero adoptan enfoques arquitectónicos distintos:
Microsoft Entra ID es un servicio de identidad independiente. Un inquilino de Entra ID actúa como un límite de identidad dedicado, separado de las suscripciones de recursos de Azure. Los usuarios, las aplicaciones y las políticas de acceso existen dentro de este inquilino.
Alibaba Cloud RAM está integrado en Alibaba Cloud account. La cuenta funciona tanto como límite de identidad como de recurso. Los usuarios, roles y políticas de RAM se definen dentro del alcance de la cuenta, lo que hace más directa la relación entre identidades y recursos.
Mapeo de conceptos principales
Esta sección relaciona la terminología y las diferencias clave entre ambas plataformas en cuanto a arquitectura de recursos, entidades de identidad y modelos de permisos.
Arquitectura de gestión de recursos
Ambas plataformas organizan los recursos en una jerarquía, pero los nombres y las funciones de cada nivel difieren.
|
Concepto de Azure |
Concepto de Alibaba Cloud |
Nivel |
Descripción |
|
Tenant |
Management account |
Contenedor de nivel superior |
El contenedor de gestión de nivel superior para una empresa. La cuenta de administración posee todo el Resource Directory y tiene control total sobre el Resource Directory, las carpetas y las cuentas miembro. La carpeta Root es el nodo superior de la estructura de directorio. |
|
Management Group |
Folder |
Unidad organizativa |
Organiza y gestiona varias suscripciones o cuentas. Ambos admiten anidamiento. |
|
Subscription |
Member account |
Límite de aislamiento |
Una cuenta miembro es el equivalente en Alibaba Cloud de una suscripción de Azure: un límite de aislamiento de recursos. |
|
Resource Group |
Resource group |
Unidad de agrupación |
Un contenedor lógico para recursos. En Alibaba Cloud, los resource groups no se utilizan para la gestión del ciclo de vida. |
|
Resource |
Resource |
Recurso |
Un recurso en la nube, como una máquina virtual, almacenamiento o base de datos. |
-
Jerarquía de recursos de Azure
Azure utiliza una jerarquía de cinco niveles: tenant > management group > subscription > resource group > resource. El tenant es el límite de identidad. Los management groups aplican el cumplimiento en todas las suscripciones. Una subscription es la unidad básica de facturación y aislamiento.
-
Jerarquía de recursos de Alibaba Cloud
Alibaba Cloud utiliza una jerarquía de management account > folder > member account > resource group > resource. La management account posee el Resource Directory. Las carpetas organizan las cuentas miembro, y estas últimas son límites de aislamiento de recursos.
Diferencias clave
Límites de identidad frente a límites de recursos: Un inquilino de Entra ID aísla los datos de identidad (usuarios, aplicaciones, políticas) y no puede contener directamente recursos de Azure. Una cuenta de administración de Alibaba Cloud es una cuenta de Alibaba Cloud y puede alojar recursos directamente, aunque no se recomienda crear recursos empresariales bajo la cuenta de administración.
Resource Directory opcional: Una suscripción de Azure debe pertenecer a una jerarquía de inquilinos y grupos de administración. El Resource Directory de Alibaba Cloud es opcional. La jerarquía de cuenta de administración y carpetas solo está disponible después de habilitarla. Sin Resource Directory, una cuenta funciona como un contenedor independiente de nivel superior.
Mapeo de conceptos de identidad
A continuación se presenta una tabla que relaciona las entidades de identidad entre ambas plataformas.
|
Término de Microsoft Entra |
Término de Alibaba Cloud RAM |
Tipo de entidad |
Descripción |
|
Identidad humana |
Un usuario de RAM pertenece a una sola cuenta y no puede abarcar varias cuentas (a diferencia de los usuarios invitados de Entra ID). |
||
|
Identidad programática |
Un usuario de RAM con una AccessKey funciona de manera similar a una entidad de servicio con un secreto de cliente. |
||
|
Identidad programática |
Acceso sin credenciales para cargas de trabajo. Alibaba Cloud implementa esto mediante roles de RAM. |
||
|
Agrupación |
Los grupos de usuarios de RAM se utilizan únicamente para autorización por lotes. |
||
|
Usuario o entidad de servicio con el permiso |
Usuario de RAM o rol de RAM con la política |
Administrador |
Un superadministrador de RAM tiene control total sobre todos los recursos (incluidas las identidades) dentro de la cuenta. Un administrador global de Entra ID solo puede gestionar identidades, no suscripciones. |
Diferencias clave
Diseño de identidad humana: Entra ID separa estrictamente las identidades humanas de las programáticas. Un usuario de RAM es una identidad de propósito general: añada una contraseña de consola para acceso humano o cree una AccessKey para acceso programático.
Diseño de identidad programática: Entra ID cuenta con una entidad de servicio dedicada para la autenticación de aplicaciones. Alibaba Cloud no tiene un tipo de entidad equivalente. Tanto los usuarios de RAM (con AccessKeys) como RAM roles pueden atender cargas de trabajo programáticas. Para un acceso temporal y más seguro, un programa puede assume a RAM role en lugar de usar AccessKeys a largo plazo.
Diferencias en el aislamiento de cuentas: Microsoft Entra ID admite usuarios invitados entre inquilinos (colaboración B2B). Un inquilino puede invitar a un usuario de otro inquilino para acceder a sus recursos como invitado. Alibaba Cloud RAM no admite identidades de invitados entre cuentas. Un usuario de RAM pertenece estrictamente a la cuenta de Alibaba Cloud que lo creó, y los usuarios de RAM están completamente aislados entre las distintas cuentas de Alibaba Cloud. Si inicia sesión con la cuenta A de Alibaba Cloud, no podrá ver ni gestionar los usuarios de RAM de la cuenta B. Para confirmar qué cuenta posee un usuario de RAM, revise su ARN, que utiliza el formato
acs:ram::<Account ID>:user/<Username>. Para gestionar un usuario de RAM específico, inicie sesión con la cuenta de Alibaba Cloud que lo creó. Las cuentas de Alibaba Cloud en diferentes sitios también son independientes entre sí, y los usuarios de RAM no funcionan entre sitios.
Mapeo de conceptos de permisos
A continuación se presenta una tabla que relaciona los conceptos de permisos entre ambas plataformas.
|
Término de Azure/Microsoft Entra |
Término de Alibaba Cloud RAM |
Descripción |
|
Una colección de permisos que define qué acciones puede realizar una identidad. |
||
|
Asocia una política con una identidad. |
||
|
Permisos predefinidos proporcionados por el proveedor de la nube. |
||
|
Permisos definidos por el usuario adaptados a necesidades específicas. |
||
|
Control de acceso basado en condiciones, como restricciones de IP de origen o requisitos de MFA. |
Diferencias clave
-
Diferencias semánticas entre roles y políticas
Esta es la diferencia conceptual más importante. Un rol de Azure es un contenedor de permisos, no una identidad. Un RAM role es una entidad de identidad que debe asumirse y recibir una política antes de poder actuar. Lo que Azure llama "rol" corresponde a lo que Alibaba Cloud denomina "política".
-
Diferencias en el alcance de las políticas
El ecosistema de Microsoft divide los permisos: los roles de Entra RBAC controlan los recursos del inquilino (usuarios, grupos, aplicaciones), mientras que Azure RBAC controla los recursos de la nube (VM, almacenamiento). Alibaba Cloud utiliza un modelo unificado: una sola política de RAM cubre todos los servicios y recursos bajo una cuenta. Una política de RAM admite granularidad desde el nivel de servicio hasta acciones y recursos individuales.
NotaLa granularidad de los permisos varía según el servicio de Alibaba Cloud. Alibaba Cloud services that support RAM.
Guía de escenarios
Esta sección relaciona los flujos de trabajo de Azure/Microsoft Entra con sus equivalentes en Alibaba Cloud para autenticación, acceso entre cuentas, auditoría y desarrollo.
Autenticación de identidad e integración de aplicaciones
Ambas plataformas admiten MFA, SSO empresarial e integración de aplicaciones, pero difieren en diseño e implementación.
|
Microsoft Entra |
Alibaba Cloud |
Caso de uso |
Descripción |
|
Gestión de RAM user/user group |
Gestionar usuarios/grupos |
Cree, elimine y modifique usuarios y grupos de usuarios. |
|
|
Autenticación multifactor |
RAM admite MFA virtual (equivalente a los tokens OATH de software de Entra), claves de acceso, celulares de seguridad (equivalentes al SMS de Entra) y correos electrónicos de seguridad. |
||
|
Federación de identidades |
Alibaba Cloud admite tanto SSO basado en usuarios como SSO basado en roles para la integración con un IdP empresarial. CloudSSO es adecuado para escenarios de múltiples cuentas dentro de un Resource Directory. |
||
|
SSO empresarial |
La gestión de aplicaciones OAuth proporciona integración de autorización para los servicios de Alibaba Cloud. IDaaS actúa como un IdP independiente para la integración de aplicaciones empresariales. |
||
|
- |
Sincronización de cuentas |
Sincronice identidades empresariales locales con la nube. |
|
|
Servicio de tokens de credenciales |
Alibaba Cloud STS se utiliza para emitir credenciales de seguridad temporales en escenarios de role assumption. El servicio OAuth se utiliza para emitir tokens de acceso para aplicaciones OIDC/OAuth. |
Diferencias clave
-
Federación de identidades
Entra ID puede actuar tanto como IdP como proveedor de servicios (SP). Alibaba Cloud RAM actúa principalmente como proveedor de servicios y confía en su IdP empresarial.
-
Servicios de tokens
Entra ID utiliza un único endpoint de tokens que admite OAuth 2.0 y OIDC de forma nativa. Alibaba Cloud divide esta funcionalidad en dos servicios:
STS: Emite credenciales de seguridad temporales para la asunción de roles y el SSO basado en roles.
Servicio OAuth: Emite tokens de acceso JWT para herramientas oficiales (como Alibaba Cloud CLI) y aplicaciones OIDC/OAuth registradas en RAM.
Acceso entre cuentas/inquilinos
Ambas plataformas admiten el acceso entre cuentas (entre inquilinos en Entra ID), pero utilizan mecanismos diferentes.
|
Microsoft Entra |
Alibaba Cloud |
Caso de uso |
Descripción |
|
Acceso entre cuentas para usuarios empresariales |
Se logra asumiendo un rol de RAM en la cuenta de destino. |
||
|
Acceso entre cuentas para aplicaciones empresariales |
Entra ID admite el registro de aplicaciones multiinquilino. Alibaba Cloud utiliza STS AssumeRole para obtener credenciales temporales. |
||
|
Acceso a aplicaciones para usuarios consumidores |
RAM no proporciona esta función. Utilice Alibaba Cloud IDaaS CIAM en su lugar. |
Diferencias clave
En Entra ID, el acceso entre inquilinos utiliza la colaboración B2B: el inquilino de destino invita a un usuario externo como invitado, lo agrega a su directorio y le asigna roles. Esto crea una identidad persistente en el inquilino de destino.
En Alibaba Cloud, el acceso entre cuentas utiliza la asunción de roles sin crear ninguna identidad en la cuenta de destino. Un usuario o programa llama a STS (AssumeRole, AssumeRoleWithSAML o AssumeRoleWithOIDC) para asumir temporalmente un rol de RAM en la cuenta de destino.
Además de la asunción de roles de RAM, Alibaba Cloud también proporciona autorización entre cuentas basada en recursos (como OSS Bucket Policy o Resource Sharing) para productos específicos.
Registros y auditoría
Ambas plataformas proporcionan auditoría operativa y registros.
|
Microsoft Entra |
Alibaba Cloud |
Descripción |
|
Rastrea operaciones de consola y API. ActionTrail es un servicio independiente de Alibaba Cloud, no una función integrada de RAM. |
||
|
ActionTrail (eventos de inicio de sesión) |
Los eventos de inicio de sesión en la consola se registran en ActionTrail. No existe un servicio separado de registros de inicio de sesión. |
|
|
Configure el almacenamiento a largo plazo y el análisis de los registros de auditoría. |
Diferencias clave
Categorización de registros: Entra ID separa los registros de inicio de sesión de los registros de auditoría. Alibaba Cloud consolida todos los eventos en ActionTrail.
Alcance de la auditoría: Los registros de auditoría de Entra ID cubren únicamente operaciones de identidad; las operaciones de recursos en la nube se registran en los registros de actividad de Azure. ActionTrail de Alibaba Cloud cubre tanto las operaciones de identidad de RAM como las operaciones de recursos en la nube en un solo servicio.
Desarrollo y SDK
Ambas plataformas proporcionan herramientas de desarrollo y SDK.
|
Microsoft Entra |
Alibaba Cloud |
Caso de uso |
Descripción |
|
Integración de aplicaciones OAuth/OIDC |
Desarrolle aplicaciones OAuth/OIDC e integrelas con la plataforma de autenticación en la nube. |
||
|
Llamadas a API |
Gestión completa del ciclo de vida de entidades de identidad (usuarios, grupos), acceso a aplicaciones y asignación de políticas. |
||
|
SDK de autenticación de identidad |
Ambos admiten cadenas de credenciales para la resolución automática de credenciales. |
||
|
- |
Biblioteca de autenticación |
Alibaba Cloud no cuenta con una biblioteca de autenticación equivalente. Utilice una biblioteca OAuth/OIDC de terceros. |
Solo algunas operaciones de OpenAPI de Alibaba Cloud admiten autenticación mediante Bearer Token (token de acceso). Credentials. Todas las operaciones de la API REST de Azure y Microsoft Graph utilizan tokens de acceso del servicio de tokens de Entra.
Diferencias clave
-
Arquitectura de API: Microsoft Entra utiliza un único punto de entrada: todas las operaciones de identidad, aplicación y política pasan por la API de Microsoft Graph. Alibaba Cloud RAM utiliza tres endpoints de API independientes:
IMS (Identity Management Service): Gestiona el ciclo de vida de las identidades (usuarios, grupos), la configuración de SSO y el registro de aplicaciones OAuth.
RAM: Gestión de políticas y autorización.
STS (Security Token Service): Asunción de roles y emisión de credenciales temporales.