Create a RAM role with an Alibaba Cloud service as the trusted entity - Resource Access Management

Un rol de RAM que tiene un servicio de Alibaba Cloud como entidad de confianza permite el acceso entre servicios. El servicio de confianza puede asumir este rol para ejecutar operaciones autorizadas en su cuenta.

Tipos de roles de servicio

Rol de servicio estándar: especifique un nombre de rol personalizado, seleccione un servicio de confianza de Alibaba Cloud y adjunte una política de permisos personalizada.
Rol vinculado a un servicio: solo necesita seleccionar un servicio de confianza de Alibaba Cloud. El servicio proporciona un nombre de rol y una política de permisos predefinidos. Este tipo de rol se crea automáticamente cuando usted ejecuta una acción específica, como crear un recurso en la nube o habilitar una función. También es posible crearlo manualmente desde la consola de RAM. Para obtener más información sobre los roles vinculados a un servicio, consulte Service-linked roles.

Crear un rol de servicio estándar

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Roles.
En la página Roles, haga clic en Create Role.
En la página Create Role, seleccione Principal Type como Cloud Service, elija un servicio específico de Alibaba Cloud y luego haga clic en OK.

Nota
Los servicios disponibles se muestran en la lista desplegable Principal Name de la consola.
(Opcional) Si necesita confiar en el acceso desde otra cuenta en la nube o desde varios servicios de Alibaba Cloud, haga clic en Switch to Policy Editor para especificar los servicios.

El editor admite los modos Visual Editor y JSON Editor. A continuación se muestra un ejemplo que permite al servicio ActionTrail de otra cuenta en la nube (ID: 177***6878) asumir este rol de RAM y ejecutar operaciones en su cuenta.
- Visual Editor
  
  En la sección Principal, especifique el servicio de Alibaba Cloud.
  
  Establezca Principal Type en Cloud Service. Luego, haga clic en Edit junto al campo Cloud Service que aparece para especificar el servicio.
  
  En el cuadro de diálogo Add Principal, dentro de Cloud Account, seleccione Other Account e introduzca el ID de la cuenta en la nube de destino. En Cloud Service, seleccione el servicio correspondiente, por ejemplo, ActionTrail actiontrail.aliyuncs.com, y luego haga clic en OK.
- JSON Editor
  
  Especifique el servicio de Alibaba Cloud en el campo Service de Principal.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "177*******6878@actiontrail.aliyuncs.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
En el cuadro de diálogo Create Role, introduzca un valor en Role Name y luego haga clic en OK.

Un rol de RAM recién creado no tiene permisos de forma predeterminada. Debe otorgarle permisos. Para obtener más información, consulte Grant permissions to a RAM role.

Crear un rol vinculado a un servicio

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Roles.
En la página Roles, haga clic en Create Role.
En la esquina superior derecha de la página Create Role, haga clic en Create Service Linked Role.
En la página Create Service Linked Role, seleccione un servicio de confianza y luego haga clic en Create Service Linked Role.

En Select Service, seleccione Tag. La información de vista previa indica que el nombre del rol es AliyunServiceRoleForTag y que el nombre de la política de permisos es AliyunServiceRolePolicyForTag.

Nota
Los servicios disponibles se muestran en la lista desplegable Select Service de la consola.

Un rol vinculado a un servicio tiene un nombre de rol y una política de permisos predefinidos por el servicio en la nube, por lo que queda listo para usarse inmediatamente después de su creación.