Puede otorgar permisos a un rol de RAM, consultar los permisos asignados al rol y revocarlos según sea necesario.
Límites
Los permisos de un service-linked role están predefinidos por el servicio en la nube asociado y no se pueden modificar. No es posible agregar ni quitar permisos manualmente a un rol vinculado a un servicio.
La cantidad de políticas (del sistema y personalizadas) que puede adjuntar a un rol de RAM está sujeta a Limitations.
Otorgar permisos a un rol de RAM
Consola
Requiere la política del sistema AliyunRAMFullAccess.
La consola ofrece los siguientes puntos de entrada para otorgar permisos.
|
Punto de entrada |
Casos de uso |
Compatible con operaciones por lotes |
|
Página Identities > Roles |
Otorgue los mismos permisos a uno o más roles de RAM. |
Sí |
|
Página Permissions > Grants |
Otorgue los mismos permisos a varios principales (usuarios, grupos de usuarios y roles) de forma simultánea. |
Sí |
Desde la página Roles
Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
-
En la página Roles, busque el rol de RAM deseado y haga clic en Attach Policy en la columna Actions.
Para otorgar permisos de forma masiva, seleccione varios roles de RAM y haga clic en Grant Permission en la parte inferior de la lista de roles.
-
En el panel Grant Permission, otorgue permisos al rol de RAM.
-
Seleccione un ámbito de recursos.
Account: los permisos se aplican a la cuenta actual de Alibaba Cloud.
-
Resource Group: los permisos se aplican al resource group especificado.
NotaLos permisos a nivel de resource group requieren que el servicio en la nube y el tipo de recurso admitan resource groups. Cloud services that support Resource Groups.
-
Seleccione un principal.
El sistema selecciona automáticamente el rol de RAM actual como principal.
-
Seleccione las políticas.
Elija una o más políticas para adjuntar.
-
Políticas del sistema: predefinidas por Alibaba Cloud, no se pueden modificar. Las políticas disponibles por servicio se enumeran en Cloud services that work with RAM.
NotaLa consola marca las políticas del sistema de alto riesgo, como
AdministratorAccessyAliyunRAMFullAccess. Evite adjuntarlas a menos que sea estrictamente necesario. Políticas personalizadas: definidas y gestionadas por usted. Create a custom policy.
-
Haga clic en OK.
-
Haga clic en close.
Desde la página Grants
Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Grants, haga clic en Grant Permission.
-
En el panel Grant Permission, otorgue permisos al rol de RAM.
-
Seleccione un ámbito de recursos.
Account: los permisos se aplican a la cuenta actual de Alibaba Cloud.
-
Resource Group: los permisos se aplican al resource group especificado.
NotaLos permisos a nivel de resource group requieren que el servicio en la nube y el tipo de recurso admitan resource groups. Cloud services that support Resource Groups.
-
Seleccione un principal.
Elija los roles de RAM deseados.
-
Seleccione las políticas.
Elija una o más políticas para adjuntar.
-
Políticas del sistema: predefinidas por Alibaba Cloud, no se pueden modificar. Las políticas disponibles por servicio se enumeran en Cloud services that work with RAM.
NotaLa consola marca las políticas del sistema de alto riesgo, como
AdministratorAccessyAliyunRAMFullAccess. Evite adjuntarlas a menos que sea estrictamente necesario. Políticas personalizadas: definidas y gestionadas por usted. Create a custom policy.
-
Haga clic en OK.
-
Haga clic en close.
API
Llame a AttachPolicyToRole para adjuntar una política a un rol de RAM. Parámetros obligatorios:
PolicyType: el tipo de política. Valores válidos:SystemyCustom. Distingue entre mayúsculas y minúsculas.PolicyName: el nombre exacto de la política que se va a adjuntar.RoleName: el nombre del rol de RAM.
AttachPolicyToRole otorga permisos únicamente a nivel de cuenta de Alibaba Cloud. Para otorgar permisos a nivel de resource group, utilice Grant permission to a RAM identity de Resource Management.
Consultar permisos de un rol de RAM
Requiere la política del sistema AliyunRAMReadOnlyAccess.
Consola
Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Roles, haga clic en el nombre del rol de RAM deseado.
En la pestaña Permissions, consulte las políticas adjuntas al rol.
API
Llame a ListPoliciesForRole para listar las políticas adjuntas a un rol de RAM. Parámetro obligatorio:
RoleName: el nombre del rol de RAM.
Revocar permisos de un rol de RAM
Requiere la política del sistema AliyunRAMFullAccess.
Consola
Revocar los permisos de un rol de RAM mediante cualquiera de los siguientes métodos.
Desde la página Roles
Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Roles, haga clic en el nombre del rol de RAM deseado.
-
En la pestaña Permissions, busque la política deseada y haga clic en Revoke Permission en la columna Actions.
Para revocar de forma masiva, seleccione varias políticas y haga clic en Revoke Permission en la parte inferior de la lista de políticas.
En el cuadro de diálogo Revoke Permission, haga clic en Revoke Permission.
Desde la página Grants
Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
-
En la página Grants, busque el rol de RAM deseado y haga clic en Revoke Permission en la columna Actions.
Para revocar de forma masiva, seleccione varios roles de RAM y haga clic en Revoke Permission en la parte inferior.
En el cuadro de diálogo Revoke Permission, haga clic en Revoke Permission.
API
Llame a DetachPolicyFromRole para separar una política de un rol de RAM. Parámetros obligatorios:
PolicyType: el tipo de política. Valores válidos:SystemyCustom. Distingue entre mayúsculas y minúsculas.PolicyName: el nombre exacto de la política que se va a separar.RoleName: el nombre del rol de RAM.