Grant, view, and revoke RAM user permissions - Alibaba Cloud - Resource Access Management

De forma predeterminada, los usuarios de RAM recién creados no tienen permisos. Antes de que un usuario de RAM pueda acceder o gestionar recursos de Alibaba Cloud dentro de su ámbito de autorización, debe otorgarle los permisos correspondientes. Este tema explica cómo otorgar, consultar y revocar permisos de usuarios de RAM, e incluye prácticas recomendadas de seguridad y guías para la resolución de problemas.

Conceptos básicos

Antes de otorgar permisos, familiarícese con estos conceptos:

Tipos de políticas de permisos

Una permission policy es un conjunto de permisos de acceso. RAM admite dos tipos y permite vincular varias políticas a un usuario de RAM al mismo tiempo. Aplique siempre el principio de privilegio mínimo.
- System policy: políticas predefinidas por Alibaba Cloud, como AliyunECSReadOnlyAccess (acceso de solo lectura a ECS) y AliyunOSSFullAccess (acceso total a OSS). Consulte System policy reference para ver la lista completa.
- Custom policy: política que usted crea para requisitos específicos que las políticas del sistema no cubren. Debe Create a custom policy antes de poder otorgarla. Para los permisos relacionados con compras, consulte What permissions does a RAM user need to purchase resources?.
Comportamiento y límites de la autorización
- Aplicación inmediata: los permisos surten efecto al instante. No se requiere ningún periodo de espera ni volver a iniciar sesión.
- Límites de cantidad: cada usuario de RAM tiene un número máximo de políticas del sistema y personalizadas que se le pueden vincular. Para más detalles, consulte Limits.
- Restricciones de resource group: compruebe que el servicio en la nube, la operación y el tipo de recurso de destino sean compatibles con la autorización a nivel de resource group. Para más detalles, consulte Cloud services that support resource group-level authorization.

Otorgar permisos a un usuario de RAM

Si aún no ha creado un usuario de RAM, hágalo siguiendo Basic operations. Una vez creado, aplique el principio de privilegio mínimo y otorgue únicamente los permisos necesarios para el trabajo del usuario.

Console

La consola de RAM ofrece dos puntos de entrada; ambos permiten autorizaciones individuales y masivas:

Página Users: el sistema selecciona automáticamente el principal según los usuarios que usted elija. Resulta ideal para flujos de trabajo centrados en el usuario.
Página Grants: aquí usted selecciona manualmente los principales y puede consultar todos los registros de autorización de su cuenta. Es más indicado para flujos de trabajo centrados en los permisos.

Nota

Consejo: para una gestión a gran escala, agregue a un grupo de usuarios aquellos usuarios de RAM que tengan las mismas responsabilidades y luego otorgue los permisos al grupo. Vaya a Identities > User Groups para gestionar los grupos.

Desde la página Users

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, seleccione Identities > Users.
En la página Users, busque el usuario de RAM de destino y haga clic en la columna Actions > Attach Policy.

También puede seleccionar varios usuarios de RAM y hacer clic en Attach Policy, debajo de la lista de usuarios, para realizar una autorización masiva.

En el panel Grant Permission, configure los siguientes parámetros:

Resource scope:
- Account level: los permisos se aplican a todos los recursos de su cuenta de Alibaba Cloud.
- Resource group level: los permisos se aplican únicamente dentro del resource group especificado. Después de iniciar sesión, el usuario de RAM debe cambiar al resource group autorizado en la barra de navegación superior.
  Nota
  1. El sistema marca con un indicador de advertencia las políticas del sistema de alto riesgo, como AdministratorAccess y AliyunRAMFullAccess. Estas políticas suelen otorgar control total sobre todos los recursos en la nube o gestión completa de RAM. Otorgue estas políticas con precaución.
  2. Para ver ejemplos de autorización de resource group, consulte Control RAM user access to specific ECS instances.
Principal:

El principal es el usuario de RAM que recibe los permisos. Desde la página Users, el sistema selecciona automáticamente el usuario actual. Desde la página Grants, debe seleccionar el usuario de forma manual. Se admite la selección masiva.

Permission policy:

System policy: busque y seleccione la política. Filtre por nombre de producto (por ejemplo, ECS, OSS), nivel de acceso (por ejemplo, ReadOnly, FullAccess) o nombre completo de la política. Por ejemplo, para otorgar permisos de gestión financiera (gastos y costos), busque BSS y encontrará AliyunBSSFullAccess (acceso total a Billing and Cost Management) junto con otras políticas relacionadas con finanzas.

A continuación se muestra una tabla con los nombres de las políticas del sistema para los productos de Alibaba Cloud más solicitados, lo que le ayudará a encontrar rápidamente la política adecuada.

Producto	Nombre de la política del sistema	Nivel de acceso
Gestión de facturación y costos (finanzas)	`AliyunBSSFullAccess`	Acceso total
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Solo lectura
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Acceso total
Alibaba Cloud DevOps	`AliyunYunxiaoFullAccess`	Acceso total
Model Studio (Bailian)	`AliyunBailianFullAccess`	Acceso total
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Acceso total
SSL Certificates Service	`AliyunYundunCertFullAccess`	Acceso total
Cloud Phone	`AliyunECDFullAccess`	Acceso total
Support Center	`AliyunSupportFullAccess`	Acceso total
Resource Center	`AliyunResourceCenterFullAccess`	Acceso total
AgentBay	`AliyunAgentBayFullAccess`	Acceso total
Security Center	`AliyunYundunSASFullAccess`	Acceso total

Si no encuentra la política del producto que busca, consulte System policy reference para ver la lista completa, o bien create a custom policy para implementar un control de acceso detallado.

Custom policy: debe Create a custom policy antes de poder otorgarla.
Límite de paginación al seleccionar todo: la lista de políticas está paginada. La opción de seleccionar todo se aplica únicamente a la página actual. Al cambiar de página, las políticas seleccionadas previamente permanecen en la lista, pero las de la nueva página no se seleccionan automáticamente; debe elegirlas página por página.
Otorgar permisos de administrador rápidamente: para otorgar permisos de administrador, busque AdministratorAccess en el cuadro de búsqueda y selecciónela directamente, en lugar de elegir políticas página por página. Al seleccionar esta política se activa una advertencia de autorización de alto riesgo.

(Opcional) Description: introduzca el motivo o escenario de la autorización para fines de auditoría.
Haga clic en Confirm.

Revise el resultado de la autorización y haga clic en Close.

Desde la página Grants

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, seleccione Permissions > Grants.
En la página Grants, haga clic en Grant Permission.
En el panel Grant Permission, seleccione el principal y configure los mismos parámetros descritos anteriormente.
Revise el resultado de la autorización y haga clic en Close.

Nota

Los usuarios de RAM creados mediante la función Quick Start en la página Overview de la consola de RAM reciben automáticamente la política del sistema correspondiente según el escenario seleccionado, sin necesidad de una autorización manual:

Super user: recibe automáticamente la política PowerUserAccess. Este usuario puede gestionar servicios y recursos en la nube, pero no identidades de RAM ni sus permisos, resource directories o cuentas de facturación.
Account administrator: recibe automáticamente la política AdministratorAccess. Este usuario puede gestionar todos los recursos de Alibaba Cloud, incluidas las identidades y los permisos de RAM.

Utilice estas opciones únicamente cuando realmente se requieran privilegios de superadministrador. Para las operaciones cotidianas, aplique el principio de privilegio mínimo y otorgue solo los permisos necesarios para la tarea específica.

OpenAPI

Otorgar una custom policy

Llame a CreatePolicy para crear una custom policy. Para conocer la sintaxis de las políticas, consulte Permission policy elements y Overview of sample policies.
Llame a AttachPolicyToUser para otorgar la política a nivel de account level (establezca PolicyType como Custom).

Como alternativa, llame a AttachPolicy para otorgar la política a nivel de resource group level.

Otorgar una system policy

Llame a AttachPolicyToUser para vincular la política del sistema al usuario de RAM (establezca PolicyType como System). Para consultar los valores disponibles de PolicyName, vea System policy reference.
Como alternativa, llame a AttachPolicy para otorgar la política a nivel de resource group level.

Consultar los permisos de un usuario de RAM

Console

Importante

La página Grants (en el panel de navegación izquierdo, Permissions > Grants) muestra el historial de operaciones de autorización, es decir, los registros de cuándo se otorgaron o revocaron políticas. No refleja los permisos vigentes actuales de un usuario de RAM. Si otorgó permisos recientemente y no los encuentra en la página Grants, o si necesita la lista completa de los permisos actuales de un usuario, vaya a la página de detalles del usuario y haga clic en la pestaña Permissions tal como se describe en los pasos siguientes. Esta pestaña Permissions muestra tanto los permisos individuales como los heredados de los grupos de usuarios.

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, seleccione Identities > Users.
En la página Users, haga clic en el nombre del usuario de RAM de destino.
Haga clic en la pestaña Permissions para consultar los permisos Individual y Group Permissions.

Nota

Para evaluar el uso real de los permisos (última hora de acceso, políticas inactivas o accesos con privilegios excesivos), revise la pestaña Permission Audit (Beta) en la página de detalles del usuario, o bien Access Analysis en la página de descripción general de RAM.

OpenAPI

Llame a ListPoliciesForUser para consultar la lista de autorizaciones a nivel de cuenta de un usuario de RAM específico. Esta operación no devuelve las autorizaciones a nivel de resource group.

Revocar permisos de un usuario de RAM

Nota

Importante: antes de revocar permisos, revise la pestaña Permission Audit (Beta) para comprobar la última hora de uso, o consulte Access Analysis en la página de descripción general de RAM para identificar políticas inactivas. Así evitará eliminar permisos activos por accidente.

Console

Existen dos puntos de entrada:

Página Users: revoque las políticas desde la página de detalles del usuario. Recomendada para limpiezas centradas en el usuario.
Página Grants: revoque permisos desde la lista completa de registros de autorización. Más indicada para limpiezas centradas en los permisos.

Desde la página Users

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, seleccione Identities > Users.
En la página Users, haga clic en el nombre del usuario de RAM de destino.
Haga clic en la pestaña Permissions. En la sección Individual, busque la política de destino y haga clic en la columna Actions > Revoke Permission.
En el cuadro de diálogo Revoke Permission, confirme los detalles de Principal y Permission Policy, y luego haga clic en Revoke Permission.

Desde la página Grants

Inicie sesión en la consola de RAM.
En el panel de navegación izquierdo, seleccione Permissions > Grants.
En la página Grants, haga clic en la columna Actions > Revoke Permission del registro de autorización de destino.

También puede seleccionar varios registros y hacer clic en Revoke Permission, debajo de la lista, para realizar una revocación masiva.
En el cuadro de diálogo Revoke Permission, haga clic en Revoke Permission.

OpenAPI

Llame a DetachPolicyFromUser para revocar una política de permisos específica de un usuario de RAM.

Prácticas recomendadas de seguridad

Aplique el principio de privilegio mínimo. Otorgue únicamente los permisos mínimos necesarios para la tarea.
1. Ejemplo 1: gestionar instancias de ECS específicas
  - Incorrecto: otorgar AdministratorAccess o AliyunECSFullAccess.
  - Correcto: crear una política personalizada que restrinja Resource a identificadores de instancia específicos. Para ver un ejemplo, consulte Allow managing a specific ECS instance.
2. Ejemplo 2: todos los permisos excepto los de facturación
  - Incorrecto: otorgar AdministratorAccess.
  - Correcto: crear una política personalizada con una declaración de denegación explícita para "Action": "bss:*","bssapi:*","efc:*" "Effect": "Deny". Para ver un ejemplo, consulte Allow managing all resources except billing.
Audite los permisos periódicamente. Utilice Governance Detection en la página de descripción general de RAM para detectar AccessKeys sin uso durante 90 días y usuarios de RAM inactivos. Use Access Analysis (Beta) para identificar identidades con privilegios excesivos.
Utilice las políticas de alto riesgo con precaución. Otorgue AliyunRAMFullAccess y políticas similares solo cuando sea necesario (por ejemplo, a administradores de RAM) y supervise todas las operaciones de dichos usuarios.
Prefiera roles de RAM para el acceso temporal. En autorizaciones de corta duración (canales de CI/CD, acceso entre cuentas u operaciones de terceros), cree un rol de RAM y use STS para emitir credenciales temporales, en lugar de vincular políticas de larga duración a usuarios de RAM. Las credenciales temporales caducan automáticamente.

Limitaciones de las notificaciones de mensajes para usuarios de RAM

Un usuario de RAM no puede recibir notificaciones de facturación a nivel de cuenta, como quota alerts y billing reminders. De forma predeterminada, estas notificaciones se envían únicamente a los contactos de la cuenta de Alibaba Cloud y no es posible modificar los destinatarios.

En la página Basic Notification Settings del Message Center, los canales de notificación (internal message, SMS y email) y los destinatarios de las notificaciones de facturación de la cuenta están bloqueados. Además, todos los controles de edición (Edit, Batch Edit Rules y Save) se encuentran deshabilitados.

Soluciones alternativas

Solicite a la cuenta de Alibaba Cloud que inicie sesión regularmente en la consola y revise las notificaciones de facturación en el Message Center.
Para las notificaciones que no son de facturación (como product notifications y event notifications), la cuenta de Alibaba Cloud puede hacer clic en Edit junto al tipo de notificación correspondiente en la página Basic Notification Settings del Message Center. Desde ahí, edite las reglas de notificación en la pestaña Message Recipients o agregue contactos mediante el enlace Address and Contacts.
Para permitir que un usuario de RAM opere en el Message Center, la cuenta de Alibaba Cloud debe otorgarle el permiso AliyunConsoleFullAccess.

Preguntas frecuentes

¿Puede un usuario de RAM consultar sus propios permisos?

No. De forma predeterminada, los usuarios de RAM no pueden consultar la lista de sus propias políticas de permisos. Alternativas:

Acceso de prueba: intente ejecutar la acción deseada. Un error de "permisos insuficientes" indica que faltan permisos.
Contacte a su administrador: solicite al propietario de la cuenta de Alibaba Cloud o a un usuario de RAM con AliyunRAMFullAccess que lo compruebe desde la consola de RAM.

¿Puede un usuario de RAM comprar productos en la nube?

Sí, siempre que se le hayan otorgado los permisos de compra necesarios. Consulte What permissions does a RAM user need to purchase resources?.

No se admiten límites de gasto individuales ni facturación separada para usuarios de RAM. Todos los cargos se consolidan bajo la cuenta de Alibaba Cloud.

¿Cómo otorgo permisos temporales y revocables a un usuario de RAM?

No vincule políticas de larga duración para necesidades temporales. En su lugar, cree un rol de RAM con los permisos requeridos y haga que el usuario de RAM llame a AssumeRole mediante STS para obtener credenciales con límite de tiempo. Para más detalles, consulte Assume a RAM role.

Las credenciales temporales caducan automáticamente. Este enfoque funciona muy bien para CI/CD, delegación entre cuentas y operaciones de terceros.

¿Cómo resuelvo errores de "permiso denegado" para un usuario de RAM?

Vaya a Permissions > Permission Diagnosis en la consola de RAM. Pegue el texto cifrado de diagnóstico (AccessDeniedDetail.EncodedDiagnosticMessage de la respuesta de error) o el Request ID, y luego haga clic en Start Diagnosis. El sistema decodifica el motivo de la denegación —incluida la política coincidente, la condición o la denegación explícita— para ayudarle a identificar el problema.

Troubleshoot access denied errors.

¿Qué hago si recibo un error LimitExceeded.User.Policy al otorgar permisos a un usuario de RAM?

Este error ocurre cuando el usuario de RAM alcanza el número máximo de políticas de permisos que se le pueden vincular. De forma predeterminada, a cada usuario de RAM se le pueden vincular hasta 20 políticas del sistema y 20 políticas personalizadas. Para consultar los valores de cuota actuales, vea Limits.

Para resolver este problema, aplique uno o varios de los siguientes métodos:

Consolidar políticas: elimine las políticas redundantes o innecesarias. Por ejemplo, una política de acceso total (como AliyunECSFullAccess) ya incluye todos los permisos de la política de solo lectura correspondiente (AliyunECSReadOnlyAccess), por lo que no necesita ambas. También puede fusionar varias políticas del sistema en una sola custom policy para reducir la cantidad total.
Usar grupos de usuarios: agregue a un grupo de usuarios aquellos usuarios de RAM con las mismas responsabilidades y otorgue los permisos al grupo en lugar de a usuarios individuales. Los permisos heredados de un grupo de usuarios no cuentan para la cuota de vinculación de políticas del usuario individual.
Solicitar un aumento de cuota: vaya a Quota Center y busque "Maximum number of system policies that can be attached to a RAM user" o "Maximum number of custom policies that can be attached to a RAM user" para enviar una solicitud de aumento de cuota.