Uso de resource groups para el control detallado de recursos - Resource Orchestration Service

Cuando utiliza resource groups para gestionar recursos, puede combinarlos con RAM para aislar recursos y administrar permisos detallados dentro de una sola cuenta de Alibaba Cloud. Este tema describe cómo ROS admite los resource groups y explica cómo otorgar permisos a nivel de resource group.

Nota

La autorización a nivel de resource group solo aplica a resource types that support resource groups y a las acciones que admiten este tipo de autorización.
Otorgar permisos a nivel de resource group no tiene efecto en los tipos de recursos que no admiten resource groups. En este caso, debe otorgar los permisos a nivel de cuenta. Para obtener más información, consulte Actions that do not support resource group-level authorization.

Funcionamiento de la autorización por resource group

Un resource group le permite organizar los recursos dentro de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group independiente para cada proyecto y mover los recursos a sus grupos correspondientes para gestionarlos de forma centralizada. Para obtener más información, consulte What is a resource group?.

Una vez organizados los recursos, puede otorgar a distintos identidades principales de RAM (como un usuario de RAM, un grupo de usuarios de RAM o un rol de RAM) permisos limitados a un resource group específico. Esto garantiza que la identidad principal solo pueda gestionar los recursos dentro de ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece las siguientes ventajas:

Permisos detallados: garantiza que cada identidad principal tenga únicamente los permisos obligatorios para acceder a los recursos. Así se evita mezclar recursos de distintos proyectos dentro de la misma cuenta.
Escalabilidad: cuando añade nuevos recursos a un resource group, la identidad principal de RAM obtiene automáticamente los permisos necesarios para ellos. Por lo tanto, no es necesario volver a otorgarlos.

Otorgar permisos a nivel de resource group a un usuario de RAM

A continuación se describen los pasos para otorgar a un RAM user permisos para gestionar recursos de ROS dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para obtener más información, consulte Create a RAM user.
Cree un resource group y mueva sus recursos existentes al resource group de destino. Para obtener más información, consulte Create a resource group, Automatically move resources to a resource group y Manually move resources to a resource group.

2. Otorgar permisos a nivel de resource group

Para otorgar permisos a nivel de resource group, utilice uno de los métodos a continuación.

Método 1: Resource Management console

Utilice la función de gestión de permisos de los resource groups para otorgar permisos a un usuario de RAM específico. Para obtener más información, consulte Grant permissions on a resource group to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página del resource group, busque el resource group de destino y haga clic en Permissions en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la identidad principal y la política.
- Principal: seleccione un usuario de RAM existente.
- Policy: seleccione una system policy o una custom policy que haya creado. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Método 2: RAM console

Otorgue permisos a un usuario de RAM específico a nivel de resource group desde la consola de RAM. Para obtener más información, consulte Manage RAM user permissions.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud o con un administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Add Permissions en la columna Actions.
En el panel Add Permissions, otorgue permisos al usuario de RAM.
- Authorized Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el que creó en los requisitos previos.
- Policy: seleccione una system policy o una custom policy que haya creado. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Tipos de recursos de ROS compatibles

La siguiente tabla muestra los tipos de recursos de ROS que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo de recurso
ROS	ros	stack : pila
ROS	ros	stackgroup : grupo de pilas
ROS	ros	template : plantilla
ROS	ros	templatescratch : borrador de plantilla

Nota

Si algún tipo de recurso que necesita no admite resource groups, envíe sus comentarios desde la consola de Resource Management.

Acciones sin autorización a nivel de resource group

Las siguientes acciones de ROS no admiten autorización a nivel de resource group:

Acción	Descripción
ros:ChatROS	-
ros:CompareTemplates	-
ros:CreateAITask	Crea una tarea de IA para ejecutar un flujo de trabajo automatizado específico, como generar o corregir una plantilla, o desplegar una pila.
ros:CreateDiagnostic	Crea una tarea para diagnósticos con un solo clic.
ros:DeleteDiagnostic	Elimina un registro de diagnóstico.
ros:DeregisterResourceType	Elimina un tipo de recurso o una versión específica de un tipo de recurso.
ros:DescribeStacks	-
ros:DisableServiceAccess	-
ros:EnableServiceAccess	Habilita el acceso a servicios de confianza.
ros:EnableServices	Habilita varios servicios a la vez.
ros:GetAITask	Consulta los detalles de una tarea de IA mediante su ID.
ros:GetDiagnostic	Consulta los detalles de un informe de diagnóstico mediante su ID.
ros:GetResourceType	Consulta los detalles de un tipo de recurso especificado.
ros:GetResourceTypeRecommendedTemplate	-
ros:GetResourceTypeTemplate	Genera una plantilla de ejemplo basada en un tipo de recurso.
ros:GetServiceAccess	Consulta los servicios de confianza.
ros:GetSession	-
ros:ListAITaskEvents	Consulta los eventos de una tarea de IA.
ros:ListAITasks	Consulta una lista de tareas de IA.
ros:ListChatMessages	-
ros:ListChatSessions	-
ros:ListDiagnostics	Consulta una lista de diagnósticos.
ros:ListPrivateTemplates	-
ros:ListResourceTypeRegistrations	Consulta una lista de registros de registro de recursos.
ros:ListResourceTypeVersions	Consulta una lista de versiones de tipos de recursos, incluidas las creadas por usted y las proporcionadas por ROS.
ros:ListResourceTypes	Consulta una lista de tipos de recursos compatibles.
ros:ListSessions	-
ros:ListSummaries	Consulta resúmenes generales.
ros:ListTagKeys	Consulta las claves de etiqueta de pilas o plantillas en una región de Alibaba Cloud.
ros:ListTagValues	Consulta los valores de etiqueta para una clave de etiqueta específica de una plantilla o pila en una región de Alibaba Cloud.
ros:OpsSetResourceTypeVersion	-
ros:RegisterResourceType	Crea un tipo de recurso o añade una nueva versión a uno existente.
ros:SetResourceType	Modifica la descripción de un tipo de recurso o de una versión específica de un tipo de recurso.
ros:StartChat	-
ros:ValidateTemplate	-

Para las acciones que no admiten autorización a nivel de resource group, seleccionar Resource Group como ámbito de autorización no tiene efecto. Para otorgar estos permisos a un usuario de RAM, debe crear una política personalizada y seleccionar Account como ámbito de autorización.

A continuación se muestran dos ejemplos de políticas personalizadas. Ajuste el contenido de la política según sus necesidades.

Permite todas las acciones de solo lectura que no admiten autorización a nivel de resource group: el elemento Action enumera todas las acciones de solo lectura que no admiten autorización a nivel de resource group.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ros:DescribeStacks",
        "ros:GetAITask",
        "ros:GetDiagnostic",
        "ros:GetResourceType",
        "ros:GetResourceTypeRecommendedTemplate",
        "ros:GetResourceTypeTemplate",
        "ros:GetServiceAccess",
        "ros:GetSession",
        "ros:ListAITaskEvents",
        "ros:ListAITasks",
        "ros:ListChatMessages",
        "ros:ListChatSessions",
        "ros:ListDiagnostics",
        "ros:ListPrivateTemplates",
        "ros:ListResourceTypeRegistrations",
        "ros:ListResourceTypeVersions",
        "ros:ListResourceTypes",
        "ros:ListSessions",
        "ros:ListSummaries",
        "ros:ListTagKeys",
        "ros:ListTagValues",
        "ros:ValidateTemplate"
      ],
      "Resource": "*"
    }
  ]
}

Permite todas las acciones que no admiten autorización a nivel de resource group: el elemento Action enumera todas las acciones que no admiten autorización a nivel de resource group.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ros:ChatROS",
        "ros:CompareTemplates",
        "ros:CreateAITask",
        "ros:CreateDiagnostic",
        "ros:DeleteDiagnostic",
        "ros:DeregisterResourceType",
        "ros:DescribeStacks",
        "ros:DisableServiceAccess",
        "ros:EnableServiceAccess",
        "ros:EnableServices",
        "ros:GetAITask",
        "ros:GetDiagnostic",
        "ros:GetResourceType",
        "ros:GetResourceTypeRecommendedTemplate",
        "ros:GetResourceTypeTemplate",
        "ros:GetServiceAccess",
        "ros:GetSession",
        "ros:ListAITaskEvents",
        "ros:ListAITasks",
        "ros:ListChatMessages",
        "ros:ListChatSessions",
        "ros:ListDiagnostics",
        "ros:ListPrivateTemplates",
        "ros:ListResourceTypeRegistrations",
        "ros:ListResourceTypeVersions",
        "ros:ListResourceTypes",
        "ros:ListSessions",
        "ros:ListSummaries",
        "ros:ListTagKeys",
        "ros:ListTagValues",
        "ros:OpsSetResourceTypeVersion",
        "ros:RegisterResourceType",
        "ros:SetResourceType",
        "ros:StartChat",
        "ros:ValidateTemplate"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede operar sobre todos los recursos de la cuenta. Aplique siempre el principio de privilegio mínimo. Antes de otorgar permisos, asegúrese de que sean necesarios y cumplan con sus requisitos de seguridad.

Preguntas frecuentes

Consultar el resource group de un recurso

Método 1: haga clic en el nombre del recurso para abrir su página de detalles. El resource group se muestra en esta página.
Método 2: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, haga clic en resource center > Resource Search. En el panel izquierdo, seleccione la cuenta a la que pertenece el recurso (de forma predeterminada, está seleccionada Current Account). Utilice los filtros para buscar el recurso y consultar su resource group.

Consultar los recursos de un producto en un resource group

Método 1: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, haga clic en resource center > Resource Search. En la lista de cuentas de la izquierda (de forma predeterminada, está seleccionada Current Account), haga clic en el resource group de destino. Luego, en la lista desplegable Select Resource Type, seleccione el producto para ver sus recursos dentro de ese grupo.
Método 2: inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Groups > Resource Groups. Busque el resource group de destino y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product para ver sus recursos en ese grupo.

Mover recursos a otro resource group

Inicie sesión en la consola de Resource Management. En el panel de navegación izquierdo, elija Resource Groups > Resource Groups. En la columna Actions del resource group de destino, haga clic en Manage Resources. En la página resultante, utilice los filtros para ubicar los recursos que desea mover. Seleccione la casilla de verificación de cada recurso de destino, haga clic en Transfer Resource Group en la parte inferior de la página y siga las instrucciones en pantalla.