Serverless App Engine:Asistente de permisos de SAE

Requisitos previos

Create a RAM user

Contexto

El asistente de permisos de SAE genera directivas de RAM. Este asistente permite configurar visualmente los permisos de SAE con un nivel de granularidad que abarca hasta las operaciones de lectura y escritura en aplicaciones y tareas. La herramienta genera las declaraciones de directiva correspondientes directamente en la consola de SAE, lo que ayuda a evitar errores comunes al editar manualmente estas declaraciones en la consola de RAM. Posteriormente, puede crear una directiva personalizada en la consola de RAM, sustituir su contenido por la declaración generada y asignar dicha directiva al usuario de RAM que requiera los permisos de SAE.

Tanto las cuentas de Alibaba Cloud (cuentas principales) como los usuarios de RAM (subcuentas) pueden utilizar el asistente de permisos en la consola de SAE para crear borradores de directivas. No obstante, es necesario implementar la directiva desde la consola de RAM para que surta efecto.

Paso 1: Crear una directiva en la consola de SAE

1. En la consola de SAE, seleccione en el panel de navegación izquierdo. En la página Permission Assistant, haga clic en Create Policy.

2. En el panel Create Policy, dentro del paso del asistente Policy Configuration, configure los siguientes parámetros y haga clic en Next.

   1. Introduzca un Policy Name y una Note.

      Parámetro	Descripción
      Policy Name	Nombre personalizado de la directiva. Debe comenzar con una letra y tener una longitud máxima de 36 caracteres. Puede contener letras, dígitos, guiones bajos (_) y guiones (-).
      Note	Introduzca una descripción para la directiva.

   2. Haga clic en Add Statement. En el panel Add Statement, configure los siguientes parámetros y haga clic en OK.

      Parámetro	Descripción
      Resource	Seleccione las dimensiones del recurso en las listas desplegables. Region: Solo puede seleccionar una región. Namespace: Solo puede seleccionar un namespace. Application or Task: Puede seleccionar una o varias aplicaciones o tareas.
      Action	En el cuadro Optional Permissions, seleccione los permisos que desea otorgar. Los permisos seleccionados aparecerán en el cuadro Selected Permissions. Tenga en cuenta lo siguiente: El cuadro de texto Search action admite búsquedas aproximadas y distingue entre mayúsculas y minúsculas. De forma predeterminada, System Default Read Permissions aparece seleccionado en el cuadro Selected Permissions. Las acciones de lectura y escritura están vinculadas. Al seleccionar un permiso de escritura, como , el sistema selecciona automáticamente los permisos de lectura relacionados.

   En el paso del asistente Policy Configuration, puede consultar las declaraciones de directiva agregadas y realizar operaciones como View Permissions, Clone, Edit o Delete.

   Las declaraciones de directiva se muestran en una tabla con columnas para Resource (que incluye región, namespace y aplicación), Action y Operations.

   Nota

   • Para establecer permisos en recursos de varios namespaces, agregue una declaración de directiva independiente para cada uno.

   • Para copiar una declaración de directiva existente, haga clic en Clone. En el panel Clone, puede modificar la declaración para crear una nueva.

3. En el paso del asistente Preview Policy, revise las declaraciones de directiva generadas y haga clic en OK.

   Haga clic en Copy para copiar la declaración de directiva de RAM. Utilizará esta declaración en Step 2: Create a custom RAM policy.

   El sistema lo redirige a la página Permission Assistant. Allí puede consultar la directiva recién creada y ejecutar operaciones como View Permissions, Copy RAM Authorization Statement, Edit o Delete.

   Importante

   • Las directivas generadas por el asistente de permisos de SAE aplican únicamente a recursos de SAE y pueden contener un máximo de 20 declaraciones.

   • Cuando SAE lanza nuevas funciones, es posible que deba regenerar las declaraciones de directiva de RAM. De lo contrario, los usuarios de RAM con la directiva actual podrían carecer de permisos para acceder a dichas funciones.

Paso 2: Crear una directiva personalizada de RAM

Al crear una directiva personalizada en la consola de RAM, debe utilizar la declaración de directiva generada en Step 1: Create a policy in the SAE console.

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione > .

3. En la página Policies, haga clic en Create Policy.

4. En la página Create Policy, haga clic en la pestaña JSON.

   Aparece el editor JSON con una plantilla de directiva predeterminada que incluye los elementos Version y Statement. El elemento Statement contiene los elementos Effect, Action, Resource y Condition. Debe especificar las acciones y los recursos en los elementos Action y Resource.

5. En el editor JSON, pegue la declaración de directiva que copió desde la consola de SAE.

   Para obtener más información sobre la sintaxis y estructura de las directivas, consulte Policy structure and syntax.

6. Haga clic en Next: Edit Basic Information para optimizar el contenido de la directiva.

   La función avanzada de optimización de directivas realiza las siguientes tareas:

   • Separa recursos o condiciones incompatibles con las acciones.

   • Reduce el alcance de los recursos.

   • Elimina duplicados o combina declaraciones.

7. Haga clic en OK.

8. Especifique el Policy Name y la Note, y luego haga clic en OK.

Paso 3: Otorgar permisos a un usuario de RAM

Una vez creada la directiva personalizada, otorgue permisos al usuario de RAM. Los siguientes pasos muestran cómo conceder permisos desde la página de usuarios. Para conocer otros métodos, consulte Grant permissions to a RAM user.

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Users.

3. En la página Users, localice al usuario de RAM al que desea otorgar permisos y haga clic en Add Permissions en la columna Actions.

   También puede seleccionar varios usuarios de RAM y hacer clic en Add Permissions en la parte inferior de la lista para otorgar permisos de forma masiva.

4. En el panel Add Permissions, otorgue permisos al usuario de RAM.

   1. Seleccione un ámbito de autorización.

      • Alibaba Cloud Account: Los permisos aplican a la cuenta actual de Alibaba Cloud.

      • Resource Group: Los permisos aplican únicamente a un resource group específico.

        Importante

        Para que una autorización específica de resource group surta efecto, el servicio en la nube debe ser compatible con resource groups. Para obtener más información, consulte Services that work with Resource Group. Para ver un ejemplo de cómo otorgar permisos en un resource group, consulte Use a resource group to grant a RAM user the permissions to manage a specific ECS instance.

   2. Seleccione una entidad de seguridad.

      La entidad de seguridad es el usuario de RAM al que desea otorgar permisos. El usuario de RAM actual se selecciona de forma predeterminada.

   3. Seleccione las directivas.

      Una directiva define un conjunto de permisos. Puede seleccionar varias directivas. Las directivas se clasifican en los siguientes tipos:

      • Directiva del sistema: Directiva creada y mantenida por Alibaba Cloud. Puede utilizar las directivas del sistema, pero no modificarlas. Para obtener más información, consulte Services that work with RAM.

        Nota

        El sistema marca las directivas del sistema de alto riesgo, como AdministratorAccess y AliyunRAMFullAccess. Evite otorgar estos permisos a menos que sea estrictamente necesario.

      • Directiva personalizada: Directiva que usted puede crear y gestionar. Es responsable de las versiones de la directiva y puede crearla, actualizarla o eliminarla. Para obtener más información, consulte Create a custom policy.

   4. Haga clic en OK.

5. Haga clic en Complete.