Uso de resource groups para el control detallado de recursos - ApsaraDB for SelectDB

Puede utilizar los resource groups junto con Resource Access Management (RAM) para aislar recursos y gestionar permisos de forma detallada dentro de una sola cuenta de Alibaba Cloud. Este tema describe cómo ApsaraDB for SelectDB admite los resource groups y detalla los pasos para otorgar autorización a nivel de resource group.

Nota

La autorización a nivel de resource group solo surte efecto para resource types that support resource groups y para las operaciones que admiten este tipo de autorización.
En los tipos de recursos que no admiten resource groups, los permisos otorgados a este nivel no tendrán efecto. Debe otorgar los permisos a nivel de cuenta. Para más información, consulte Actions that do not support resource group-level authorization.

Funcionamiento

Por ejemplo, puede crear resource groups independientes para distintos proyectos y trasladar los recursos a ellos para gestionarlos de forma centralizada. Para más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos sobre un resource group específico a distintas identidades de RAM, como usuarios de RAM, grupos de usuarios de RAM o roles de RAM. Esto limita la identidad de RAM a gestionar únicamente los recursos de ese grupo. Para más información, consulte Resource grouping and authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: garantiza que cada identidad reciba solo los permisos necesarios y aísla la gestión de recursos por proyecto.
Escalabilidad: al agregar nuevos recursos, solo necesita incorporarlos al resource group. La identidad de RAM obtiene automáticamente los permisos correspondientes, lo que elimina la necesidad de volver a otorgarlos.

Otorgar permisos a nivel de resource group a un usuario de RAM

Esta sección utiliza un RAM user para mostrar cómo otorgar permisos sobre los recursos de ApsaraDB for SelectDB dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para consultar las instrucciones, consulte Create a RAM user.
Cree un resource group y traslade los recursos existentes a él. Para consultar las instrucciones, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer a resource to a resource group.

2. Otorgar autorización a nivel de resource group

Para otorgar autorización a nivel de resource group, utilice cualquiera de los métodos a continuación.

Método 1: Resource Management console

Otorgue permisos a un usuario de RAM específico mediante la función de gestión de permisos de los resource groups. Para más información, consulte Grant permissions on a resource group to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, busque el resource group deseado y haga clic en Manage Permissions en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la identidad principal y la directiva de permisos.
- Principal: seleccione un usuario de RAM existente.
- Policy: seleccione una system policy o una custom policy. Para más información sobre cómo crear una directiva personalizada, consulte Create a custom permission policy.
Haga clic en OK.

Método 2: RAM console

Otorgue autorización a nivel de resource group a un usuario de RAM específico desde la consola de RAM. Para más información, consulte Manage RAM user permissions.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud o como administrador de RAM.
En el panel de navegación izquierdo, vaya a Identities > Users. En la página Users, busque el usuario de RAM deseado y haga clic en Grant Permission en la columna Actions.
En el panel Grant Permission, otorgue los permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el que creó en los requisitos previos.
- Policy: seleccione una system policy o una custom policy. Para más información sobre cómo crear una directiva personalizada, consulte Create a custom permission policy.
Haga clic en OK.

Tipos de recursos compatibles con resource groups

La siguiente tabla muestra el tipo de recurso de ApsaraDB for SelectDB que admite resource groups.

Servicio en la nube	Código de servicio	Tipo
ApsaraDB for SelectDB	selectdb	dbinstance: instancia

Nota

Para los tipos de recursos que aún no son compatibles, puede enviar sus comentarios en la consola de Resource Management.

Acciones sin compatibilidad con resource groups

La siguiente tabla enumera las acciones de ApsaraDB for SelectDB que no admiten autorización a nivel de resource group.

Acciones	Descripción
selectdb:ApplyDBInstanceConfigPattern	-
selectdb:CancelActiveOperationTasks	-
selectdb:CheckCreateCluster	-
selectdb:CheckCreateDBInstance	Ejecuta una comprobación previa antes de crear una instancia de ApsaraDB for SelectDB.
selectdb:CheckModifyCluster	-
selectdb:CheckServiceLinkedRole	Comprueba si existe un rol vinculado al servicio.
selectdb:CompareDBClusterConfig	-
selectdb:CopyDBClusterConfig	-
selectdb:CreateDBInstance	Crea una instancia de ApsaraDB for SelectDB.
selectdb:CreateOrUpdateBackupPolicy	-
selectdb:CreateOrder	-
selectdb:CreateServiceLinkedRoleForSelectDB	Crea un rol vinculado al servicio.
selectdb:CreateVirtualCluster	Crea un clúster virtual.
selectdb:DeleteBackupPolicy	-
selectdb:DeleteUdfPackage	-
selectdb:DeleteUdfPackages	-
selectdb:DeleteVirtualCluster	Elimina un clúster virtual.
selectdb:DescribeActiveOperationMaintainConf	-
selectdb:DescribeActiveOperationTasks	-
selectdb:DescribeAllDBInstanceClass	Obtiene las especificaciones de todas las instancias.
selectdb:DescribeBackupPolicy	-
selectdb:DescribeBackupSets	-
selectdb:DescribeBackupTasks	-
selectdb:DescribeDBInstanceMetadata	-
selectdb:DescribeHistoryEvents	-
selectdb:DescribeHistoryEventsStat	-
selectdb:DescribePlugins	-
selectdb:DescribeRegions	Obtiene información sobre las regiones y zonas disponibles.
selectdb:DescribeUdfPackages	-
selectdb:DescribeVSwitches	-
selectdb:DescribeZones	-
selectdb:GenerateUploadSignature	-
selectdb:InstallPlugin	-
selectdb:InstallPlugins	-
selectdb:ListBackupHistoryTasks	-
selectdb:ListRestoreHistoryTasks	-
selectdb:ModifyActiveOperationMaintainConf	-
selectdb:ModifyActiveOperationTasks	-
selectdb:ModifyDBInstancePayType	-
selectdb:ModifyVirtualCluster	Modifica un clúster virtual.
selectdb:RestoreFromBackupSet	-
selectdb:UninstallPlugin	-

En las acciones que no admiten autorización a nivel de resource group, seleccionar Resource Group como ámbito de recursos no tiene ningún efecto. Si un usuario de RAM requiere permisos para estas acciones, debe crear una directiva personalizada y seleccionar Account como ámbito de recursos.

A continuación se muestran dos ejemplos de directivas personalizadas que puede modificar según sus necesidades.

Permitir todas las acciones de solo lectura que no admiten autorización a nivel de resource group: el elemento Action de la directiva enumera todas estas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "selectdb:CheckCreateCluster",
        "selectdb:CheckCreateDBInstance",
        "selectdb:CheckModifyCluster",
        "selectdb:CheckServiceLinkedRole",
        "selectdb:DescribeActiveOperationMaintainConf",
        "selectdb:DescribeActiveOperationTasks",
        "selectdb:DescribeAllDBInstanceClass",
        "selectdb:DescribeBackupPolicy",
        "selectdb:DescribeBackupSets",
        "selectdb:DescribeBackupTasks",
        "selectdb:DescribeDBInstanceMetadata",
        "selectdb:DescribeHistoryEvents",
        "selectdb:DescribeHistoryEventsStat",
        "selectdb:DescribePlugins",
        "selectdb:DescribeRegions",
        "selectdb:DescribeUdfPackages",
        "selectdb:DescribeVSwitches",
        "selectdb:DescribeZones",
        "selectdb:ListBackupHistoryTasks",
        "selectdb:ListRestoreHistoryTasks"
      ],
      "Resource": "*"
    }
  ]
}

Permitir todas las acciones que no admiten autorización a nivel de resource group: el elemento Action de la directiva enumera todas estas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "selectdb:ApplyDBInstanceConfigPattern",
        "selectdb:CancelActiveOperationTasks",
        "selectdb:CheckCreateCluster",
        "selectdb:CheckCreateDBInstance",
        "selectdb:CheckModifyCluster",
        "selectdb:CheckServiceLinkedRole",
        "selectdb:CompareDBClusterConfig",
        "selectdb:CopyDBClusterConfig",
        "selectdb:CreateDBInstance",
        "selectdb:CreateOrUpdateBackupPolicy",
        "selectdb:CreateOrder",
        "selectdb:CreateServiceLinkedRoleForSelectDB",
        "selectdb:CreateVirtualCluster",
        "selectdb:DeleteBackupPolicy",
        "selectdb:DeleteUdfPackage",
        "selectdb:DeleteUdfPackages",
        "selectdb:DeleteVirtualCluster",
        "selectdb:DescribeActiveOperationMaintainConf",
        "selectdb:DescribeActiveOperationTasks",
        "selectdb:DescribeAllDBInstanceClass",
        "selectdb:DescribeBackupPolicy",
        "selectdb:DescribeBackupSets",
        "selectdb:DescribeBackupTasks",
        "selectdb:DescribeDBInstanceMetadata",
        "selectdb:DescribeHistoryEvents",
        "selectdb:DescribeHistoryEventsStat",
        "selectdb:DescribePlugins",
        "selectdb:DescribeRegions",
        "selectdb:DescribeUdfPackages",
        "selectdb:DescribeVSwitches",
        "selectdb:DescribeZones",
        "selectdb:GenerateUploadSignature",
        "selectdb:InstallPlugin",
        "selectdb:InstallPlugins",
        "selectdb:ListBackupHistoryTasks",
        "selectdb:ListRestoreHistoryTasks",
        "selectdb:ModifyActiveOperationMaintainConf",
        "selectdb:ModifyActiveOperationTasks",
        "selectdb:ModifyDBInstancePayType",
        "selectdb:ModifyVirtualCluster",
        "selectdb:RestoreFromBackupSet",
        "selectdb:UninstallPlugin"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede gestionar todos los recursos de dicha cuenta. Otorgue estos permisos tan amplios con precaución y aplique siempre el principio de privilegio mínimo.

Preguntas frecuentes

¿Cómo consultar el grupo de un recurso?

Método 1: haga clic en el nombre del recurso para abrir su página de detalles, donde se muestra el resource group al que pertenece.
Método 2: inicie sesión en la consola de Resource Management. Vaya a Resource Center > Resource Search. En el panel de navegación izquierdo, seleccione la cuenta a la que pertenece el recurso (la opción Current account está seleccionada de forma predeterminada). Utilice los filtros para localizar el recurso y consulte su resource group.

¿Cómo consultar los recursos de un producto en un resource group?

Método 1: inicie sesión en la consola de Resource Management. Vaya a Resource Center > Resource Search. En el panel de navegación izquierdo, dentro de la cuenta a la que pertenecen los recursos (la opción Current account está seleccionada de forma predeterminada), haga clic en el resource group deseado. A la derecha, seleccione el producto en la lista desplegable Select Resource Type para consultar todos sus recursos dentro de ese grupo.
Método 2: inicie sesión en la consola de Resource Management. Vaya a Resource Groups > Resource Groups. Busque el resource group deseado y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product para consultar todos sus recursos dentro de ese grupo.

¿Cómo trasladar varios recursos a otro resource group?

Inicie sesión en la consola de Resource Management. Vaya a Resource Groups > Resource Groups. Busque el resource group deseado y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, utilice los filtros para localizar los recursos deseados. Active sus casillas de verificación, haga clic en Transfer Resources en la parte inferior y siga las instrucciones que aparecen en pantalla.