Uso de resource groups para el control detallado de recursos - Server Load Balancer

Los resource groups le permiten gestionar recursos e integrarse con Resource Access Management (RAM) para aplicar el aislamiento de recursos y una gestión detallada de permisos dentro de una sola cuenta de Alibaba Cloud. Este tema indica qué recursos de Network Load Balancer admiten resource groups y explica cómo otorgar permisos a nivel de resource group.

Nota

Los permisos otorgados a nivel de resource group se aplican únicamente a resource types that support resource groups y a las acciones que admiten autorización a este nivel.
Para los tipos de recursos que no admiten resource groups, limitar los permisos a un resource group no tiene ningún efecto. En su lugar, debe otorgar los permisos a nivel de cuenta si selecciona Account Level como ámbito del recurso. Para más información, consulte Actions that do not support resource-group-level authorization.

Funcionamiento de la autorización basada en resource groups

Los resource groups sirven para organizar y gestionar los recursos dentro de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group dedicado para cada proyecto y trasladar allí todos los recursos relacionados para centralizar su gestión. Para más información, consulte What is a resource group?

Una vez organizados los recursos, puede otorgar permisos a entidades de seguridad (como usuarios de RAM, grupos de usuarios de RAM o roles de RAM) limitados a un resource group específico. Esto garantiza que cada entidad gestione solo los recursos de dicho grupo. Para más información, consulte Resource grouping and authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: cada identidad recibe acceso preciso a los recursos que necesita. Así se evita que los recursos de distintos proyectos se gestionen juntos bajo una misma cuenta.
Escalabilidad: cuando agregue nuevos recursos, simplemente muévalos al resource group correspondiente. Las entidades con acceso a ese grupo obtienen automáticamente los permisos necesarios para los nuevos recursos, sin requerir autorizaciones adicionales.

Otorgar permisos a nivel de resource group

En esta sección se muestra un ejemplo sobre cómo otorgar a un RAM user permisos para los recursos de Network Load Balancer dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para más información, consulte Create a RAM user.
Cree un resource group y traslade los recursos existentes a este. Para más información, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer resources to a resource group.

2. Otorgar permisos a nivel de resource group

Otorgue los permisos a nivel de resource group mediante uno de los métodos a continuación.

Método 1: Resource Management console

Otorgue permisos a un usuario de RAM desde la página de gestión de permisos de un resource group. Para más información, consulte Grant permissions on a resource group to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, busque el resource group deseado y haga clic en Permission Management dentro de la columna Actions.
En la pestaña Permission Management, haga clic en Add Permission.
En el panel Add Permission, configure la entidad de seguridad y la política de permisos.
- Principal: seleccione un usuario de RAM existente.
- Permission Policy: elija una System Policy o una Custom Policy que haya creado previamente. Para más información, consulte Create a custom permission policy.
Haga clic en Confirm.

Método 2: RAM console

En la consola de RAM, otorgue permisos a nivel de resource group a un usuario de RAM. Para más información, consulte Manage RAM user permissions.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud o como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM deseado y haga clic en Add Permissions dentro de la columna Actions.
En el panel Add Permissions, otorgue los permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group Level.
- Principal: seleccione un usuario de RAM existente o el que creó en los requisitos previos.
- Permission Policy: elija una System Policy o una Custom Policy que haya creado previamente. Para más información, consulte Create a custom permission policy.
Haga clic en Confirm.

Tipos de recursos compatibles con resource groups

La siguiente tabla muestra los tipos de recursos de Network Load Balancer que admiten resource groups.

Servicio en la nube	Código de servicio	Tipo de recurso
Network Load Balancer	nlb	loadbalancer: instancia
Network Load Balancer	nlb	securitypolicy: política de seguridad
Network Load Balancer	nlb	servergroup: grupo de servidores

Nota

Para los tipos de recursos que aún no admiten resource groups, puede enviar sus comentarios en la consola de Resource Management.

Acciones que no admiten autorización por resource group

Las siguientes acciones de Network Load Balancer no admiten autorización a nivel de resource group:

Acción	Descripción
nlb:AssociateResources	-
nlb:DeleteHdMonitorRegionConfig	-
nlb:DescribeHdMonitorRegionConfig	Consulta las configuraciones para almacenar datos de monitoreo a nivel de segundo.
nlb:DescribeLoadBalancers	-
nlb:DescribeZones	-
nlb:GetJobStatus	Consulta los resultados de ejecución de una tarea asíncrona de Network Load Balancer.
nlb:ListAsynJobs	Consulta resultados de tareas asíncronas en lotes.
nlb:SetHdMonitorRegionConfig	Configura el almacenamiento para datos de monitoreo a nivel de segundo.
nlb:UnTagResources	-

Para las acciones que no admiten autorización a nivel de resource group, establecer el ámbito del recurso en Resource Group Level no tiene ningún efecto. Si un usuario de RAM necesita estos permisos, debe crear una política personalizada y establecer el ámbito del recurso en Account Level.

A continuación se muestran dos ejemplos de políticas personalizadas. Modifique el contenido de la política según sus necesidades.

Permite todas las acciones de solo lectura que no admiten autorización a nivel de resource group. El elemento Action enumera todas estas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nlb:DescribeHdMonitorRegionConfig",
        "nlb:DescribeLoadBalancers",
        "nlb:DescribeZones",
        "nlb:GetJobStatus",
        "nlb:ListAsynJobs"
      ],
      "Resource": "*"
    }
  ]
}

Permite todas las acciones que no admiten autorización a nivel de resource group. El elemento Action enumera todas estas acciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nlb:AssociateResources",
        "nlb:DeleteHdMonitorRegionConfig",
        "nlb:DescribeHdMonitorRegionConfig",
        "nlb:DescribeLoadBalancers",
        "nlb:DescribeZones",
        "nlb:GetJobStatus",
        "nlb:ListAsynJobs",
        "nlb:SetHdMonitorRegionConfig",
        "nlb:UnTagResources"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede gestionar todos los recursos de dicha cuenta. Para cumplir con el principio de mínimo privilegio, otorgue estos permisos con precaución y asegúrese de que coincidan con los controles de acceso previstos.

Preguntas frecuentes

¿Cómo encontrar el grupo de un recurso?

Método 1: haga clic en el nombre del recurso para abrir su página de detalles, donde se muestra el resource group.
Método 2: inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. En el panel de navegación izquierdo, seleccione la cuenta del recurso (el valor predeterminado es Current Account). Use los filtros para buscar el recurso deseado y consulte su resource group.

Consultar recursos por producto y grupo

Método 1: inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. En el panel de navegación izquierdo, dentro de la cuenta del recurso (el valor predeterminado es Current Account), haga clic en el resource group deseado. En el panel derecho, seleccione el producto en la lista Select Resource Type para consultar todos sus recursos dentro de ese grupo.
Método 2: inicie sesión en la consola de Resource Management y vaya a Resource Groups > Resource Groups. Busque el resource group deseado y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product para consultar todos sus recursos dentro de ese grupo.

Trasladar recursos en lote a otro grupo

Inicie sesión en la consola de Resource Management y vaya a Resource Groups > Resource Groups. Busque el resource group deseado y haga clic en Manage Resources dentro de la columna Actions. En la página siguiente, use los filtros para ubicar los recursos deseados. Seleccione sus casillas de verificación, haga clic en Transfer Resource Group en la parte inferior y siga las instrucciones en pantalla.