Todos los productos
Search

Este producto

    Simple Log Service:Use a RAM role for cross-account resource access

    Centro de documentos

    Simple Log Service:Use a RAM role for cross-account resource access

    Última actualización: Sep 02, 2026

    Utilice un rol de RAM para acceder a recursos en otra cuenta de Alibaba Cloud o para permitir que otra cuenta de Alibaba Cloud acceda a sus recursos. Este tema describe cómo crear y utilizar un rol de RAM.

    Descripción general

    Un rol de RAM es un usuario virtual al que se le pueden asignar directivas. A diferencia de un usuario de RAM, un rol de RAM no tiene credenciales permanentes, como una contraseña de inicio de sesión o un AccessKey. Un principal de confianza debe asumir el rol de RAM. Una vez que el principal de confianza asume el rol, obtiene un token STS temporal para acceder a los recursos autorizados.

    Por ejemplo, para autorizar a un usuario de RAM de la Empresa B a acceder a los recursos de Simple Log Service de la Empresa A, utilice un rol de RAM. El proceso es el siguiente:

    1. La Empresa A crea un rol de RAM.

    2. La Empresa A otorga permisos al rol de RAM.

    3. La Empresa B crea un usuario de RAM.

    4. La Empresa B otorga el permiso AliyunSTSAssumeRoleAccess al usuario de RAM.

    5. El usuario de RAM de la Empresa B asume el rol de RAM para acceder a los recursos de la Empresa A.

    Paso 1: Crear un rol de RAM en la Empresa A

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Identities > Role.

    3. En la página Role, haga clic en Create Role.

    4. En la página Create Role, establezca Principal Type en Alibaba Cloud Account, configure Select Trusted Alibaba Cloud Account como Other Alibaba Cloud Account, introduzca el account ID de la cuenta raíz de la Empresa B y, a continuación, haga clic en OK.

    5. En el cuadro de diálogo Create Role, introduzca un Role Name, por ejemplo, aliyunlogreadrole.

    Paso 2: Otorgar permisos al rol de RAM

    Nota

    De forma predeterminada, un nuevo rol de RAM no tiene permisos. Debe otorgarle permisos. RAM proporciona las siguientes dos directivas del sistema para Simple Log Service. Se recomienda seguir el principio de menor privilegio y otorgar únicamente los permisos necesarios al rol de RAM.

    • AliyunLogFullAccess: Otorga acceso total de administración a Simple Log Service.

    • AliyunLogReadOnlyAccess: Otorga acceso de solo lectura a Simple Log Service.

    Si las directivas del sistema no cumplen con sus requisitos, puede crear una directiva personalizada para una gestión detallada de permisos. Para obtener más información, consulte Create custom policies. Para ver ejemplos de directivas, consulte Examples of custom policies y Grant permissions on Simple Log Service to a RAM user.

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Identities >  >  > Role.

    3. En la página Role, localice el rol de RAM deseado y haga clic en Create Authorization en la columna Actions.

      También puede seleccionar varios roles de RAM y hacer clic en Create Authorization en la parte inferior de la lista de roles para otorgar permisos en lotes.

    4. En el panel Create Authorization, seleccione una directiva, como AliyunLogReadOnlyAccess, y haga clic en OK.

    5. Haga clic en Close.

    Paso 3: Crear un usuario de RAM en la Empresa B

    1. Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud o como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Identities >  >  > Users.

    3. En la página Users, haga clic en Create User.

    4. En la página Create User, dentro de la sección User Account Information, configure la información básica del usuario.

      • Logon Name: El nombre puede tener hasta 64 caracteres y contener letras, dígitos, puntos (.), guiones (-) y guiones bajos (_).

      • Display Name: El nombre puede tener hasta 128 caracteres.

      • Tag: Haga clic en edit e introduzca una clave de etiqueta y un valor de etiqueta. Puede agregar etiquetas al usuario de RAM para facilitar la gestión de usuarios basada en etiquetas.

        Nota

        Haga clic en Add User para crear varios usuarios de RAM al mismo tiempo.

    5. En la sección Access Method, seleccione un modo de acceso y configure sus parámetros.

      Por motivos de seguridad, se recomienda seleccionar solo uno de los siguientes modos de acceso para separar a los usuarios humanos de los usuarios de aplicaciones.

      • Console Access

        Si el usuario de RAM representa a una persona, se recomienda habilitar el acceso a la consola, lo cual permite al usuario acceder a Alibaba Cloud con un nombre de usuario y una contraseña. Debe configurar los siguientes parámetros:

        • Console Password: Seleccione si desea generar automáticamente una contraseña o personalizarla. Una contraseña personalizada debe cumplir con las reglas de complejidad de contraseñas. Para obtener más información, consulte Set a password policy for RAM users.

        • Required upon Next Logon: Seleccione si el usuario de RAM debe restablecer la contraseña en el próximo inicio de sesión.

        • Enable MFA: Seleccione si desea habilitar la autenticación multifactor (MFA) para el usuario de RAM. Si habilita MFA, también debe vincular un dispositivo MFA. Para obtener más información, consulte Bind an MFA device for a RAM user.

      • Programmatic Access

        Si el usuario de RAM representa a una aplicación, esta puede acceder a Alibaba Cloud mediante programación utilizando un AccessKey permanente. Si habilita esta opción, el sistema genera automáticamente un AccessKey ID y un AccessKey secret para el usuario de RAM. Para obtener más información, consulte Create an AccessKey pair.

        Importante

        • El AccessKey secret de un usuario de RAM se muestra únicamente cuando se crea el AccessKey y no se puede recuperar posteriormente. Almacene el AccessKey secret de manera segura.

        • Un AccessKey es una credencial a largo plazo para el acceso mediante programación. Si un AccessKey se filtra, todos los recursos de su cuenta corren riesgo. Se recomienda utilizar credenciales temporales, como un token STS, para reducir el riesgo de filtración de credenciales. Para obtener más información, consulte Best practices for managing access credentials.

    6. Haga clic en OK.

    Paso 4: Otorgar permisos al usuario de RAM

    La Empresa B debe otorgar el permiso AliyunSTSAssumeRoleAccess a su usuario de RAM antes de que este pueda asumir el rol de RAM creado por la Empresa A.

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Identities >  >  > Users.

    3. En la página Users, localice el usuario de RAM deseado y haga clic en Add Permissions en la columna Actions.

      También puede seleccionar varios usuarios de RAM y hacer clic en Add Permissions en la parte inferior de la lista de usuarios para otorgar permisos en lotes.

    4. En el panel Create Authorization, dentro de la sección Policy, busque y seleccione AliyunSTSAssumeRoleAccess bajo System Policy y, a continuación, haga clic en OK.

    5. Haga clic en Close.

    Paso 5: Obtener el token STS

    Una vez que el usuario de RAM de la Empresa B tiene el permiso AliyunSTSAssumeRoleAccess, puede llamar a la operación de API AssumeRole para obtener un token STS. Posteriormente, el usuario utiliza este token para asumir el rol de RAM de Step 1: Create a RAM role in Company A y acceder a los recursos de la Empresa A.

    Nota

    • Para obtener más información sobre cómo llamar a la operación de API AssumeRole, consulte STS SDK for Java.

    • Después de obtener el AccessKey ID, el AccessKey secret y el SecurityToken mediante el SDK de STS, utilice el SDK de Simple Log Service para acceder a Simple Log Service. Para obtener más información, consulte SDK Reference Overview.