How to create a RAM user and grant permissions to access Simple Log Service - Simple Log Service

Un usuario de Resource Access Management (RAM) no puede acceder a Simple Log Service hasta que se le otorguen los permisos correspondientes.

Requisitos previos

Una cuenta de Alibaba Cloud. Inicie sesión con su cuenta de Alibaba Cloud para crear un usuario de RAM y otorgarle permisos.

Contexto

Es posible que necesite delegar las tareas de operación y mantenimiento (O&M) de Simple Log Service a otros ingenieros. Cree un usuario de RAM para cada ingeniero y, después, otorgue los permisos de Simple Log Service a cada uno de ellos.

Como práctica recomendada, aplique el principio de privilegio mínimo y otorgue al usuario de RAM únicamente los permisos que necesita. Para obtener más información sobre los usuarios de RAM, consulte Overview.

Paso 1: Crear un usuario de RAM

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud o como administrador de RAM.
En el panel de navegación izquierdo, seleccione Identities > Users.
En la página Users, haga clic en Create User.
En la sección User Account Information de la página Create User, configure la información básica del usuario.
- Logon Name: El nombre de inicio de sesión puede contener letras, dígitos, puntos (.), guiones (-) y guiones bajos (_), con una longitud máxima de 64 caracteres.
- Display Name: El nombre para mostrar puede tener hasta 128 caracteres de longitud.
- Tag: Haga clic en e introduzca una clave de etiqueta y un valor de etiqueta. Las etiquetas le permiten gestionar los usuarios de RAM por etiqueta.
Nota
Para crear varios usuarios de RAM al mismo tiempo, haga clic en Add User.
En la sección Access Mode, seleccione un modo de acceso y configure los parámetros correspondientes.
Por motivos de seguridad de la cuenta, seleccione solo uno de los siguientes modos de acceso. Mantenga separados los usuarios humanos de los usuarios de aplicación.
- Console Access
  
  Si el usuario de RAM representa a una persona, habilite el acceso a la consola para que pueda acceder a Alibaba Cloud con un nombre de usuario y una contraseña. Configure los siguientes parámetros:
  - Contraseña de inicio de sesión en la consola: seleccione una contraseña generada automáticamente o especifique una personalizada. La contraseña personalizada debe cumplir con los requisitos de complejidad. Para obtener más información, consulte Configure a password policy for RAM users.
  - Restablecimiento de contraseña: especifique si el usuario de RAM debe restablecer la contraseña en el siguiente inicio de sesión.
  - Autenticación multifactor (MFA): especifique si desea habilitar MFA para el usuario de RAM. Una vez habilitada, la cuenta de Alibaba Cloud o el propio usuario de RAM deben vincular un dispositivo MFA a dicho usuario. Para obtener más información, consulte Bind an MFA device for a RAM user.
- OpenAPI Access
  
  Si el usuario de RAM representa a una aplicación, habilite el acceso a openapi para que la aplicación pueda acceder a Alibaba Cloud mediante un par de accesskey. Cuando se habilita este acceso, el sistema genera automáticamente un identificador de accesskey y un secreto de accesskey para el usuario de RAM. Para obtener más información, consulte Create an AccessKey.
  
  Importante
  El secreto de accesskey de un usuario de RAM se muestra únicamente cuando se crea el par de accesskey y no se puede consultar después. Guárdelo de forma segura.
Haga clic en OK.
Complete la verificación de seguridad según las indicaciones del sistema.

Paso 2: Otorgar permisos al usuario de RAM

De forma predeterminada, un nuevo usuario de RAM no tiene permisos. Asigne una política de sistema de Simple Log Service al usuario de RAM según sus responsabilidades:

AliyunLogFullAccess: otorga permisos para gestionar Simple Log Service. Adjunte esta política a los ingenieros encargados de las tareas de O&M de Simple Log Service.
AliyunLogReadOnlyAccess: otorga permisos de solo lectura sobre Simple Log Service. Adjunte esta política a los usuarios de RAM que necesitan acceder a Simple Log Service, pero no gestionarlo.

Utilice cualquiera de los siguientes métodos para adjuntar la política al usuario de RAM.

Método 1: Otorgar permisos a un usuario de RAM desde la página Users

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione Identities > Users.
En la página Users, busque el usuario de RAM y haga clic en Add Permissions en la columna Actions.

Para otorgar permisos a varios usuarios de RAM al mismo tiempo, selecciónelos y haga clic en Add Permissions debajo de la lista de usuarios.
En el panel Grant Permission, otorgue los permisos al usuario de RAM.
1. Seleccione un ámbito de recursos.
  - Account: Los permisos surten efecto dentro de la cuenta actual de Alibaba Cloud.
  - Resource Group: Los permisos surten efecto dentro del resource group especificado.
    
    Importante
    Los permisos otorgados sobre un resource group surten efecto únicamente si el servicio en la nube y el tipo de recurso son compatibles con resource groups. Para obtener más información, consulte Services that work with Resource Group. Si desea ver un ejemplo de cómo otorgar permisos sobre un resource group, consulte Control RAM user access to specific ECS instances.
2. Seleccione los principales.
  
  Un principal es el usuario de RAM al que desea otorgarle permisos. El usuario de RAM actual se selecciona automáticamente.
3. Seleccione las políticas.
  
  Una política es un conjunto de permisos de acceso. Existen dos tipos de políticas, que se describen a continuación. Puede seleccionar varias políticas al mismo tiempo.
  - Política de sistema: creada por Alibaba Cloud, que también mantiene sus versiones. Usted puede usar las políticas de sistema, pero no modificarlas. Para obtener más información, consulte Services that support RAM.
    
    Nota
    El sistema marca automáticamente las políticas de sistema de alto riesgo, como AdministratorAccess y AliyunRAMFullAccess. Evite otorgar políticas de alto riesgo innecesarias.
  - Política personalizada: gestionada por usted. Usted mantiene las versiones de la política y puede crear, actualizar y eliminar políticas personalizadas. Para obtener más información, consulte Create a custom policy.
4. Haga clic en Grant permissions.
Haga clic en Close.

Método 2: Otorgar permisos a un usuario de RAM desde la página de autorización

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione Permissions > Grants.
En la página Grants, haga clic en Grant Permission.
En el panel Grant Permission, otorgue los permisos al usuario de RAM.
1. Seleccione un ámbito de recursos.
  - Account: Los permisos surten efecto dentro de la cuenta actual de Alibaba Cloud.
  - Resource Group: Los permisos surten efecto dentro del resource group especificado.
    
    Importante
    Los permisos otorgados sobre un resource group surten efecto únicamente si el servicio en la nube y el tipo de recurso son compatibles con resource groups. Para obtener más información, consulte Services that work with Resource Group. Si desea ver un ejemplo de cómo otorgar permisos sobre un resource group, consulte Control RAM user access to specific ECS instances.
2. Seleccione los principales.
  
  Un principal es el usuario de RAM al que desea otorgarle permisos. Puede seleccionar varios usuarios de RAM al mismo tiempo.
3. Seleccione las políticas.
  
  Una política es un conjunto de permisos de acceso. Existen dos tipos de políticas, que se describen a continuación. Puede seleccionar varias políticas al mismo tiempo.
  - Política de sistema: creada por Alibaba Cloud, que también mantiene sus versiones. Usted puede usar las políticas de sistema, pero no modificarlas. Para obtener más información, consulte Services that support RAM.
    
    Nota
    El sistema marca automáticamente las políticas de sistema de alto riesgo, como AdministratorAccess y AliyunRAMFullAccess. Evite otorgar políticas de alto riesgo innecesarias.
  - Política personalizada: gestionada por usted. Usted mantiene las versiones de la política y puede crear, actualizar y eliminar políticas personalizadas. Para obtener más información, consulte Create a custom policy.
4. Haga clic en Grant permissions.
Haga clic en Close.

Otorgar permisos detallados con una política personalizada

Si las políticas de sistema de Simple Log Service no cubren sus necesidades, cree una política personalizada para implementar una gestión detallada de permisos. Para consultar las instrucciones, consulte Create a custom policy. Si desea ver ejemplos de políticas de permisos, consulte Examples of custom RAM policies y RAM authorization policies for Simple Log Service.

Pasos siguientes

Una vez que haya otorgado los permisos al usuario de RAM, este podrá iniciar sesión en la consola con sus credenciales y acceder a Simple Log Service. Para consultar las instrucciones, consulte Log on to the Alibaba Cloud Management Console as a RAM user.