Control detallado con resource groups - Simple Log Service - Centro de documentación de Alibaba Cloud

Puede usar resource groups junto con Resource Access Management (RAM) para aislar recursos y gestionar permisos de forma detallada dentro de una sola cuenta de Alibaba Cloud. En este tema se explica cómo Log Service admite los resource groups y se muestra cómo otorgar permisos a nivel de resource group.

Nota

La autorización a nivel de resource group solo aplica a resource types that support resource groups y a las operaciones que admiten este tipo de autorización.
En los tipos de recursos que no admiten resource groups, los permisos otorgados en este ámbito no surten efecto. Al seleccionar el ámbito del recurso, elija Account-level para otorgar permisos a nivel de cuenta. Para obtener más información, consulte Operations that do not support resource group-level authorization.

Autorización de resource group

Utilice los resource groups para agrupar y gestionar los recursos de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group para cada uno de sus proyectos y mover los recursos al grupo correspondiente. Esto centraliza la gestión de recursos de cada proyecto. Para obtener más información, consulte What is a resource group?.

Una vez agrupados los recursos, puede otorgar permisos sobre un resource group específico a distintas identidades de RAM, como usuarios de RAM, grupos de usuarios de RAM o roles de RAM. De esta manera, la gestión de cada identidad queda limitada a los recursos de ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: es posible otorgar a cada identidad únicamente los permisos necesarios para recursos específicos. Así se evita mezclar la gestión de recursos de distintos proyectos dentro de una misma cuenta.
Escalabilidad: cuando agregue nuevos recursos, solo tendrá que añadirlos al resource group. La identidad de RAM hereda automáticamente los permisos sobre estos recursos.

Otorgar permisos a nivel de resource group a un usuario de RAM

En este tema se toma como ejemplo un RAM user para describir cómo otorgar permisos sobre los recursos de Log Service dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para obtener más información, consulte Create a RAM user.
Cree un resource group y mueva los recursos existentes hacia él. Para obtener más información, consulte Create a resource group, Automatically move resources to a resource group y Manually move resources to a resource group.

2. Otorgar permisos a nivel de resource group

Para otorgar permisos a nivel de resource group, utilice cualquiera de los métodos a continuación.

Consola de administración de recursos

Utilice la función de gestión de permisos de un resource group para otorgar permisos a un usuario de RAM. Para consultar las instrucciones detalladas, consulte Grant resource group-scoped permissions to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, busque el resource group deseado y haga clic en Manage Permissions en la columna Actions.
En la pestaña Manage Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la identidad principal y la política.
- Principal: seleccione un usuario de RAM existente.
- Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Consola de RAM

También puede otorgar permisos a nivel de resource group a un usuario de RAM desde la consola de RAM. Para consultar las instrucciones detalladas, consulte Manage permissions for a RAM user.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud (cuenta raíz) o como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM deseado y haga clic en Add Permissions en la columna Actions.
En el panel Add Permissions, configure los parámetros a continuación.
- Resource Scope: seleccione Resource Group.
- Principal: la identidad principal se establece automáticamente en el usuario de RAM actual.
- Policy: seleccione una system policy o una custom policy existente. Para obtener más información, consulte Create a custom policy.
Haga clic en OK.

Tipos de recursos compatibles con resource groups

En la siguiente tabla se muestran los tipos de recursos de Log Service que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo de recurso
Log Service	log	project

Nota

Para los tipos de recursos no compatibles, puede enviar sus comentarios en la consola de Resource Group.

Acciones sin autorización a nivel de resource group

Las siguientes acciones de Log Service no admiten autorización a nivel de resource group:

Acciones	Descripción
log:AccessDashboardSharing	-
log:AnalyzeProductLog	-
log:BalancePartitions	-
log:BatchGetGlobalProject	-
log:BatchGetIndex	-
log:BatchGetStore	-
log:CallAiTools	Llama a las herramientas de IA de observability. Puede usar la API de lista de herramientas para recuperar las capacidades compatibles actualmente, las cuales se actualizan de forma continua.
log:CheckArmsAuthorization	-
log:CheckUserPermission	-
log:CreateAccount	-
log:CreateAgentInstanceConfig	-
log:CreateAnnotationDataSet	Crea un conjunto de datos.
log:CreateAnnotationLabel	Crea una tabla de etiquetas.
log:CreateApp	-
log:CreateCMSInnerExternalStore	-
log:CreateCluster	-
log:CreateDashboardSharing	-
log:CreateDataExpression	-
log:CreateEntityStore	-
log:CreateRecordingRule	-
log:CreateResourceRecord	-
log:CreateTicket	Crea un ticket para generar un enlace de acceso sin contraseña. Este enlace permite compartir la página de consulta y análisis de Log Service o un dashboard, o bien integrarlos mediante embedding en un sistema externo.
log:DeleteAccount	-
log:DeleteAgentInstanceConfig	-
log:DeleteCollectionPolicy	Elimina una política de recopilación de registros de productos en la nube.
log:DeleteDashboardSharing	-
log:DeleteEntityStore	-
log:DeleteRecordingRule	-
log:DeleteResource	-
log:DeleteResourceRecord	-
log:DescribeService	Llama a GetSlsService para recuperar el estado de activación de Log Service. El endpoint del servicio debe ser China (Shanghai) o Asia Pacific SE 1 (Singapore).
log:DisableWorker	-
log:EnableService	Activa Log Service. El endpoint del servicio debe ser China (Shanghai) o Asia Pacific SE 1 (Singapore).
log:EnableWorker	-
log:GetAccount	-
log:GetAgentInstanceConfig	-
log:GetAnnotationLabel	Recupera una tabla de etiquetas específica mediante su labelId.
log:GetApp	-
log:GetAsyncSQL	-
log:GetCMSInnerExternalStore	-
log:GetCluster	-
log:GetCollectionPolicy	Recupera una política de recopilación específica.
log:GetCursor	-
log:GetDataExpression	-
log:GetDiagnosis	-
log:GetEcsAliUid	-
log:GetEntityStore	-
log:GetGlobalProject	-
log:GetLogs	-
log:GetMLServiceResults	Recupera los resultados de análisis de los modelos inteligentes de Log Service. Estos modelos analizan datos de registros, métricas y trazas para ejecutar tareas como reconocimiento de entidades nombradas (NER), detección de anomalías en series temporales y análisis de causa raíz en spans de alta latencia.
log:GetPartitions	-
log:GetProductDataCollection	-
log:GetProjectInfo	-
log:GetRecordingRule	-
log:GetResource	-
log:GetResourceRecord	-
log:GetRoleFlags	-
log:GetShards	-
log:GetShardsInPartition	-
log:GetSlsService	-
log:GetWorkerFlags	-
log:GetWorkers	-
log:ListAccounts	-
log:ListAgentInstanceConfigs	-
log:ListAiTools	Recupera una lista de herramientas inteligentes de la plataforma de observability, incluidas las capacidades de Copilot para diversas cargas de trabajo de observability.
log:ListAnnotationData	Muestra todos los datos de un conjunto de datos.
log:ListAnnotationDataSets	Recupera una lista de conjuntos de datos.
log:ListAnnotationLabels	Recupera una lista de tablas de etiquetas.
log:ListClusters	-
log:ListCollectionPolicies	Muestra las políticas de recopilación de registros de productos en la nube.
log:ListDashboardSharing	-
log:ListGlobalProjects	-
log:ListNextResourceRecords	-
log:ListProjects	-
log:ListResourceRecords	-
log:ListResources	-
log:ListTagResource	-
log:LockWorker	-
log:MovePartition	-
log:MoveShard	-
log:OpenSlsService	-
log:PutAccount	-
log:PutAnnotationData	Agrega datos a un conjunto de datos.
log:PutLogs	-
log:PutOpenEvent	-
log:QueryPartition	-
log:QueryProject	-
log:QueryPrometheusMetrics	-
log:RefreshToken	Actualiza un token de acceso mediante un ticket para acceder a las API de la consola.
log:RemoteWritePrometheus	-
log:SetGeneralDataAccessConfig	-
log:SetWorkerFlags	-
log:SubmitAsyncSQL	-
log:UnlockWorker	-
log:UpdateAccount	-
log:UpdateAgentInstanceConfig	-
log:UpdateApp	-
log:UpdateCluster	-
log:UpdateDashboardSharing	-
log:UpdateDataExpression	-
log:UpdateLogStoreInternalConfig	-
log:UpdateProjectOwner	-
log:UpdateProjectQuota	-
log:UpdateProjectV2	-
log:UpdateResource	-
log:UpdateResourceRecord	-
log:UpsertCollectionPolicy	Crea o actualiza una política de recopilación para habilitar la recolección automatizada de registros de productos en la nube.
log:UpsertResourceRecord	-
log:VerifySignature	-

Si una acción no admite autorización a nivel de resource group, establecer el ámbito del recurso en resource group level no surte efecto. Para otorgar estos permisos a un usuario de RAM, cree una política personalizada y establezca el ámbito del recurso en account level.

A continuación se muestran dos ejemplos de políticas personalizadas. Modifíquelas según sus necesidades.

Permitir todas las operaciones de solo lectura que no admiten autorización a nivel de resource group: estas operaciones se enumeran en Action.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:CallAiTools",
        "log:DescribeService",
        "log:GetAccount",
        "log:GetAgentInstanceConfig",
        "log:GetAnnotationLabel",
        "log:GetApp",
        "log:GetAsyncSQL",
        "log:GetCMSInnerExternalStore",
        "log:GetCluster",
        "log:GetCollectionPolicy",
        "log:GetCursor",
        "log:GetDataExpression",
        "log:GetDiagnosis",
        "log:GetEcsAliUid",
        "log:GetEntityStore",
        "log:GetGlobalProject",
        "log:GetLogs",
        "log:GetMLServiceResults",
        "log:GetPartitions",
        "log:GetProductDataCollection",
        "log:GetProjectInfo",
        "log:GetRecordingRule",
        "log:GetResource",
        "log:GetResourceRecord",
        "log:GetRoleFlags",
        "log:GetShards",
        "log:GetShardsInPartition",
        "log:GetSlsService",
        "log:GetWorkerFlags",
        "log:GetWorkers",
        "log:ListAccounts",
        "log:ListAgentInstanceConfigs",
        "log:ListAiTools",
        "log:ListAnnotationData",
        "log:ListAnnotationDataSets",
        "log:ListAnnotationLabels",
        "log:ListClusters",
        "log:ListCollectionPolicies",
        "log:ListDashboardSharing",
        "log:ListGlobalProjects",
        "log:ListNextResourceRecords",
        "log:ListProjects",
        "log:ListResourceRecords",
        "log:ListResources",
        "log:ListTagResource",
        "log:QueryPartition",
        "log:QueryProject",
        "log:QueryPrometheusMetrics"
      ],
      "Resource": "*"
    }
  ]
}

Permitir todas las operaciones que no admiten autorización a nivel de resource group: el elemento Action enumera todas estas operaciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:AccessDashboardSharing",
        "log:AnalyzeProductLog",
        "log:BalancePartitions",
        "log:BatchGetGlobalProject",
        "log:BatchGetIndex",
        "log:BatchGetStore",
        "log:CallAiTools",
        "log:CheckArmsAuthorization",
        "log:CheckUserPermission",
        "log:CreateAccount",
        "log:CreateAgentInstanceConfig",
        "log:CreateAnnotationDataSet",
        "log:CreateAnnotationLabel",
        "log:CreateApp",
        "log:CreateCMSInnerExternalStore",
        "log:CreateCluster",
        "log:CreateDashboardSharing",
        "log:CreateDataExpression",
        "log:CreateEntityStore",
        "log:CreateRecordingRule",
        "log:CreateResourceRecord",
        "log:CreateTicket",
        "log:DeleteAccount",
        "log:DeleteAgentInstanceConfig",
        "log:DeleteCollectionPolicy",
        "log:DeleteDashboardSharing",
        "log:DeleteEntityStore",
        "log:DeleteRecordingRule",
        "log:DeleteResource",
        "log:DeleteResourceRecord",
        "log:DescribeService",
        "log:DisableWorker",
        "log:EnableService",
        "log:EnableWorker",
        "log:GetAccount",
        "log:GetAgentInstanceConfig",
        "log:GetAnnotationLabel",
        "log:GetApp",
        "log:GetAsyncSQL",
        "log:GetCMSInnerExternalStore",
        "log:GetCluster",
        "log:GetCollectionPolicy",
        "log:GetCursor",
        "log:GetDataExpression",
        "log:GetDiagnosis",
        "log:GetEcsAliUid",
        "log:GetEntityStore",
        "log:GetGlobalProject",
        "log:GetLogs",
        "log:GetMLServiceResults",
        "log:GetPartitions",
        "log:GetProductDataCollection",
        "log:GetProjectInfo",
        "log:GetRecordingRule",
        "log:GetResource",
        "log:GetResourceRecord",
        "log:GetRoleFlags",
        "log:GetShards",
        "log:GetShardsInPartition",
        "log:GetSlsService",
        "log:GetWorkerFlags",
        "log:GetWorkers",
        "log:ListAccounts",
        "log:ListAgentInstanceConfigs",
        "log:ListAiTools",
        "log:ListAnnotationData",
        "log:ListAnnotationDataSets",
        "log:ListAnnotationLabels",
        "log:ListClusters",
        "log:ListCollectionPolicies",
        "log:ListDashboardSharing",
        "log:ListGlobalProjects",
        "log:ListNextResourceRecords",
        "log:ListProjects",
        "log:ListResourceRecords",
        "log:ListResources",
        "log:ListTagResource",
        "log:LockWorker",
        "log:MovePartition",
        "log:MoveShard",
        "log:OpenSlsService",
        "log:PutAccount",
        "log:PutAnnotationData",
        "log:PutLogs",
        "log:PutOpenEvent",
        "log:QueryPartition",
        "log:QueryProject",
        "log:QueryPrometheusMetrics",
        "log:RefreshToken",
        "log:RemoteWritePrometheus",
        "log:SetGeneralDataAccessConfig",
        "log:SetWorkerFlags",
        "log:SubmitAsyncSQL",
        "log:UnlockWorker",
        "log:UpdateAccount",
        "log:UpdateAgentInstanceConfig",
        "log:UpdateApp",
        "log:UpdateCluster",
        "log:UpdateDashboardSharing",
        "log:UpdateDataExpression",
        "log:UpdateLogStoreInternalConfig",
        "log:UpdateProjectOwner",
        "log:UpdateProjectQuota",
        "log:UpdateProjectV2",
        "log:UpdateResource",
        "log:UpdateResourceRecord",
        "log:UpsertCollectionPolicy",
        "log:UpsertResourceRecord",
        "log:VerifySignature"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede gestionar todos los recursos de dicha cuenta. Aplique siempre el principio de privilegio mínimo y otorgue únicamente los permisos necesarios.

Preguntas frecuentes

Buscar el resource group de un recurso

Método 1: haga clic en el nombre del recurso para abrir su página de detalles, donde se muestra el resource group.
Método 2: inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. A la izquierda, seleccione la cuenta propietaria del recurso (el valor predeterminado es current account). Use los filtros para ubicar el recurso deseado y consulte su resource group.

Consultar los recursos de un producto en un resource group

Método 1: inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. A la izquierda, en la sección de la cuenta propietaria de los recursos (el valor predeterminado es current account), haga clic en el nombre del resource group deseado. Luego, a la derecha, seleccione el producto en la lista Select resource type para consultar todos sus recursos dentro de ese resource group.
Método 2: inicie sesión en la consola de Resource Management y vaya a Resource Groups. Busque el resource group deseado y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product ubicada en la parte superior para consultar todos sus recursos dentro de ese resource group.

Cambiar el resource group de varios recursos

Inicie sesión en la consola de Resource Management y vaya a Resource Groups. Para el resource group deseado, haga clic en Manage Resources en la columna Actions. Use los filtros para buscar los recursos, active sus casillas de verificación, haga clic en Transfer Resource Group en la parte inferior y siga las instrucciones que aparecen en pantalla.