Tablestore:Uso de resource groups para el control detallado de recursos

Funcionamiento de la autorización por resource group

Un resource group le permite gestionar los recursos de su cuenta de Alibaba Cloud. Por ejemplo, puede crear grupos independientes para distintos proyectos y trasladar los recursos correspondientes a cada uno para administrarlos de manera centralizada. Para obtener más información, consulte What is a resource group?

Una vez agrupados los recursos, puede otorgar permisos a distintas identidades de RAM, como usuarios, grupos de usuarios o roles de RAM, limitándolos a un resource group específico. De esta forma, la identidad solo podrá gestionar los recursos dentro de ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece las siguientes ventajas:

• Permisos detallados: cada identidad recibe únicamente los permisos necesarios para acceder a recursos específicos. Esta práctica evita que los recursos de distintos proyectos se gestionen juntos dentro de la misma cuenta.

• Escalabilidad: al agregar nuevos recursos, solo necesita incluirlos en el resource group. La identidad de RAM obtiene automáticamente los permisos correspondientes, sin que tenga que otorgarlos de nuevo.

Otorgar permisos de resource group a un usuario de RAM

En esta sección se muestra cómo otorgar permisos sobre los recursos de Tablestore dentro de un resource group específico. Se utiliza un RAM user como ejemplo.

Tipos de recursos compatibles con resource groups

A continuación se muestran los tipos de recursos de Tablestore que admiten resource groups.

Operaciones sin autorización a nivel de resource group

Las siguientes acciones de Tablestore no admiten autorización a nivel de resource group.

Para las operaciones que no admiten autorización a nivel de resource group, otorgar permisos con el ámbito Resource group no tiene ningún efecto. Si necesita que un usuario de RAM cuente con estos permisos, cree una política de permisos personalizada y seleccione Account como ámbito de recursos al otorgarlos.

A continuación se muestran dos ejemplos de políticas de permisos personalizadas. Puede modificarlas según sus necesidades.

• Permitir todas las operaciones de solo lectura que no admiten autorización a nivel de resource group: el elemento Action enumera todas las operaciones de solo lectura que no admiten autorización a nivel de resource group.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ots:DescribeIndex",
          "ots:GetOtsServiceStatus",
          "ots:GetTrigger",
          "ots:ListClusterType",
          "ots:ListInstances",
          "ots:ListTags",
          "ots:ListTrigger",
          "ots:ListVpcInfoByVpc"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permitir todas las operaciones que no admiten autorización a nivel de resource group: el elemento Action enumera todas las operaciones que no admiten autorización a nivel de resource group.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ots:CheckSLR",
          "ots:CreateTimeseriesAnalyticalStore",
          "ots:CreateTrigger",
          "ots:DeleteIndex",
          "ots:DeleteTags",
          "ots:DeleteTrigger",
          "ots:DescribeIndex",
          "ots:GetOtsServiceStatus",
          "ots:GetTrigger",
          "ots:InsertTags",
          "ots:ListClusterType",
          "ots:ListInstances",
          "ots:ListTags",
          "ots:ListTrigger",
          "ots:ListVpcInfoByVpc",
          "ots:OpenOtsService",
          "ots:TagResources",
          "ots:UntagResources"
        ],
        "Resource": "*"
      }
    ]
  }
  

Preguntas frecuentes