Identidades e permissões do Alibaba Cloud | Usuários, funções e políticas do RAM - Security Center: Central de Documentação do Alibaba Cloud

Identidades

O Alibaba Cloud oferece suporte a dois tipos de identidades de usuário: identidades de usuário de entidade e identidades de usuário virtuais.

Identidades de usuário de entidade

Uma identidade de usuário de entidade possui um ID fixo e credenciais (senha de logon ou par de AccessKey) vinculadas a uma pessoa, empresa ou aplicativo. As identidades de usuário de entidade incluem contas do Alibaba Cloud e usuários do Resource Access Management (RAM). Acesse os recursos da cloud de duas maneiras:

Faça logon no console com nome de usuário, senha e autenticação multifator (MFA).
Chame APIs com um par de AccessKey.

As contas do Alibaba Cloud e os usuários do RAM diferem em escopo e permissões.

Conta do Alibaba Cloud

Recursos

Possui permissões raiz ou administrativas para o sistema operacional da cloud.
Atua como a entidade de faturamento com controle total sobre todos os recursos pertencentes.

Notas de uso

Evite usar a conta do Alibaba Cloud para acessar recursos da cloud, a menos que seja necessário.

Melhor prática: crie um usuário do RAM com permissões administrativas e use-o para criar e gerenciar outros usuários do RAM.

Usuário do RAM

Recursos

Um usuário do RAM precisa receber permissões da conta do Alibaba Cloud ou de um administrador do RAM antes de acessar recursos.
Um usuário do RAM não possui recursos e não pode ser faturado independentemente. A conta pai do Alibaba Cloud é proprietária e paga por todos os recursos, e o usuário do RAM é visível apenas dentro dessa conta.

Notas de uso

Crie um usuário do RAM para cada operador ou aplicativo que precise acessar recursos da cloud.

Nota

Agrupe usuários do RAM com responsabilidades compartilhadas em um grupo de usuários do RAM e conceda permissões no nível do grupo.

Identidades de usuário virtuais

Uma identidade de usuário virtual não possui credenciais fixas. Uma função do RAM é uma identidade virtual assumida por uma entidade confiável, que recebe um token temporário do Security Token Service (STS) para acessar recursos autorizados.

As funções do RAM oferecem suporte aos seguintes tipos de entidades confiáveis.

Entidade confiável	Cenário	Referências
Conta do Alibaba Cloud	Acesso entre contas e autorização temporária. Apenas usuários do RAM sob a conta confiável do Alibaba Cloud (atual ou outra conta) podem assumir a função.	Create a RAM role for a trusted Alibaba Cloud account
service do Alibaba Cloud	Acesso a recursos entre services. Apenas services confiáveis do Alibaba Cloud podem assumir a função.	Create a RAM role for a trusted Alibaba Cloud service
Provedor de identidade	Integração SSO. Apenas usuários do provedor de identidade confiável podem assumir a função.	Create a RAM role for a trusted identity provider

Permissões

Uma permissão especifica se deve permitir ou negar operações em recursos específicos sob determinadas condições.

Permissões de identidade de usuário de entidade

Identidade de usuário de entidade

Permissão padrão

Requer autorização

Detalhes da autorização

Conta do Alibaba Cloud

Possui todas as permissões em seus recursos.

Não

Uma conta do Alibaba Cloud tem controle total sobre seus recursos.
Qualquer outro usuário deve receber permissões da conta do Alibaba Cloud para acessar seus recursos da cloud.

Usuário do RAM

Sem permissões

Sim. Sem permissões até que sejam concedidas explicitamente.

Conceda permissões anexando políticas de acesso a identidades no RAM. Uma política de acesso define os recursos autorizados, as ações permitidas e as condições.

O RAM oferece suporte a dois tipos de políticas de acesso:

Políticas do sistema: predefinidas pelo Alibaba Cloud. Você pode usá-las, mas não modificá-las.
Políticas personalizadas: criadas, atualizadas e mantidas por você.

Anexe uma política de acesso a um usuário do RAM ou a um grupo de usuários do RAM para conceder permissões. Gerencie permissions for a RAM user. Grant permissions to a RAM user group.

Permissões de identidade de usuário virtual

Uma função do RAM não possui permissões por padrão.

Após especificar uma entidade confiável, anexe uma política de acesso para que a função possa acessar recursos por meio do console e da API.

Anexe uma política de acesso a uma função do RAM para conceder permissões. Gerencie permissions for a RAM role.

Referências

Services do Alibaba Cloud com suporte do RAM e suas políticas de sistema: Alibaba Cloud services that support RAM.
Elementos, sintaxe e estrutura da política de acesso: Basic elements of a RAM policy e Policy structure and syntax.