IAM

Permisos de IAM

Si necesita asignar diferentes permisos a los empleados de su empresa para acceder a sus recursos de ModelArts, Identity and Access Management (IAM) es una buena opción para la gestión de permisos detallada. IAM proporciona autenticación de identidad, gestión de permisos y control de acceso, lo que le ayuda a acceder de forma segura a los recursos de Huawei Cloud. Si su cuenta de Huawei puede cumplir con sus requerimientos y no necesita una cuenta de IAM para gestionar los permisos de usuarios, omita este capítulo.

IAM es un servicio gratuito. Solo paga por los recursos de su cuenta.

Con IAM, puede controlar el acceso a recursos específicos de Huawei Cloud. Por ejemplo, si los desarrolladores de software en su empresa necesitan poseer permisos para usar ModelArts, pero usted no quiere que posean permisos de operación de alto riesgo como borrar ModelArts, usted puede otorgar permisos usando IAM para limitar sus permisos en ModelArts.

Para obtener más información acerca de IAM, consulte Qué es IAM.

Autorización basada en roles/políticas

ModelArts admite la autorización basada en roles/políticas. De forma predeterminada, los nuevos usuarios de IAM no tienen permisos. Debe agregar un usuario a uno o más grupos y asignar políticas de permisos o roles a estos grupos. Los usuarios heredan los permisos de los grupos a los que se agregan. Este proceso se llama autorización. A continuación, los usuarios heredan los permisos de los grupos y pueden realizar las operaciones especificadas en los servicios en nube.

ModelArts es un servicio a nivel de proyecto desplegado para las regiones específicas. Al establecer Scope en Region-specific projects y seleccionar los proyectos especificados (por ejemplo, ap-southeast-2) en las regiones especificadas (por ejemplo, AP-Bangkok), los usuarios solo tienen permisos para los recursos de ModelArts en los proyectos seleccionados. Si establece Scope en All resources, los usuarios dispondrán de recursos de ModelArts en todos los proyectos específicos de la región. Al acceder a ModelArts los usuarios deben cambiar a una región en la que han sido autorizados a usar servicios en la nube.

Tabla 1 enumera todas las políticas definidas por el sistema admitidas por ModelArts. Si el permiso de ModelArts preestablecido no cumple con sus requerimientos, cree una política personalizada consultando Campos de políticas en formato JSON.

ModelArts depende de otros servicios en la nube. Para verificar o consultar los servicios en la nube, configure los permisos correspondientes en la consola de ModelArts, como se muestra en la siguiente tabla.

Si las políticas definidas por el sistema no pueden satisfacer sus requisitos, puede crear una política personalizada. Para obtener más información sobre las acciones admitidas por las directivas personalizadas, consulte Permisos de recursos de ModelArts.

Puede crear las políticas personalizadas de cualquiera de las siguientes maneras:

• Visual editor: Seleccione los servicios en la nube, acciones, recursos y condiciones de solicitud sin la necesidad de conocer la sintaxis de la política.
• JSON: Crea una política JSON o edita una existente.

Para obtener más información, consulte Creación de una política personalizada. A continuación se enumeran ejemplos de políticas personalizadas comunes de ModelArts.

• Ejemplo 1: Conceder permiso para gestionar imágenes.

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "modelarts:image:register",
                  "modelarts:image:listGroup"
              ]
          }
      ]
  }

• Ejemplo 2: Conceder permiso para denegar la creación, actualización y eliminación de un grupo de recursos dedicados.

  Una política con solo permisos "Deny" debe usarse junto con otras políticas. Si los permisos concedidos a un usuario de IAM contienen tanto "Allow" como "Deny", los permisos "Deny" tienen la prioridad sobre los permisos "Allow".

  {
      "Version": "1.1",
      "Statement": [
          {
              "Action": [
                  "modelarts:*:*"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "swr:*:*"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "smn:*:*"
              ],
              "Effect": "Allow"
          },
          {
              "Action": [
                  "modelarts:pool:create",
                  "modelarts:pool:update",
                  "modelarts:pool:delete"
              ],
              "Effect": "Deny"
          }
      ]
  }

• Ejemplo 3: Crear una política personalizada que contenga varias acciones.

  Una política personalizada puede contener acciones de varios servicios que son de tipo global o de nivel de proyecto. A continuación se muestra una política de ejemplo que contiene acciones de varios servicios:

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "modelarts:service:*"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "lts:logs:list"
              ]
          }
      ]
  }

Campos de políticas en formato JSON

Estructura de políticas

Una política consiste en una versión y una o más sentencias (que indican diferentes acciones).

Figura 1 Estructura de políticas

Parámetros de políticas

A continuación se describen los parámetros de política. Puede crear políticas personalizadas especificando los parámetros. Para obtener más información, consulte Casos de uso de políticas personalizadas.

Tipos de recursos de ModelArts

Los administradores pueden especificar el ámbito en función de los tipos de recursos de ModelArts. En la siguiente tabla se enumeran los tipos de recursos admitidos por ModelArts:

Permisos de recursos de ModelArts

Para obtener más detalles, consulte «Políticas de permisos y acciones admitidas» en la Referencia de las API de ModelArts.

• Permisos de gestión de datos
• Permisos de DevEnviron
• Permisos de trabajo de entrenamiento
• Permisos de gestión de modelos
• Permisos de gestión de servicios