Buat pengguna RAM dan berikan izin minimum yang diperlukan untuk kontrol akses detail halus terhadap sumber daya cloud Anda.
Mengapa menggunakan pengguna RAM?
Akun Alibaba Cloud mirip dengan pengguna root dalam sistem Linux—memiliki izin penuh tetapi tidak cocok untuk penggunaan sehari-hari. Saat beberapa karyawan perlu berkolaborasi dalam mengelola sumber daya cloud, gunakan Resource Access Management (RAM) untuk membuat pengguna RAM di bawah akun Alibaba Cloud Anda dan berikan setiap pengguna hanya izin minimum yang diperlukan untuk tugasnya.
|
Item |
Akun Alibaba Cloud |
Pengguna RAM |
|
Peran identitas |
Pemilik semua sumber daya. Memiliki kepemilikan penuh dan izin tertinggi. |
Pengguna sumber daya dan layanan. Izin diberikan oleh akun Alibaba Cloud. Biasanya mewakili orang atau aplikasi tertentu. |
|
Kepemilikan sumber daya cloud |
Ya |
Tidak. Sumber daya dimiliki oleh akun Alibaba Cloud. |
|
Izin default |
Izin penuh. Tidak dapat dibatasi. |
Tidak memiliki izin secara default. Harus diberikan oleh akun Alibaba Cloud. |
|
Penggunaan yang direkomendasikan |
Hanya untuk operasi manajemen kunci: otorisasi, pembayaran, dan manajemen akun. |
Pengembangan harian, Operasi dan Pemeliharaan (O&M), penerapan, dan tugas lainnya. |
Prosedur
Buat pengguna RAM: Gunakan Get Started di konsol untuk membuat RAM User dengan izin Auditing Administrator.
Login sebagai pengguna RAM: Login ke konsol sebagai pengguna RAM yang baru dibuat dan lengkapi pengaturan awal.
Verifikasi izin pengguna RAM: Verifikasi bahwa izin telah berhasil diberikan.
Akun Alibaba Cloud yang sudah ada tidak dapat langsung dikonversi menjadi pengguna RAM. Untuk membuat pengguna RAM bagi orang yang sudah memiliki akun Alibaba Cloud sendiri, buat pengguna RAM baru di bawah akun Alibaba Cloud Anda dan berikan izin kepada mereka.
Langkah 1: Buat pengguna RAM
Buat pengguna dan berikan izin dengan cepat
Login ke RAM console menggunakan akun Alibaba Cloud Anda.
Pada halaman Overview, klik , lalu pilih skenario target Anda.
Contoh berikut menggunakan skenario Auditing Administrator. Seorang Auditing Administrator memiliki izin penuh untuk CloudConfig, ActionTrail, dan Log Service, serta dapat melihat status semua sumber daya Alibaba Cloud.
Workflow Preview di sebelah kiri menampilkan langkah-langkah untuk skenario Auditing Administrator: Buat pengguna, buat pengaturan login pengguna, buat grup pengguna, tambahkan pengguna ke grup pengguna, buat kebijakan kustom, dan sambungkan kebijakan ke grup pengguna.
Wizard Get Started juga menyediakan skenario Security Administrator untuk pengguna yang bertanggung jawab atas keamanan cloud. Skenario ini memberikan izin penuh untuk layanan keamanan, termasuk izin untuk mengaktifkan dan membeli layanan keamanan cloud.
Tidak tersedia templat skenario preset untuk system administrator. Jika Anda mencari peran ini, gunakan skenario Super User sebagai gantinya. Super user dapat membuat, melihat, dan melakukan operasi pada semua layanan cloud, tetapi tidak dapat mengelola identitas dan izin, mengelola struktur akun, atau melakukan penghubungan akun.
Tabel berikut membandingkan skenario administrator.
Skenario
Cakupan izin
Peran yang dituju
Auditing Administrator
Izin penuh untuk CloudConfig, ActionTrail, dan Log Service; dapat melihat status semua sumber daya
Auditor kepatuhan
Security Administrator
Izin penuh untuk layanan keamanan, termasuk mengaktifkan dan membeli layanan keamanan cloud serta mengonfigurasi aturan keamanan
Penanggung jawab keamanan
Super User
Izin untuk membuat, melihat, dan melakukan operasi pada semua layanan cloud; tidak dapat mengelola identitas dan izin
Insinyur operasi sistem
Lihat atau ubah parameter konfigurasi.
Semua parameter preset terlihat, tetapi hanya beberapa yang dapat diubah. Periksa konsol untuk melihat parameter mana yang dapat Anda ubah.
Klik Perform.
Lihat progres konfigurasi. Setelah konfigurasi selesai, simpan username dan kata sandi logon pengguna RAM.
Untuk pengguna RAM yang dibuat melalui mulai cepat, Anda dapat mengubah konfigurasinya nanti di RAM console. Untuk informasi selengkapnya, lihat Ubah informasi dasar pengguna RAM.
Untuk membuat pengguna RAM dan mengelola izin secara manual, lihat Buat pengguna RAM, Kelola izin pengguna RAM, dan Hapus izin dari pengguna RAM.
Atur alias akun (disarankan)
Nama logon default untuk pengguna RAM adalah <UserName>@<AccountAlias>.onaliyun.com, di mana <AccountAlias>.onaliyun.com adalah Default Domain akun Alibaba Cloud, dan <AccountAlias> adalah account alias. Secara default, account alias adalah Account ID akun Alibaba Cloud. Kami menyarankan agar Anda mengatur alias akun yang mudah diingat sebelum membuat pengguna RAM. Hal ini menggantikan Account ID 16 digit dan menyederhanakan proses login pengguna RAM.
Untuk mengubah Default Domain, ikuti langkah-langkah berikut:
Login ke RAM console menggunakan akun Alibaba Cloud Anda.
Di panel navigasi sebelah kiri, pilih . Klik Default Domain di sebelah Edit untuk mengubahnya.
Hanya akun Alibaba Cloud atau pengguna RAM dengan izin administrator RAM yang dapat mengatur atau mengubah nama domain default.
Alias akun berlaku segera. Nama logon semua pengguna RAM baru akan menggunakan alias ini secara default.
Langkah 2: Login sebagai pengguna RAM
Gunakan salah satu URL berikut untuk login ke konsol sebagai pengguna RAM. Untuk menghindari memasukkan Default Domain akun setiap kali, gunakan URL login khusus.
URL login umum
Login ke Alibaba Cloud Management Console sebagai pengguna RAM yang baru dibuat.
CatatanHalaman login untuk pengguna RAM berbeda dari halaman login untuk akun Alibaba Cloud. Untuk informasi selengkapnya, lihat Login ke Alibaba Cloud Management Console sebagai pengguna RAM.
URL login khusus
Dapatkan URL login untuk pengguna RAM dari halaman Overview di RAM console. URL ini memungkinkan pengguna RAM login tanpa memasukkan Default Domain akun.
Di bagian Basic Information, temukan Logon URL dalam format
https://signin.alibabacloud.com/{default domain name}/login.htm. Klik Copy Logon URL di sebelah kanan.Pada halaman RAM User Logon, masukkan username pengguna RAM dan klik Next.
Masukkan password pengguna RAM dan klik Log On.
Pertama kali login, Anda harus mengikat perangkat autentikasi multi-faktor (MFA). Untuk login berikutnya, Anda akan diminta memasukkan kode MFA. Untuk informasi selengkapnya, lihat Ikatan perangkat MFA untuk pengguna RAM.
Atur ulang password pengguna RAM: Secara default, pengguna RAM yang dibuat melalui wizard Get Started harus mengatur ulang password saat login pertama kali.
Langkah 3: Verifikasi izin
Auditing Administrator yang Anda buat memiliki izin penuh untuk CloudConfig, ActionTrail, dan Log Service, serta dapat melihat status semua sumber daya Alibaba Cloud. Langkah-langkah berikut menggunakan ActionTrail dan RAM sebagai contoh untuk memverifikasi izin.
Setelah Anda login ke konsol sebagai pengguna RAM, arahkan kursor ke foto profil di pojok kanan atas untuk melihat informasi pengguna.
Panel tersebut menampilkan informasi seperti alamat email login, ID akun, identitas saat ini, alias perusahaan, dan ID akun Alibaba Cloud pengguna RAM.
Buka ActionTrail console dan coba lakukan suatu operasi.
Misalnya, di panel navigasi sebelah kiri, pilih untuk melihat catatan event semua layanan.
Buka RAM console.
Di panel navigasi sebelah kiri, pilih untuk melihat pengguna RAM yang telah dibuat.
Ulangi langkah-langkah dalam Buat pengguna RAM. Anda akan menerima error akses ditolak.
Dapatkan nama login akun Alibaba Cloud
Jika Anda perlu mendapatkan nama login lengkap akun Alibaba Cloud, misalnya untuk operasi cross-account, menghubungi administrator akun, atau mengisi formulir aplikasi, gunakan salah satu metode berikut.
Metode 1: Gunakan Account Center
Login ke Alibaba Cloud Management Console sebagai pengguna RAM.
Buka halaman Account Center:
https://account-console.alibabacloud.com/overview.Di bagian Account Information, lihat nilai bidang Logon Name. Nilai tersebut menampilkan nama login akun Alibaba Cloud. Sebagian nama login disembunyikan.
Metode 2: Gunakan konsol penagihan
Login ke Alibaba Cloud Management Console sebagai pengguna RAM.
Buka halaman konsol penagihan:
https://usercenter2-intl.console.alibabacloud.com/fortune/billing-account.Di bagian Basic Information, lihat bidang Account Name. Bidang ini menampilkan nama login lengkap akun Alibaba Cloud.
Untuk mengakses halaman konsol penagihan, pengguna RAM harus diberikan kebijakan izin AliyunBSSReadOnlyAccess. Jika tidak, error akses ditolak akan dikembalikan.
Pecahkan masalah izin umum
Jika pengguna RAM mengalami error akses ditolak saat mengakses sumber daya cloud, lihat Bagaimana cara memecahkan masalah error akses ditolak?.
Topik terkait
Untuk instruksi terperinci, lihat topik berikut: