Todos os produtos
Search

Este produto

    ApsaraMQ for Kafka:Conceder permissões a usuários do RAM

    Central de documentação

    ApsaraMQ for Kafka:Conceder permissões a usuários do RAM

    Última atualização: Oct 14, 2026

    O Resource Access Management (RAM) permite separar as permissões entre a sua conta Alibaba Cloud e os usuários do RAM. Assim, é possível conceder permissões diferentes aos usuários do RAM conforme a necessidade e evitar os riscos de segurança associados à exposição do par de AccessKey da sua conta Alibaba Cloud.

    Contexto

    A Empresa A ativou o service ApsaraMQ for Kafka. A empresa requer que seus funcionários gerencie os recursos do service ApsaraMQ for Kafka, como instâncias, tópicos e grupos de consumidores. Como os funcionários têm responsabilidades diferentes, precisam de permissões distintas. A Empresa A tem os seguintes requisitos:

    • Por motivos de segurança ou confiança, a empresa não deseja compartilhar o par de AccessKey de sua conta Alibaba Cloud diretamente com os funcionários. Em vez disso, prefere criar um usuário do RAM individual para cada funcionário.

    • Os usuários do RAM só podem gerenciar recursos após receberem as permissões necessárias. Todo o uso de recursos e os custos associados são faturados na conta Alibaba Cloud da empresa.

    • A empresa pode revogar as permissões de um usuário do RAM ou exclua o usuário a qualquer momento.

    Etapa 1: Crie usuários do RAM

    Para criar usuários do RAM para os funcionários, faça login no console do RAM com a conta Alibaba Cloud.

    Procedimento

    1. Faça login no console do RAM usando uma conta Alibaba Cloud ou um usuário do RAM com direitos administrativos.

    2. No painel de navegação à esquerda, escolha Identities > Users.

    3. Na página Users, clique em Create User.

    4. Na seção User Account Information da página Create User, configure os seguintes parâmetros:

      • Logon Name: O nome de login pode ter até 64 caracteres e conter letras, dígitos, pontos (.), hifens (-) e sublinhados (_).

      • Display Name: O nome de exibição pode ter até 128 caracteres.

      • Tag: Clique no ícone edit e insira uma chave e um valor de tag. É possível adicionar uma ou mais tags ao usuário do RAM para gerenciá-lo com base nelas.

      Nota

      Clique em Add User e crie vários usuários do RAM simultaneamente.

    5. Na seção Access Mode, selecione um modo de acesso e configure os parâmetros necessários.

      Para garantir a segurança da conta Alibaba Cloud, recomendamos selecionar apenas um modo de acesso para o usuário do RAM. Isso separa o usuário do RAM de uma pessoa física do usuário do RAM de um programa.

      • Console Access

        Se o usuário do RAM representar uma pessoa física, recomendamos selecionar Console Access. Assim, ele poderá usar nome de usuário e senha para acessar a Alibaba Cloud. Ao selecionar Console Access, configure os seguintes parâmetros:

        • defina a senha do console: selecione Automatically Regenerate Default Password ou Reset Custom Password. Se escolher Reset Custom Password, especifique uma senha. A senha deve atender aos requisitos de complexidade. Para mais informações, consulte Configure a password policy for RAM users.

        • Redefinição de senha: especifica se o usuário do RAM precisará redefinir a senha no próximo login.

        • ative o MFA: especifique se a autenticação multifator (MFA) será ativada para o usuário do RAM. Após ativar o MFA, vincule um dispositivo MFA. Para mais informações, consulte Bind an MFA device for a RAM user.

      • OpenAPI Access

        Se o usuário do RAM representar um aplicativo, use um par de AccessKey permanente para acessar a Alibaba Cloud. Selecionar esta opção cria automaticamente um par de AccessKey (um AccessKey ID e um AccessKey secret) para o usuário do RAM. Para mais informações, consulte Create an AccessKey.

        Importante

        • O AccessKey secret de um usuário do RAM é exibido apenas durante a criação do par de AccessKey. Não é possível consultar o AccessKey secret em operações subsequentes. Portanto, faça backup do AccessKey secret.

        • Um par de AccessKey é uma credencial de longo prazo para acesso programático. O vazamento de um par de AccessKey compromete todos os recursos da conta. Para reduzir esse risco, recomendamos fortemente o uso de credenciais temporárias, como um token STS. Para mais informações, consulte Best practices for accessing Alibaba Cloud OpenAPI.

    6. Clique em OK.

    Etapa 2: Conceder permissões a usuários do RAM

    Método 1: Conceder permissões na página Users

    1. Faça login no console do RAM como administrador do RAM.

    2. No painel de navegação à esquerda, escolha Identities > Users.

    3. Na página Users, encontre o usuário do RAM desejado e clique em Add Permissions na coluna Actions.

    Também é possível selecionar vários usuários do RAM e clicar em Add Permissions na parte inferior da página para conceder permissões a todos simultaneamente.

    1. No painel Grant Permission, conceda permissões ao usuário do RAM.

    1. Configure o parâmetro Resource Scope.

      • Account: A autorização entra em vigor na conta Alibaba Cloud atual.

        Resource Group: A autorização entra em vigor em um grupo de recursos específico.

        Importante

        Se selecionar Resource Group para o parâmetro Resource Scope, certifique-se de que o service de cloud necessário ofereça suporte a grupos de recursos. Para mais informações, consulte Services that work with Resource Group. Para mais informações sobre como conceder permissões em um grupo de recursos, consulte Control RAM user access to specific ECS instances.

    2. Configure o parâmetro Principal.

      O principal é o usuário do RAM que receberá as permissões. O usuário do RAM atual é selecionado automaticamente.

    3. Configure o parâmetro Policy.

      Uma política contém um conjunto de permissões e pode ser classificada como política do sistema ou personalizada. É possível selecionar várias políticas simultaneamente.

      • Políticas do sistema: criadas pela Alibaba Cloud. Podem ser usadas, mas não modifique. As atualizações de versão são mantidas pela Alibaba Cloud. Para mais informações, consulte Services that support RAM.

        Nota

        O sistema identifica automaticamente políticas do sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Recomendamos não conceder permissões desnecessárias ao anexar políticas de alto risco.

      • Políticas personalizadas: permitem gerencie e atualize políticas com base nos requisitos do negócio. É possível crie, atualize e exclua políticas personalizadas. Para mais informações, consulte Create a custom policy.

    4. Clique em OK.

    Método 2: Conceder permissões na página Grants

    1. Faça login no console do RAM como administrador do RAM.

    2. No painel de navegação à esquerda, escolha Permissions > Grants.

    3. Na página Permission, clique em Grant Permission.

    4. No painel Grant Permission, conceda permissões ao usuário do RAM.

      1. Configure o parâmetro Resource Scope.

        1. Account: A autorização entra em vigor na conta Alibaba Cloud atual.

        2. Resource Group: A autorização entra em vigor em um grupo de recursos específico.

      Importante

      Se selecionar Resource Group para o parâmetro Resource Scope, certifique-se de que o service de cloud necessário ofereça suporte a grupos de recursos. Para mais informações, consulte Services that work with Resource Group. Para mais informações sobre como conceder permissões em um grupo de recursos, consulte Control RAM user access to specific ECS instances.

      Configure o parâmetro Principal.

      1. O principal é o usuário do RAM que receberá as permissões. É possível selecionar vários usuários do RAM simultaneamente.

      2. Configure o parâmetro Policy.

        Uma política contém um conjunto de permissões e pode ser classificada como política do sistema ou personalizada. É possível selecionar várias políticas simultaneamente.

        • Políticas do sistema: criadas pela Alibaba Cloud. Podem ser usadas, mas não modifique. As atualizações de versão são mantidas pela Alibaba Cloud. Para mais informações, consulte Services that support RAM.

          Nota

          O sistema identifica automaticamente políticas do sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess. Recomendamos não conceder permissões desnecessárias ao anexar políticas de alto risco.

        • Políticas personalizadas: permitem gerencie e atualize políticas com base nos requisitos do negócio. É possível crie, atualize e exclua políticas personalizadas. Para mais informações, consulte Create a custom policy.

      3. Clique em OK.

    5. Clique em Close.

    Próximas etapas

    Os funcionários da Empresa A podem usar as contas de usuário do RAM para acessar o ApsaraMQ for Kafka pelos seguintes métodos:

    • Console

      1. Abra a página RAM User Logon em um navegador.

      2. Na página RAM User Logon, insira o nome do usuário do RAM, clique em Next, insira a senha e clique em Log On.

        Nota

        O nome de login de um usuário do RAM tem o formato <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> é o alias da conta. Se nenhum alias de conta estiver definido, o padrão será o ID da conta Alibaba Cloud.

    • API

      No código, use o AccessKey ID e o AccessKey Secret do usuário do RAM para chamar a API ou SDK e acessar o ApsaraMQ for Kafka.