Conceder permissões a um usuário do RAM

Casos de uso

A Empresa A assina o EventBridge. Os colaboradores precisam gerenciar recursos como regras de evento e barramentos de eventos, e diferentes responsabilidades exigem permissões distintas.

Este cenário inclui os seguintes requisitos:

Por motivos de segurança, a Empresa A cria um usuário do RAM separado para cada colaborador, em vez de compartilhar o par AccessKey da conta Alibaba Cloud.
Os usuários do RAM não são cobrados individualmente. Todos os custos são cobrados na conta Alibaba Cloud da Empresa A.
A Empresa A pode revogar as permissões de um usuário do RAM ou excluí-lo a qualquer momento.

A conta Alibaba Cloud pode conceder permissões refinadas aos colaboradores, garantindo que eles acessem apenas os recursos necessários para suas funções.

Se você ainda não criou um usuário do RAM, crie um seguindo as etapas em Operações básicas. Após criar o usuário do RAM, siga o princípio do menor privilégio e conceda apenas as permissões necessárias para o trabalho do usuário.

Console

O console do RAM oferece dois pontos de entrada, ambos com suporte a autorização individual e em lote:

Página Users: o principal é selecionado automaticamente com base nos usuários escolhidos. Ideal para fluxos de trabalho centrados no usuário.
Página Grants: você seleciona os principais manualmente e pode visualizar todos os registros de autorização da sua conta. Ideal para fluxos de trabalho centrados em permissões.

Nota

Dica: para gerenciamento em larga escala, adicione usuários do RAM com responsabilidades idênticas a um grupo de usuários e conceda permissões ao grupo. Acesse Identities > User Groups para gerenciar grupos.

A partir da página Users

Faça logon no console do RAM.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, localize o usuário do RAM desejado e clique na coluna Actions > Attach Policy.

Você também pode selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

No painel Grant Permission, configure as seguintes opções:

Resource scope:
- Account level: as permissões se aplicam a todos os recursos da sua conta Alibaba Cloud.
- Resource group level: as permissões se aplicam apenas ao grupo de recursos especificado. Após fazer logon, o usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.
  Nota
  1. O sistema marca políticas de alto risco do sistema (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos da cloud ou gerenciamento completo do RAM. Conceda essas políticas com cautela.
  2. Para exemplos de autorização por grupo de recursos, consulte Controlar o acesso de usuários do RAM a instâncias específicas do ECS.
Principal:

O principal é o usuário do RAM que recebe as permissões. Na página Users, o sistema seleciona automaticamente o usuário atual. Na página Grants, é necessário selecionar o usuário manualmente. A seleção em lote é suportada.

Permission policy:

System policy: pesquise e selecione. Filtre por nome do produto (por exemplo, ECS, OSS), nível de acesso (por exemplo, ReadOnly, FullAccess) ou nome completo da política. Por exemplo, para conceder permissões de gerenciamento financeiro (despesas e custos), pesquise por BSS para encontrar AliyunBSSFullAccess (acesso total ao Billing and Cost Management) e outras políticas relacionadas a finanças.

A tabela a seguir lista os nomes das políticas do sistema para os produtos Alibaba Cloud mais solicitados, ajudando você a encontrar rapidamente a política correta.

Produto	Nome da política do sistema	Nível de acesso
Faturamento e gerenciamento de custos (finanças)	`AliyunBSSFullAccess`	Acesso total
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Somente leitura
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Acesso total
Alibaba Cloud DevOps	`AliyunYunxiaoFullAccess`	Acesso total
Model Studio (Bailian)	`AliyunBailianFullAccess`	Acesso total
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Acesso total
SSL Certificates Service	`AliyunYundunCertFullAccess`	Acesso total
Cloud Phone	`AliyunECDFullAccess`	Acesso total
Support Center	`AliyunSupportFullAccess`	Acesso total
Resource Center	`AliyunResourceCenterFullAccess`	Acesso total
AgentBay	`AliyunAgentBayFullAccess`	Acesso total
Security Center	`AliyunYundunSASFullAccess`	Acesso total

Se não encontrar a política para o produto desejado, consulte a Referência de políticas do sistema para obter a lista completa, ou crie uma política personalizada para controle de acesso refinado.

Custom policy: é necessário Criar uma política personalizada antes de poder concedê-la.
Limite de paginação para selecionar tudo: a lista de políticas é paginada. A opção de selecionar tudo se aplica apenas à página atual. Ao trocar de página, as políticas selecionadas anteriormente permanecem na lista de seleção, mas as políticas da nova página não são selecionadas automaticamente; é necessário selecioná-las página por página.
Conceder permissões de administrador rapidamente: para conceder permissões de administrador, pesquise por AdministratorAccess na caixa de pesquisa e selecione-a diretamente, em vez de selecionar políticas página por página. A seleção dessa política aciona um aviso de autorização de alto risco.

(Opcional) Description: insira o motivo da autorização ou o cenário para fins de auditoria.
Clique em Confirm.

Revise o resultado da autorização e clique em Close.

A partir da página Grants

Faça logon no console do RAM.
No painel de navegação à esquerda, escolha Permissions > Grants.
Na página Grants, clique em Grant Permission.
No painel Grant Permission, selecione o principal e configure as mesmas opções descritas acima.
Revise o resultado da autorização e clique em Close.

Nota

Os usuários do RAM criados pelo recurso Quick Start na página Visão Geral do console do RAM recebem automaticamente a política do sistema correspondente com base no cenário selecionado, sem necessidade de autorização manual:

Super user: recebe automaticamente a política PowerUserAccess. Esse usuário pode gerenciar serviços e recursos da cloud, mas não pode gerenciar identidades do RAM e suas permissões, diretórios de recursos ou contas de faturamento.
Account administrator: recebe automaticamente a política AdministratorAccess. Esse usuário pode gerenciar todos os recursos da Alibaba Cloud, incluindo identidades e permissões do RAM.

Use essas opções somente quando privilégios de superadministrador forem realmente necessários. Para operações rotineiras, siga o princípio do menor privilégio e conceda apenas as permissões necessárias para a tarefa específica.

OpenAPI

Conceder uma política personalizada

Chame CreatePolicy para criar uma política personalizada. Para a sintaxe da política, consulte Elementos da política de permissão e Visão geral de políticas de exemplo.
Chame AttachPolicyToUser para conceder a política no nível da conta (defina PolicyType como Custom).

Como alternativa, chame AttachPolicy para conceder a política no nível do grupo de recursos.

Conceder uma política do sistema

Chame AttachPolicyToUser para anexar a política do sistema ao usuário do RAM (defina PolicyType como System). Para os valores disponíveis de PolicyName, consulte a Referência de políticas do sistema.
Como alternativa, chame AttachPolicy para conceder a política no nível do grupo de recursos.

Mais informações

O que é o RAM?

Próximas etapas

Após criar um usuário do RAM, distribua o nome de logon e a senha, ou o par AccessKey, ao usuário desejado. Ele poderá usar essas credenciais para fazer logon no console ou chamar operações da API.

Faça logon no console.
1. Abra o portal de logon do usuário do RAM em um navegador da web.
2. Na página RAM User Logon, insira o nome de logon do usuário do RAM e clique em Next. Em seguida, insira a senha e clique em Login.
  
  Nota
  O nome de logon de um usuário do RAM tem o formato <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> é o alias da conta. Se nenhum alias de conta estiver definido, o ID da sua conta Alibaba Cloud será usado por padrão.
3. No console da Alibaba Cloud, clique em um serviço ao qual você tenha permissão de acesso.
Use o par AccessKey do usuário do RAM para chamar operações da API.

Inclua o AccessKey ID e o AccessKey secret do usuário do RAM no seu código.