Alibaba Cloud Model Studio:Permission management

O Alibaba Cloud Model Studio oferece controle de acesso granular nos níveis do console e do modelo para atender a estruturas organizacionais complexas em várias regiões.

Gerenciamento de identidade do Alibaba Cloud Model Studio

Um único workspace é a menor unidade de gerenciamento para o controle refinado de permissões (modelos e usuários) e a alocação de custos da Alibaba Cloud.

O gerenciamento de permissões de workspace do Model Studio é baseado em três funções:

1. Superadministrador: pode gerenciar permissões de usuário, modelos disponíveis no workspace, limitação de taxa de modelos e chaves de API de forma unificada e entre workspaces.
2. Administrador do workspace: responsável apenas pelas permissões de usuário e pelo gerenciamento de recursos dentro de um workspace específico.
3. Usuário comum: usa os recursos de acordo com as permissões atribuídas.

Permissão do workspace	Superadministrador (com a política de sistema AliyunBailianFullAccess)	Administrador do workspace	Usuário comum
Permitir chamadas e limitação de taxa de modelos específicos	Compatível	Não compatível	Não compatível
Permitir ajuste fino de modelos específicos	Compatível	Não compatível	Não compatível
Gerenciamento de usuários	Compatível	Compatível	Não compatível
Gerenciamento de acesso de usuários às páginas	Compatível	Compatível	Não compatível
Gerenciamento de chaves de API	Compatível	Compatível	Não compatível
Acessar/usar workspaces, páginas e recursos autorizados	Compatível	Compatível	Compatível
Permissões da OpenAPI	Não compatível	Não compatível	Não compatível

Superadministrador

Ele inclui os dois tipos de conta a seguir:

• Uma conta primária da Alibaba Cloud. Você pode visualizá-la no canto superior direito do console do Model Studio:

  Clique no ícone de perfil para expandir o painel suspenso da conta. A entrada com o rótulo Primary account é a conta do superadministrador.

• Um usuário RAM (conta) com a política de sistema AliyunBailianFullAccess (administrador do Model Studio). No canto superior direito do console do Model Studio, clique no ícone de perfil para expandir o painel suspenso da conta e visualizar as informações da conta do usuário RAM conectado no momento. Esse usuário RAM pode usar o menu de gerenciamento global do Model Studio (Singapura | Virgínia | Pequim | China (Hong Kong) | Frankfurt) para conceder quase todas as permissões em qualquer região e em qualquer workspace a qualquer usuário RAM (inclusive a si mesmo). (Somente a conta primária da Alibaba Cloud pode adicionar permissões da OpenAPI.)

  Um usuário RAM é uma subconta criada por uma conta primária da Alibaba Cloud. É usada para alocar com segurança recursos e permissões de nuvem aos membros da equipe.

Superadministradores podem usar o menu de gerenciamento global do Model Studio (Singapura | Virgínia | Pequim | China (Hong Kong) | Frankfurt) para gerenciar vários workspaces. Os recursos incluem:

1. Criar workspaces e gerenciar nomes de workspaces.
2. Gerenciar modelos e limitação de taxa de modelos de todos os workspaces.
3. Gerenciar contas (usuários) de todos os workspaces.
4. Gerenciar todas as chaves de API.

Administrador do workspace

Um administrador de workspace é um usuário RAM da Alibaba Cloud que tem acesso à página Permission Management de um workspace específico. O usuário pode gerenciar o workspace por meio dessa página.

A permissão Administrator inclui a permissão para acessar todas as páginas do workspace.

Na caixa de diálogo Edit Permissions, selecione a aba Other, selecione Administrator na lista de nomes de permissões e clique em OK.

Gerenciamento de permissões do workspace

O Model Studio divide recursos e workspaces por região geográfica. Um único workspace não pode abranger várias regiões. Mesmo os workspaces padrão em regiões diferentes são workspaces diferentes. Clique para acessar o menu de gerenciamento global (Singapura | Virgínia | Pequim | China (Hong Kong) | Frankfurt).

Um workspace no Model Studio também é a menor unidade de gerenciamento para o controle refinado de permissões. Ele pode gerenciar:

Permissão do workspace	Superadministrador (com a política de sistema AliyunBailianFullAccess)	Administrador do workspace	Usuário comum
Permitir chamadas e limitação de taxa de modelos específicos	Compatível	Não compatível	Não compatível
Permitir ajuste fino de modelos específicos	Compatível	Não compatível	Não compatível
Gerenciamento de usuários	Compatível	Compatível	Não compatível
Gerenciamento de acesso de usuários às páginas	Compatível	Compatível	Não compatível
Gerenciamento de chaves de API	Compatível	Compatível	Não compatível
Acessar/usar workspaces, páginas e recursos autorizados	Compatível	Compatível	Compatível
Permissões da OpenAPI	Não compatível	Não compatível	Não compatível

• Restringir chamadas de modelo: gerencie se um modelo pode ser chamado no workspace (console & API) e defina o limite de taxa de requisições e o limite de tokens do modelo.

  O workspace padrão não é compatível com essa restrição. Todos os modelos podem ser chamados e não podem ter limitação de taxa.

  Na lista de modelos, use o alternador na coluna Model Calling para controlar o status de autorização do modelo e defina o valor do limite de taxa de requisições, o valor do limite de tokens e a unidade de tempo correspondente na coluna Current Workspace Limit (há suporte para 1 segundo, 2 segundos, 3 segundos, 5 segundos, 10 segundos, 30 segundos e 60 segundos). Se nenhum limite de taxa for definido, o workspace compartilha a cota total de limitação de taxa no nível da conta.

• Restringir treinamento de modelo: gerencie se um modelo pode passar por ajuste fino no workspace (por meio do console e da API) e ser implantado após o ajuste fino.

  O workspace padrão não é compatível com essa restrição. Todos os modelos compatíveis com ajuste fino podem ser ajustados e implantados após a conclusão do ajuste fino.

  Na aba Model List do workspace, procure e localize o modelo desejado e ative ou desative o alternador de autorização na coluna Model Training da área Model Authorization para controlar a permissão de treinamento do modelo.

• Gerenciamento de permissões de console do usuário (conta): gerencie se um usuário RAM pode usar os recursos do console do workspace e quais recursos do console do workspace ele pode usar. As permissões de páginas do console não afetam as chamadas de modelo do usuário por meio de uma chave de API (as permissões de uma chave de API são determinadas pela autorização de modelo do workspace ao qual ela pertence).

  A conta primária da Alibaba Cloud não requer essa configuração e pode acessar todas as páginas de todos os workspaces.

  Na caixa de diálogo Edit Permissions, selecione a aba Model, localize e selecione o item de permissão Model Experience - Operations na lista de permissões. O Experience Center no painel de navegação à esquerda corresponde ao item Model Experience - Operations na lista de permissões.

Permissões de chave de API

Uma única chave de API pode pertencer a apenas um workspace e a apenas um usuário dentro de uma região e não pode ser transferida para outro workspace ou outro usuário. As funções que uma chave de API pode chamar e sua limitação de taxa de modelos são consistentes com as permissões do workspace ao qual ela pertence, e não são afetadas pelo gerenciamento de permissões de console do usuário (conta). Também não é necessário criar chaves de API diferentes para modelos diferentes (como texto para texto, texto para imagem e síntese de fala).

O status de uma chave de API muda conforme as operações do usuário (conta) ao qual ela pertence, da seguinte forma. A conta da Alibaba Cloud e os usuários RAM com a permissão de gerenciamento de chaves de API do workspace podem excluir chaves de API.

Ação	Chaves de API da conta primária	Chaves de API de contas RAM
Excluir manualmente uma chave de API	Compatível (a conta primária tem essa permissão por padrão; os usuários RAM precisam da permissão de gerenciamento de chaves de API do workspace). A chave torna-se inválida imediatamente e não pode ser recuperada.	Compatível (a conta primária tem essa permissão por padrão; os usuários RAM precisam da permissão de gerenciamento de chaves de API do workspace). A chave torna-se inválida imediatamente e não pode ser recuperada.
Remover uma conta de um workspace	—	A chave torna-se inválida. A chave de API volta a ficar ativa depois que a conta for adicionada novamente ao workspace.
Excluir a conta/função noconsole RAM	—	Chaves de API criadas antes de 25 de março de 2026: excluídas junto com o usuário RAM e não podem ser recuperadas. Chaves de API criadas em 25 de março de 2026 ou depois: não são afetadas e permanecem válidas.
Definir uma lista de permissões de IP para a chave de API	Compatível com chaves de API em todas as regiões. A região US (Virginia) é compatível apenas com IPv4.	Compatível com chaves de API em todas as regiões. A região US (Virginia) é compatível apenas com IPv4.

Gerenciar chaves de API: no painel de navegação à esquerda do console do Model Studio, escolha Account Management, localize o usuário RAM desejado e clique em Permission Management para adicionar a permissão de chave de API ao usuário. Isso concede ao usuário RAM as permissões para criar, excluir e visualizar todas as chaves de API no workspace.

Na caixa de diálogo Edit Permissions, mude para a aba Other e selecione API Key.

Permissões da OpenAPI

Por padrão, usuários RAM não podem chamar a Open API para recursos como dados, base de conhecimento e engenharia de prompts de aplicativos do Model Studio.

Para chamar essas APIs, a conta primária da Alibaba Cloud deve adicionar uma das seguintes permissões para o usuário RAM no console RAM:

• AliyunBailianDataFullAccess: permite chamar todas as APIs no catálogo de APIs de aplicativos do Model Studio.
• AliyunBailianDataReadOnlyAccess: permite chamar APIs somente leitura no catálogo de APIs de aplicativos do Model Studio, como consultar o status do arquivo e consultar o status de um trabalho de criação de base de conhecimento.

Para implementar um controle de permissões mais refinado sobre a base de conhecimento, você pode criar uma política personalizada no console RAM para conceder apenas as permissões necessárias para as operações.

Ações relacionadas à base de conhecimento: sfm:CreateIndex, sfm:UpdateIndex, sfm:DeleteIndex, sfm:SubmitIndexJob.

Exemplo de política personalizada:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sfm:CreateIndex",
        "sfm:UpdateIndex",
        "sfm:DeleteIndex",
        "sfm:SubmitIndexJob"
      ],
      "Resource": "*"
    }
  ]
}

Depois de criar a política, anexe-a ao usuário RAM para conceder as permissões mínimas de CRUD para a base de conhecimento. Para obter a lista completa de ações, consulte Autorização RAM.

Aplicar a ambientes de produção

• Estratégia de planejamento de workspace

  • Por ambiente (recomendado): crie workspaces separados para os ambientes de desenvolvimento, teste, homologação e produção para obter isolamento rigoroso entre ambientes.

    • project-dev-workspace
    • project-test-workspace
    • project-prod-workspace

  • Por linha de negócios: crie workspaces separados para diferentes departamentos de negócios da sua empresa (como marketing, pós-vendas e design) para facilitar o gerenciamento de permissões e custos.

    • marketing-team-workspace
    • customer-team-workspace
• Estratégia de limitação de taxa

  • Aloque a cota total da conta primária proporcionalmente a cada workspace e reserve uma parte como buffer para lidar com picos inesperados de tráfego.

    Exemplo: a cota total da conta é de 1.000 QPM. Plano de alocação:

    • project-prod-workspace: 600 QPM (60%)
    • project-test-workspace: 200 QPM (20%)
    • project-dev-workspace: 100 QPM (10%)
    • Buffer reservado: 100 QPM (10%)

Visualização de faturas e gerenciamento de permissões de pré-pagamento

Por padrão, usuários RAM não podem visualizar faturas da Alibaba Cloud nem adquirir produtos pré-pagos da Alibaba Cloud. Para conceder essas permissões a um usuário RAM, adicione permissões específicas para o usuário RAM no console RAM.

1. Para visualizar faturas da Alibaba Cloud, adicione a permissão AliyunBSSReadOnlyAccess para o usuário RAM.
2. Para adquirir produtos pré-pagos da Alibaba Cloud, adicione a permissão AliyunBSSOrderAccess para o usuário RAM.

Configurações comuns

Configurar um superadministrador

Esta operação deve ser executada por uma conta da Alibaba Cloud (conta primária) ou por um usuário RAM com a política de sistema AliyunRAMFullAccess.

1. Acesse o console RAM e adicione a permissão AliyunBailianFullAccess (administrador do Model Studio) e a permissão AliyunBSSOrderAccess (para adquirir produtos pré-pagos da Alibaba Cloud) para o usuário RAM.
2. Depois que a configuração for concluída, você poderá usar o menu de gerenciamento global do Model Studio (Singapura | Virgínia | Pequim | China (Hong Kong) | Frankfurt) para conceder qualquer permissão em qualquer região e em qualquer workspace a qualquer usuário RAM (inclusive a si mesmo) e adquirir produtos pré-pagos do Model Studio.

Configurar um administrador de workspace

Esta operação deve ser executada por um superadministrador ou por um administrador de workspace.

1. No painel de navegação à esquerda do console do Model Studio, escolha Account Management, localize o usuário RAM desejado e clique em Permission Management para adicionar a permissão Administrator ao usuário.

   Na caixa de diálogo Edit Permissions, mude para a aba Other e selecione Administrator.

Configurar permissões de chamada de modelo

1. Se você não usar o workspace padrão, verifique se o workspace tem a permissão de chamada de modelo habilitada para o modelo específico. (Esta operação requer um superadministrador.)

2. Para chamar modelos pelo console do Model Studio, escolha Account Management no painel de navegação à esquerda do console do Model Studio, localize o usuário RAM desejado e clique em Permission Management para adicionar as seguintes permissões ao usuário: (Esta operação requer um superadministrador ou um administrador de workspace.)

   1. A permissão Model Experience - Operations, usada para chamar modelos no console.
   2. A permissão Batch Inference - Operations, usada para dar suporte ao recurso de inferência em lote.
   3. A permissão Model Monitoring - Operations, usada para visualizar o consumo de tokens de chamadas e avaliações de modelos.

3. Para chamar modelos usando a API do Model Studio, crie ou atribua uma chave de API para o usuário RAM no workspace correspondente. Para mais detalhes, consulte Permissões de chave de API neste tópico. (Esta operação requer um superadministrador ou um administrador de workspace.)

Configurar permissões de ajuste fino de modelo por API

1. Se você não usar o workspace padrão, verifique se o workspace tem a permissão de ajuste fino (treinamento) de modelo habilitada para o modelo específico. (Esta operação requer um superadministrador.)
2. Crie ou atribua uma chave de API para o usuário RAM no workspace correspondente. Para mais detalhes, consulte Permissões de chave de API neste tópico. (Esta operação requer um superadministrador ou um administrador de workspace.)

FAQ

1. Como obter o ID do workspace?

Consulte Obter o ID do workspace no desenvolvimento de aplicativos.

2. Como chamar um modelo de um sub-workspace?

Nenhuma configuração especial é necessária. Você pode usar a chave de API do sub-workspace.

3. Como usar aplicativos em um workspace específico?

Para gerenciar e chamar aplicativos em um workspace específico usando a API, você deve definir o APP ID e o Workspace ID ao mesmo tempo.

4. O que fazer se AliyunBailianFullAccess estiver configurado, mas eu ainda não conseguir gerenciar workspaces?

As permissões RAM (como AliyunBailianFullAccess) e as permissões no nível do workspace dentro da plataforma Model Studio são dois sistemas de permissões independentes. As permissões RAM controlam apenas o acesso ao console do Model Studio, enquanto as permissões de gerenciamento em um workspace (como editar o workspace e gerenciar membros) devem ser concedidas separadamente pela conta primária ou por um superadministrador no console do Model Studio.

Se uma subconta já tiver a permissão AliyunBailianFullAccess, mas ainda receber uma mensagem indicando que não tem permissão para operar workspaces, execute as seguintes etapas:

1. Faça login no console do Model Studio com a conta primária.
2. Clique no ícone de configurações no canto superior direito e escolha Account Management no painel de navegação à esquerda.
3. Localize a subconta que precisa de autorização e clique em Permission Management.
4. Adicione a permissão de gerenciamento do workspace correspondente à subconta.

5. Como excluir um workspace?

Acesse o console do Alibaba Cloud Model Studio, selecione a região desejada no canto superior direito da página, acesse a página Workspace Management e selecione Delete na coluna Actions; ou chame a API DeleteWorkspace (DELETE /modelstudio/workspaces/{workspaceId}). Workspaces excluídos não podem ser recuperados.

Pré-requisitos para exclusão: somente workspaces que atendam às seguintes condições podem ser excluídos:

1. O workspace não é o workspace padrão.
2. O workspace não é usado para adquirir outros produtos, como Miaobi.
3. No gerenciamento de permissões, o workspace não foi concedido a nenhum usuário RAM ou função RAM.
4. Não existem recursos no workspace, como chaves de API, implantações de modelos ou bases de conhecimento.

Limpar dependências: antes de excluir o workspace, limpe os recursos de cada subproduto no workspace:

Subproduto	Conteúdo a ser limpo
CCAI conversation analysis AIO	Excluir todos os aplicativos no workspace e confirmar que não restam dados nem chaves de API
Suíte de interação multimodal	Excluir todos os aplicativos
Tingwu	Pesquisar "Tingwu" no workbench e excluir o workspace correspondente
Base de conhecimento RAG	Excluir todos os serviços em gerenciamento de conhecimento, recuperação de conhecimento e perguntas e respostas de conhecimento
Conexão de dados / conjunto de dados RAG / Connector	Excluir todos os conectores, arquivos carregados, tabelas e conexões do Connector
Treinamento de modelo && inferência	Excluir todos os conjuntos de dados, tarefas de treinamento, meus modelos e implantações
Recursos de observabilidade	Desabilitar o monitoramento de modelos, logs de auditoria, entrega de dados de logs de inferência e observabilidade de aplicativos
Recursos de avaliação	Encerrar ou excluir tarefas de avaliação de modelos e de avaliação de aplicativos não concluídas

Se a exclusão falhar e failReasons for retornado, limpe os recursos correspondentes conforme solicitado e tente novamente.

6. Como implementar um controle de permissões mais refinado sobre a base de conhecimento e a memória de longo prazo?

Você pode criar uma política personalizada no console RAM para conceder apenas as permissões necessárias para as operações.

Ações relacionadas à base de conhecimento: sfm:CreateIndex, sfm:UpdateIndex, sfm:DeleteIndex, sfm:SubmitIndexJob. Ações relacionadas à memória de longo prazo: sfm:CreateMemory, sfm:UpdateMemory, sfm:DeleteMemory.

Exemplo de política personalizada:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sfm:CreateIndex",
        "sfm:UpdateIndex",
        "sfm:DeleteIndex",
        "sfm:SubmitIndexJob",
        "sfm:CreateMemory",
        "sfm:UpdateMemory",
        "sfm:DeleteMemory"
      ],
      "Resource": "*"
    }
  ]
}

Depois de criar a política, anexe-a ao usuário RAM para conceder as permissões mínimas de CRUD para a base de conhecimento e a memória de longo prazo. Para obter a lista completa de ações, consulte Autorização RAM.