Resource Access Management:FAQ about RAM users

Qual é a URL de login e o formato de nome de usuário para usuários RAM?

Os usuários RAM podem fazer login com qualquer um dos seguintes formatos de nome de usuário:

• Nome de domínio padrão: <UserName>@<AccountAlias>.onaliyun.com (exemplo: username@company-alias.onaliyun.com).

  Nota

  O nome de login do usuário RAM está no formato de Nome Principal do Usuário (UPN). Todos os nomes de login listados no RAM console seguem este formato. <UserName> indica o nome de usuário do usuário RAM. <AccountAlias>.onaliyun.com indica o nome de domínio padrão. Para mais informações, consulte Key concepts e Manage RAM user logon domains.

• Alias da conta: <UserName>@<AccountAlias> (exemplo: username@company-alias).

  Nota

  <UserName> indica o nome de usuário do usuário RAM. <AccountAlias> indica o alias da conta. Para mais informações, consulte Key concepts e Manage RAM user logon domains.

• Alias de domínio (requer configuração): <UserName>@<DomainAlias> (exemplo: username@example.com).

  Nota

  <UserName> indica o nome de usuário do usuário RAM. <DomainAlias> indica o alias de domínio. Para mais informações, consulte Key concepts e Create and verify a domain alias.

O que são o nome de domínio padrão e o alias de domínio?

Cada conta Alibaba Cloud tem um nome de domínio padrão exclusivo no formato <AccountAlias>.onaliyun.com, usado para o login de usuário RAM e single sign-on (SSO). Para o nome de domínio padrão, gerencie as configurações e consulte Manage RAM user logon domains.

Um alias de domínio é um domínio personalizado publicamente resolvível que substitui o nome de domínio padrão. Para mais informações, consulte Create and verify a domain alias.

Quais permissões um usuário RAM precisa para comprar recursos?

• Para comprar serviços de pagamento conforme o uso, o usuário RAM precisa de permissões para criar instâncias ou recursos.

• Para comprar recursos de assinatura, o usuário RAM precisa de permissões de criação de instância e de pagamento. Anexe a política AliyunBSSOrderAccess para conceder permissões de pagamento.

• A criação de um recurso pode exigir permissões adicionais para usar ou criar recursos dependentes.

  Exemplo de política para criar instâncias ECS:

  Com esta política, um usuário RAM pode criar instâncias ECS a partir de modelos de inicialização.

  {
      "Version": "1",
      "Statement": [{
              "Action": [
                  "ecs:DescribeLaunchTemplates",
                  "ecs:CreateInstance",
                  "ecs:RunInstances",
                  "ecs:DescribeInstances",
                  "ecs:DescribeImages",
                  "ecs:DescribeSecurityGroups"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "vpc:DescribeVpcs",
                  "vpc:DescribeVSwitches"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

  Criar uma instância ECS pode exigir permissões adicionais para recursos dependentes:

  Operação	Política
  Usar um snapshot para criar uma instância ECS	ecs:DescribeSnapshots
  Criar e usar uma VPC	vpc:CreateVpc vpc:CreateVSwitch
  Criar e usar um grupo de segurança	ecs:CreateSecurityGroup ecs:AuthorizeSecurityGroup
  Atribuir uma função RAM a uma instância ECS	ecs:DescribeInstanceRamRole ram:ListRoles ram:PassRole
  Usar um par de AccessKey	ecs:CreateKeyPair ecs:DescribeKeyPairs
  Criar uma instância ECS em um host dedicado	ecs:AllocateDedicatedHosts

  Nota

  • Para mais informações sobre como criar políticas personalizadas, consulte Create a custom policy.

  • Grant permissions to the RAM user.

Uma conta Alibaba Cloud tem permissões totais e pode comprar serviços Alibaba Cloud diretamente. Antes que a conta possa comprar serviços, ela deve concluir a verificação de identidade. Um usuário RAM não tem permissões por padrão. A conta Alibaba Cloud deve conceder explicitamente ao usuário RAM a política de sistema do service correspondente, como AliyunSAEFullAccess, no console Resource Access Management (RAM). Após a concessão da política, o usuário RAM pode comprar o service em nome da conta. Como prática recomendada, siga o princípio do menor privilégio ao conceder permissões. A necessidade de um pedido adicional ou pré-pagamento depende do service. Para o requisito real, consulte os avisos na página de compra no console.

Por que um usuário RAM não consegue acessar recursos após receber permissões?

• Serviços com diagnósticos de permissão mostram causas e soluções diretamente. Para mais informações, consulte Troubleshoot access denied errors

• Para serviços sem diagnósticos de permissão, use a tabela a seguir para identificar e resolver o problema.

  Causa	Solução
  A política é inválida.	Por favor, verifique se a política anexada ao usuário RAM é válida e atende aos seus requisitos.
  Uma instrução Deny está configurada em uma política personalizada.	Verifique se há "Effect": "Deny" nas políticas anexadas ao usuário RAM ou ao seu grupo de usuários. Uma instrução Deny sempre tem precedência sobre Allow. Por exemplo, se o usuário RAM tiver AliyunECSReadOnlyAccess, mas a seguinte política Deny também estiver anexada, o usuário RAM não poderá visualizar instâncias ECS: { "Statement": [{ "Action": "ecs:*", "Effect": "Deny", "Resource": "*" }], "Version": "1" }
  Os recursos não suportam o método de autenticação relacionado.	Os métodos de autenticação variam por service. Verifique se o método suportado é usado: Para obter os serviços que suportam autenticação baseada em RAM, consulte Services that support RAM. Para obter os serviços que suportam autenticação baseada em grupo de recursos, consulte Services that work with Resource Group. Para obter os serviços que suportam autenticação baseada em tag, faça login no Resource Management console, escolha Tag > Tag no painel de navegação à esquerda, clique em Resource Types Supported by Tag no canto superior direito da página e, em seguida, encontre os tipos de recurso para os quais o valor de Tag Ram Support é Support.
  A política de controle de acesso de um diretório de recursos nega acesso aos recursos.	Se a conta Alibaba Cloud pertencer a um diretório de recursos e uma política de controle de acesso negar o acesso, o usuário RAM não poderá alcançar os recursos afetados. Entre em contato com o proprietário da conta de gerenciamento para que ele modifique ou desanexe a política de controle. Encontre a conta de gerenciamento do diretório de recursos ao qual o membro pertence. View the information about the resource directory to which a member belongs. Entre em contato com o proprietário da conta de gerenciamento para que ele modifique ou desanexe a política de controle. Para mais informações, consulte Modify a custom control policy ou Detach a custom control policy.

Por que um usuário RAM pode acessar recursos sem permissões explícitas?

Por exemplo, um usuário RAM pode visualizar instâncias ECS mesmo que a política de sistema AliyunECSFullAccess, a política de sistema AliyunECSReadOnlyAccess ou políticas personalizadas relacionadas não estejam anexadas ao usuário RAM.

• Verifique as políticas anexadas ao grupo de usuários do usuário RAM.

• Verifique se outras políticas anexadas incluem as permissões necessárias.

  Por exemplo, AliyunCloudMonitorFullAccess inclui "ecs:DescribeInstances", "rds:DescribeDBInstances" e "slb:DescribeLoadBalancer". Um usuário RAM com AliyunCloudMonitorFullAccess visualize instâncias ecs, ApsaraDB RDS e SLB.

Como conceder permissões de renovação para um usuário RAM?

Não existe uma política de renovação universal. Para isso, crie uma política personalizada específica do service com permissões de compra e pagamento e, em seguida, anexe-a ao usuário RAM.

Por exemplo, para permitir que um usuário RAM renove instâncias ECS, anexe a seguinte política personalizada e a política de sistema AliyunBSSOrderAccess:

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "ecs:DescribeLaunchTemplates",
                "ecs:RenewInstance",
                "ecs:DescribeInstances",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Como os usuários RAM são faturados?

• Todas as taxas incorridas pelos usuários RAM são faturadas na conta Alibaba Cloud pai.

• Os usuários RAM herdam os descontos da conta Alibaba Cloud pai por padrão.

• defina as configurações financeiras (orçamento de consumo, limite de crédito, métodos de pagamento) para toda a conta, uma vez que não é possível defini-las por usuário RAM.

• Os usuários RAM podem ser autorizados a adicionar fundos à conta pai. Os fundos adicionados pertencem à conta Alibaba Cloud.

• Usuários RAM e grupos de usuários não são faturados separadamente.

Por que minhas permissões RAM não funcionam imediatamente?

O RAM replica dados de permissão em várias regiões e zonas para alta disponibilidade. Isso segue a consistência eventual, o que significa que as alterações podem não aparecer em todos os lugares simultaneamente.

As atualizações de permissão são distribuídas globalmente, o que pode causar um breve atraso antes que todos os serviços reconheçam a alteração. Este design multirregião também permite failover automático se uma zona ficar indisponível.

O que fazer se o número de políticas anexadas a um usuário RAM exceder o limite (LimitExceeded.User.Policy)?

Ao anexar políticas a um usuário RAM, se o número de políticas anexadas exceder a cota, o erro LimitExceeded.User.Policy será reportado.

Para resolver esse problema, solicite um aumento de cota e execute as seguintes etapas:

1. Acesse o Quota Center.

2. Encontre o item de cota Number of System Policies That a RAM Role Can Bind ou Custom Policies That a RAM Role Can Bind.

3. Clique em Apply e envie uma solicitação de aumento de cota.

Perguntas frequentes sobre links de login rápido do CloudSSO

O link de login rápido do CloudSSO é um risco de segurança?

Não. O link de login rápido é um recurso auxiliar que gera um atalho de URL. Após clicar no link, você ainda precisa concluir a autenticação de identidade padrão. O link não é um mecanismo de login sem senha e não representa um risco de segurança.

Posso desativar o recurso de link de login rápido do CloudSSO?

Não. O módulo de link de login rápido do CloudSSO não pode ser desativado.

Posso consultar os registros de geração de links de login rápido?

Não. O sistema não fornece consultas de registros de geração. O link de login rápido é uma URL concatenada com base em regras fixas. Nenhum log de geração de backend é registrado.

Posso consultar o nome de login de outra conta Alibaba Cloud?

Não. Uma conta Alibaba Cloud não pode consultar diretamente o nome de usuário (nome de login) de outra conta. O nome de usuário é uma informação privada da conta, como um endereço de e-mail ou alias personalizado, e consultas entre contas não são suportadas.

O que fazer se um usuário RAM não conseguir acessar recursos específicos mesmo tendo uma política FullAccess?

Uma política FullAccess no nível de product pode não cobrir todas as ações ou recursos. Se um usuário RAM recebeu uma política FullAccess, mas ainda recebe um erro de acesso negado, verifique os seguintes cenários:

Cenário 1: Acessar workspaces do Model Studio (Bailian)

Além da autorização RAM, você deve adicionar o usuário RAM como membro no console Model Studio e atribuir uma função. Acesse a página Workspaces no console Model Studio, selecione o workspace de destino e adicione o usuário RAM como membro.

Cenário 2: Chamadas de API retornam erros como log:CreateStoreView ou yundun-sas:GetSwitchRegionDetail

A política FullAccess pode não incluir certas ações específicas. Crie uma política personalizada que contenha as ações exatas reportadas na mensagem de erro e anexe a política personalizada ao usuário RAM.

Cenário 3: Acesso ao Copilot ou assistente de IA

Verifique se a política AliyunSupportFullAccess foi anexada ao usuário RAM e se o número de políticas anexadas não excedeu a cota.

Cenário 4: Verificação de DNS e nome de domínio

Verifique se a política AliyunDNSFullAccess foi anexada ao usuário RAM.

Como conceder permissões a um usuário RAM para comprar serviços de cloud?

Para permitir que um usuário RAM compre serviços de cloud, como ECS, conceda as seguintes permissões:

1. Permissões de product: Anexe a política FullAccess para o product de destino. Por exemplo, anexe a política AliyunECSFullAccess para permitir operações ECS ou crie uma política personalizada que inclua as ações necessárias, como ecs:RunInstances.

2. Permissões de pagamento: Se o usuário RAM precisar comprar instâncias de assinatura (anuais ou mensais), você também deve anexar a política AliyunBSSOrderAccess para permitir que o usuário RAM faça e pague pedidos.

3. Permissões de compra para todos os products: Para permitir que o usuário RAM compre todos os products de cloud, anexe a política AdministratorAccess. Tenha cuidado ao conceder esta política, pois ela fornece acesso administrativo total.

Para conceder permissões, acesse o RAM console, escolha Identities > Users, selecione o usuário de destino e clique em Grant Permission.

A revogação ou remoção de certas permissões de um usuário RAM afeta outros serviços de cloud?

As permissões de service de cloud são tipicamente independentes umas das outras. O impacto da remoção de uma política depende do escopo dessa política:

• A remoção da política AliyunRAMFullAccess revoga os recursos de gerenciamento de RAM, mas não afeta serviços de negócios, como o Message Service (MNS).

• A remoção da política PowerUserAccess não afeta o acesso ao backend de negócios, mas o usuário RAM perde a capacidade de gerenciar faturamento e diretórios de recursos.

Antes de remover uma política, verifique seu impacto usando um dos seguintes métodos:

• Use o Permission Diagnostics no RAM console para verificar quais recursos e ações são cobertos pela política.

• Use o Access Analysis para revisar o uso recente da política e seus recursos associados.

Siga o princípio do menor privilégio: limpe prontamente permissões de alto risco desnecessárias para reduzir a superfície de ataque.

Como um usuário RAM solicita permissões ou reutiliza permissões existentes?

Solicitar permissões

A Alibaba Cloud não suporta aprovação de permissões self-service para usuários RAM. Para obter permissões, o usuário RAM deve entrar em contato com o administrador da conta Alibaba Cloud para conceder as políticas necessárias no RAM console.

Reutilizar permissões

Um usuário RAM pode reutilizar permissões de product já concedidas para acessar diferentes módulos de recursos. Por exemplo, se um usuário RAM recebeu permissões de síntese de fala, o mesmo usuário pode acessar recursos de reconhecimento de fala sem criar um usuário RAM separado para cada módulo.

Visualizar permissões atuais

Os usuários RAM não podem visualizar diretamente sua lista completa de permissões. Confirme as permissões atuais tentando acessar os recursos de destino ou entre em contato com o administrador da conta Alibaba Cloud para revisar as políticas anexadas.

O que fazer se um usuário RAM receber um erro de login como "current account does not allow RAM user logon" ou "RAM logon required"?

Verifique os seguintes cenários com base na mensagem de erro:

Cenário 1: O login no console não está ativado

Acesse a página de detalhes do usuário RAM e verifique o status de Console Access em Authentication > Logon Information. Se o status for Disabled ou Not Enabled, clique em Modify Logon Settings e ative o login no console para redefinir a senha.

Cenário 2: Restrições de política de segurança global

Verifique a política de segurança configurada para a conta Alibaba Cloud:

1. No RAM console, acesse Settings > Account Security Policy.

2. Verifique se um Logon Mask (lista de permissões de IP) está configurado. Verifique se o endereço IP atual do usuário RAM está dentro do intervalo permitido.

Cenário 3: Controle de risco acionado por comportamento de login incomum

Contas recém-criadas ou tentativas de login de ambientes incomuns, como endereços IP de proxy ou locais que diferem do padrão usual, podem acionar o bloqueio automático do sistema.

• Peça ao administrador para redefinir a senha do usuário RAM no RAM console para suspender a restrição.

• Se a conta foi bloqueada devido a riscos de segurança, como vazamento de AccessKey, primeiro limpe quaisquer recursos anormais, desative AccessKeys comprometidas e, em seguida, solicite a remoção da restrição.

Cenário 4: Conflito entre configurações do CloudSSO e RAM

Desativar o login por senha no CloudSSO não afeta a configuração de login independente do RAM. Se você precisar desativar completamente o login por senha para um usuário RAM, desative o Console Access para esse usuário no RAM console.

Quais outros motivos podem causar falha de login de usuário RAM e como resolvê-los?

Além do erro "current account does not allow RAM user logon", as seguintes causas também podem resultar em falhas de login de usuário RAM.

Para mais informações sobre métodos de login, consulte Log On to the Alibaba Cloud Management Console as a RAM User.

Quais são os limites para métodos de login de usuário RAM, duração de sessão e ambientes?

Coexistência de login por código de verificação de telefone e senha

Após ativar o login por senha no console para um usuário RAM, o login por código de verificação de número de telefone permanece disponível. Ambos os métodos de login funcionam de forma independente e não afetam um ao outro. Um usuário RAM não é obrigado a vincular um número de telefone. Ignorar a verificação de MFA não afeta as configurações de segurança da conta Alibaba Cloud.

Limite de sessão do Alibaba Cloud App

A duração máxima da sessão de login para um usuário RAM no Alibaba Cloud App é de 24 horas. Sessões permanentes de longa duração não são suportadas.

Login de múltiplas contas no mesmo dispositivo

Fazer login simultaneamente em uma conta Alibaba Cloud e em uma conta de usuário RAM usando navegadores diferentes no mesmo dispositivo normalmente não aciona exceções de segurança. No entanto, ambientes de rede de alto risco, como proxies públicos, IPs de data center ou alterações frequentes de IP, ainda podem acionar bloqueios de segurança. Use um ambiente de rede estável e confiável para evitar tais problemas.