Todos os produtos
Search

Este produto

    Resource Access Management:Restrict user access by time period

    Central de documentação

    Resource Access Management:Restrict user access by time period

    Última atualização: Oct 16, 2026

    Restrinja o acesso de usuários RAM específicos aos recursos da Alibaba Cloud configurando condições baseadas em tempo nas políticas personalizadas do RAM.

    Pré-requisitos

    • Uma conta Alibaba Cloud ou um usuário RAM com permissões de gerenciamento do RAM. Use essa identidade para fazer logon no console RAM e concluir as etapas deste tópico.

    Cenário

    A Empresa A executa seus negócios em diversos recursos da Alibaba Cloud, como instâncias ECS, instâncias RDS, instâncias SLB e buckets OSS. Para proteger a segurança dos negócios e dos dados, a empresa deseja que seus usuários acessem a Alibaba Cloud apenas durante o horário comercial, e não a qualquer momento.

    Para isso, crie uma política personalizada com uma condição baseada em tempo. Caso ainda não exista, crie também um usuário RAM e anexe a política a ele. Assim, o usuário RAM poderá acessar os recursos especificados da Alibaba Cloud somente no período definido.

    Etapa 1: Criar uma política personalizada

    1. Faça logon no console RAM como administrador do RAM.

    2. No painel de navegação à esquerda, escolha Permissions > Policies.

    3. Na página Policies, clique em Create Policy.

    4. Na página Create Policy, clique na aba JSON Editor.

      A página exibe um editor JSON. O modelo de política padrão inclui um elemento Version (definido como "1") e um array Statement. Cada instrução contém os elementos Effect (padrão "Allow"), Action, Resource e Condition. Preencha obrigatoriamente os elementos Action e Resource.

    5. Insira o documento de política.

      O exemplo abaixo permite que um usuário RAM acesse o ECS apenas antes das 17:00:00 de 12 de agosto de 2019 (UTC+8). Esse valor é apenas ilustrativo; substitua-o pelo período em que sua empresa permite o acesso. A política concede acesso somente antes do momento especificado. Ela utiliza o operador DateLessThan para definir acs:CurrentTime no elemento Condition como 2019-08-12T17:00:00+08:00.

      {
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
          "DateLessThan": {
              "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
          }
      }
    }
  ],
  "Version": "1"
}
      Nota

      O elemento Condition aplica-se exclusivamente às operações descritas pela política atual. Substitua 2019-08-12T17:00:00+08:00 pelo período em que sua empresa autoriza o acesso.

    6. No topo da página, clique em Optimize e, em seguida, clique em Perform para aplicar a otimização avançada à política.

      O recurso de otimização avançada de políticas executa as seguintes tarefas:

      • Separa recursos ou condições para ações incompatíveis.

      • Reduz o escopo dos recursos.

      • Remove instruções duplicadas ou mescla instruções existentes.

    7. Na caixa de diálogo Create Policy, clique em OK.

    8. Na caixa de diálogo Create Policy, insira um Policy Name e uma Description e clique em OK.

    Etapa 2: Criar um usuário RAM

    1. Faça logon no console RAM usando sua conta Alibaba Cloud (conta raiz) ou como administrador do RAM.

    2. No painel de navegação à esquerda, escolha Identities > Users.

    3. Na página Users, clique em Create User.

    4. Na página Create User, na seção User Account Information, configure as informações básicas do usuário.

      • Logon Name: O nome de logon pode conter letras, dígitos, pontos (.), hífens (-) e sublinhados (_), com até 64 caracteres.

      • Display Name: O nome de exibição pode ter até 128 caracteres.

      • Tag: Clique em edit e insira uma chave de tag e um valor de tag. As tags facilitam o gerenciamento baseado em tags dos seus usuários RAM.

    5. Na seção Access Mode, selecione um modo de acesso e configure os parâmetros correspondentes.

      Para garantir a segurança da conta, selecione apenas um modo de acesso para cada usuário RAM. Isso separa usuários humanos de usuários de aplicação.

      • Console Access

        Se o usuário RAM representar uma pessoa, ative o acesso ao console para que ele possa acessar a Alibaba Cloud com nome de usuário e senha de logon. Configure os seguintes parâmetros:

        • Senha de logon do console: Escolha a geração automática de senha ou especifique uma senha personalizada. A senha personalizada deve atender aos requisitos de complexidade. Para mais informações, consulte Set a password policy for RAM users.

        • Política de redefinição de senha: Defina se o usuário RAM precisa redefinir a senha no próximo logon.

        • Política de autenticação multifator (MFA): Defina se o MFA deve ser ativado para o usuário RAM atual. Após ativar o MFA, vincule um dispositivo MFA. Para mais informações, consulte Bind an MFA device.

      • Permanent AccessKey

        Caso o usuário RAM represente uma aplicação, utilize um par de AccessKey permanente para acessar a Alibaba Cloud. Ao ativar esse modo de acesso, o sistema gera automaticamente um AccessKey ID e um AccessKey secret para o usuário RAM. Para mais informações, consulte Create an AccessKey pair.

        • O AccessKey secret é exibido apenas no momento da criação e não pode ser consultado posteriormente. Mantenha-o seguro.

        • Um par de AccessKey é uma credencial de longo prazo para acesso programático. Um par de AccessKey vazado compromete a segurança de todos os recursos da conta. Para reduzir o risco de vazamento de credenciais, utilize um token do Security Token Service (credenciais temporárias). Para mais informações, consulte Best practices for using access credentials to call Alibaba Cloud APIs.

    6. Clique em OK

      8. Etapa 3: Conceder permissões ao usuário RAM

      Anexe a política personalizada criada na Etapa 1 ao usuário RAM criado na Etapa 2.

      Console

      O console RAM oferece dois pontos de entrada, ambos compatíveis com autorização individual e em lote:

      • Página Users: O principal é selecionado automaticamente com base nos usuários escolhidos. Ideal para fluxos de trabalho centrados no usuário.

      • Página Grants: Selecione manualmente os principais e visualize todos os registros de autorização da conta. Mais indicado para fluxos de trabalho centrados em permissões.

      Nota

      Dica: Para gerenciamento em larga escala, adicione usuários RAM com responsabilidades idênticas a um grupo de usuários e conceda permissões ao grupo. Acesse Identities > User Groups para gerenciar grupos.

      Pela página Users

      1. Faça logon no console RAM.

      2. No painel de navegação à esquerda, escolha Identities > Users.

      3. Na página Users, localize o usuário RAM desejado e clique na coluna Actions > Attach Policy.

        Você também pode selecionar vários usuários RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

      4. No painel Grant Permission, configure as seguintes definições:

        • Resource scope:

          • Account level: As permissões aplicam-se a todos os recursos da sua conta Alibaba Cloud.

          • Resource group level: As permissões aplicam-se apenas ao grupo de recursos especificado. Após fazer logon, o usuário RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.

            Nota

            1. O sistema marca políticas de sistema de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos cloud ou gerenciamento completo do RAM. Conceda essas políticas com cautela.

            2. Para exemplos de autorização por grupo de recursos, consulte Control RAM user access to specific ECS instances.

        • Principal:

          O principal é o usuário RAM que recebe as permissões. Na página Users, o sistema seleciona automaticamente o usuário atual. Na página Grants, selecione o usuário manualmente. A seleção em lote é suportada.

        • Permission policy:

          • System policy: Pesquise e selecione. Filtre por nome do product (ex.: ECS, OSS), nível de acesso (ex.: ReadOnly, FullAccess) ou nome completo da política. Por exemplo, para conceder permissões de gestão financeira (despesas e custos), pesquise por BSS para encontrar AliyunBSSFullAccess (acesso total ao Billing and Cost Management) e outras políticas relacionadas a finanças.

            A tabela a seguir lista nomes de políticas de sistema para products Alibaba Cloud frequentemente solicitados, ajudando você a localizar rapidamente a política adequada.

            Produto

            Nome da política de sistema

            Nível de acesso

            Billing and cost management (finanças)

            AliyunBSSFullAccess

            Acesso total

            Cloud Monitor

            AliyunCloudMonitorReadOnlyAccess

            Somente leitura

            China Gateway (Website Builder)

            AliyunWebsiteBuildFullAccess

            Acesso total

            Alibaba Cloud DevOps

            AliyunRDCFullAccess

            Acesso total

            Model Studio (Bailian)

            AliyunBailianFullAccess

            Acesso total

            Alibaba Cloud DNS

            AliyunDNSFullAccess

            Acesso total

            SSL Certificates Service

            AliyunYundunCertFullAccess

            Acesso total

            Cloud Phone

            AliyunECDFullAccess

            Acesso total

            Support Center

            AliyunSupportFullAccess

            Acesso total

            Resource Center

            AliyunResourceCenterFullAccess

            Acesso total

            AgentBay

            AliyunAgentBayFullAccess

            Acesso total

            Security Center

            AliyunYundunSASFullAccess

            Acesso total

            Caso não encontre a política para o product desejado, consulte o System policy reference para obter a lista completa, ou create a custom policy para controle de acesso granular.

          • Custom policy: É necessário Create a custom policy antes de poder concedê-la.

          • Limite de paginação ao selecionar tudo: A lista de políticas é paginada. Selecionar tudo aplica-se apenas à página atual. Ao trocar de página, as políticas selecionadas anteriormente permanecem na lista de seleção, mas as políticas da nova página não são selecionadas automaticamente; selecione-as página por página.

          • Conceder permissões de administrador rapidamente: Para conceder permissões de administrador, pesquise por AdministratorAccess na caixa de pesquisa e selecione-a diretamente, em vez de selecionar políticas página por página. A seleção dessa política aciona um aviso de autorização de alto risco.

        • (Opcional) Description: Insira o motivo ou cenário da autorização para fins de auditoria.

        • Clique em Confirm.

        • Revise o resultado da autorização e clique em Close.

          • Pela página Grants

          1. Faça logon no console RAM.

          2. No painel de navegação à esquerda, escolha Permissions > Grants.

          3. Na página Grants, clique em Grant Permission.

          4. No painel Grant Permission, selecione o principal e configure as mesmas definições descritas acima.

          5. Revise o resultado da autorização e clique em Close.

          Nota

          Usuários RAM criados pelo recurso Quick Start na página Visão Geral do console RAM recebem automaticamente a política de sistema correspondente com base no cenário selecionado, sem necessidade de autorização manual:

          • Super user: Recebe automaticamente a política PowerUserAccess. Este usuário pode gerenciar services e recursos cloud, mas não pode gerenciar identidades RAM e suas permissões, diretórios de recursos ou contas de faturamento.

          • Account administrator: Recebe automaticamente a política AdministratorAccess. Este usuário pode gerenciar todos os recursos da Alibaba Cloud, incluindo identidades e permissões do RAM.

          Utilize essas opções apenas quando privilégios de superadministrador forem realmente necessários. Para operações rotineiras, siga o princípio do menor privilégio e conceda apenas as permissões exigidas para a tarefa específica.

          OpenAPI

          Conceder uma custom policy

          1. Chame CreatePolicy para criar uma custom policy. Para sintaxe de políticas, consulte Permission policy elements e Overview of sample policies.

          2. Chame AttachPolicyToUser para conceder a política no account level (defina PolicyType como Custom).

            Alternativamente, chame AttachPolicy para conceder a política no resource group level.

          Conceder uma system policy

          • Chame AttachPolicyToUser para anexar a política de sistema ao usuário RAM (defina PolicyType como System). Para valores disponíveis de PolicyName, consulte System policy reference.

          • Alternativamente, chame AttachPolicy para conceder a política no resource group level.