Conceda permissões a uma função RAM, visualize as permissões atribuídas e revogue-as conforme necessário.
Limitações
O service de cloud associado predefine as permissões de uma service-linked role, impedindo modificações. Não é possível adicionar ou remover permissões manualmente para uma função vinculada a service.
A quantidade de políticas (do sistema e personalizadas) anexáveis a uma função RAM está sujeita às Limitations.
Conceder permissões a uma função RAM
Console
Requer a política de sistema AliyunRAMFullAccess.
O console oferece os seguintes pontos de entrada para concessão de permissões.
|
Ponto de entrada |
Casos de uso |
Suporte a operação em lote |
|
Página Identities > Roles |
Conceder as mesmas permissões a uma ou mais funções RAM. |
Sim |
|
Página Permissions > Grants |
Conceder as mesmas permissões a vários principais (usuários, grupos de usuários e funções) simultaneamente. |
Sim |
From the Roles page
Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
-
Na página Roles, localize a função RAM desejada e clique em Attach Policy na coluna Actions.
Para conceder permissões em lote, selecione várias funções RAM e clique em Grant Permission na parte inferior da lista de funções.
-
No painel Grant Permission, conceda permissões à função RAM.
-
Selecione um escopo de recurso.
Account: As permissões se aplicam à conta atual do Alibaba Cloud.
-
Resource Group: As permissões se aplicam ao Resource Group especificado.
NotaPermissões no nível de Resource Group exigem que o service de cloud e o tipo de recurso suportem Resource Groups. Cloud services that support Resource Groups.
-
Selecione um principal.
O sistema seleciona automaticamente a função RAM atual como principal.
-
Selecione as políticas.
Selecione uma ou mais políticas para anexar.
-
Políticas do sistema: O Alibaba Cloud as predefine e não permite modificações. As políticas disponíveis por service estão listadas em Cloud services that work with RAM.
NotaO console sinaliza políticas de sistema de alto risco, como
AdministratorAccesseAliyunRAMFullAccess. Evite anexá-las, a menos que seja estritamente necessário. Políticas personalizadas: Você as define e gerencia. Crie a custom policy.
-
Clique em OK.
-
Clique em close.
From the Grants page
Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
Na página Grants, clique em Grant Permission.
-
No painel Grant Permission, conceda permissões à função RAM.
-
Selecione o escopo do recurso.
Account: As permissões se aplicam à conta atual do Alibaba Cloud.
-
Resource Group: As permissões se aplicam ao Resource Group especificado.
NotaPermissões no nível de Resource Group exigem que o service de cloud e o tipo de recurso suportem Resource Groups. Cloud services that support Resource Groups.
-
Selecione o principal.
Selecione as funções RAM desejadas.
-
Selecione as políticas.
Selecione uma ou mais políticas para anexar.
-
Políticas do sistema: O Alibaba Cloud as predefine e não permite modificações. As políticas disponíveis por service estão listadas em Cloud services that work with RAM.
NotaO console sinaliza políticas de sistema de alto risco, como
AdministratorAccesseAliyunRAMFullAccess. Evite anexá-las, a menos que seja estritamente necessário. Políticas personalizadas: Você as define e gerencia. Crie a custom policy.
-
Clique em OK.
-
Clique em close.
API
Chame a API AttachPolicyToRole para anexar uma política a uma função RAM. Parâmetros obrigatórios:
PolicyType: O tipo da política. Valores válidos:SystemeCustom. Diferencia maiúsculas de minúsculas.PolicyName: O nome exato da política a ser anexada.RoleName: O nome da função RAM.
A operação AttachPolicyToRole concede permissões apenas no nível da conta do Alibaba Cloud. Para conceder permissões no nível de Resource Group, utilize a operação Grant permission to a RAM identity do Resource Management.
Visualize permissões de uma função RAM
Requer a política de sistema AliyunRAMReadOnlyAccess.
Console
Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
Na página Roles, clique em o nome da função RAM desejada.
Na aba Permissions, visualize as políticas anexadas à função.
API
Chame a API ListPoliciesForRole para listar as políticas anexadas a uma função RAM. Parâmetro obrigatório:
RoleName: O nome da função RAM.
Revogar permissões de uma função RAM
Requer a política de sistema AliyunRAMFullAccess.
Console
Revogue permissões de uma função RAM utilizando um dos métodos abaixo.
From the Roles page
Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
Na página Roles, clique em o nome da função RAM desejada.
-
Na aba Permissions, localize a política desejada e clique em Revoke Permission na coluna Actions.
Para revogar em lote, selecione várias políticas e clique em Revoke Permission na parte inferior da lista de políticas.
Na caixa de diálogo Revoke Permission, clique em Revoke Permission.
From the Grants page
Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
-
Na página Grants, localize uma função RAM desejada e clique em Revoke Permission na coluna Actions.
Para revogar em lote, selecione várias funções RAM e clique em Revoke Permission na parte inferior.
Na caixa de diálogo Revoke Permission, clique em Revoke Permission.
API
Chame a API DetachPolicyFromRole para desanexar uma política de uma função RAM. Parâmetros obrigatórios:
PolicyType: O tipo da política. Valores válidos:SystemeCustom. Diferencia maiúsculas de minúsculas.PolicyName: O nome exato da política a ser desanexada.RoleName: O nome da função RAM.