Conceda, visualize e revogue permissões de usuários do RAM - Alibaba Cloud - Resource Access Management: Central de Documentação do Alibaba Cloud

Conceitos fundamentais

Compreenda estes conceitos antes de conceder permissões:

Tipos de política de permissão

Uma permission policy é um conjunto de permissões de acesso. O RAM oferece dois tipos. Anexe várias políticas a um usuário do RAM simultaneamente. Siga sempre o princípio do menor privilégio.
- System policy: Predefinida pela Alibaba Cloud, como AliyunECSReadOnlyAccess (acesso somente leitura ao ECS) e AliyunOSSFullAccess (acesso total ao OSS). Consulte a System policy reference para obter a lista completa.
- Custom policy: Política criada por você para requisitos granulares não atendidos pelas políticas de sistema. Crie uma política personalizada antes de concedê-la. Para permissões relacionadas a compras, consulte What permissions does a RAM user need to purchase resources?.
Comportamento e limites de autorização
- Vigência imediata: As permissões entram em vigor instantaneamente. Não há período de espera nem necessidade de novo login.
- Limites de quantidade: Cada usuário do RAM tem um número máximo de políticas de sistema e personalizadas anexáveis. Para mais detalhes, consulte Limits.
- Restrições de grupo de recursos: Verifique se o service de cloud, a operação e o tipo de recurso de destino suportam autorização no nível de grupo de recursos. Para mais detalhes, consulte Cloud services that support resource group-level authorization.

Conceder permissões a um usuário do RAM

Caso ainda não tenha criado um usuário do RAM, crie-o seguindo as Basic operations. Após criar o usuário do RAM, siga o princípio do menor privilégio e conceda apenas as permissões necessárias para o trabalho dele.

Console

O console do RAM oferece dois pontos de entrada, ambos com suporte a autorização individual e em lote:

Página Users: O principal é selecionado automaticamente com base nos usuários escolhidos. Ideal para fluxos de trabalho centrados no usuário.
Página Grants: Selecione manualmente os principais e visualize todos os registros de autorização da sua conta. Mais indicado para fluxos de trabalho centrados em permissões.

Nota

Dica: Para gerenciamento em larga escala, adicione usuários do RAM com responsabilidades idênticas a um grupo de usuários e conceda permissões ao grupo. Acesse Identities > User Groups para gerenciar grupos.

Pela página Users

Faça login no RAM console.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, localize o usuário do RAM de destino e clique na coluna Actions > Attach Policy.

Também é possível selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

No painel Grant Permission, configure as seguintes definições:

Resource scope:
- Account level: As permissões se aplicam a todos os recursos da sua conta Alibaba Cloud.
- Resource group level: As permissões se aplicam apenas ao grupo de recursos especificado. Após fazer login, o usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.
  Nota
  1. O sistema marca políticas de sistema de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos de cloud ou gerenciamento completo do RAM. Conceda essas políticas com cautela.
  2. Para exemplos de autorização de grupo de recursos, consulte Control RAM user access to specific ECS instances.
Principal:

O principal é o usuário do RAM que recebe as permissões. Na página Users, o sistema seleciona automaticamente o usuário atual. Na página Grants, selecione o usuário manualmente. A seleção em lote é suportada.

Permission policy:

System policy: Pesquise e selecione. Filtre por nome do product (por exemplo, ECS, OSS), nível de acesso (por exemplo, ReadOnly, FullAccess) ou nome completo da política. Por exemplo, para conceder permissões de gestão financeira (despesas e custos), pesquise por BSS para encontrar AliyunBSSFullAccess (acesso total ao Billing and Cost Management) e outras políticas relacionadas a finanças.

A tabela a seguir lista nomes de políticas de sistema para products da Alibaba Cloud frequentemente solicitados, ajudando você a encontrar rapidamente a política adequada.

Product	Nome da política de sistema	Nível de acesso
Billing and cost management (finanças)	`AliyunBSSFullAccess`	Acesso total
Cloud Monitor	`AliyunCloudMonitorReadOnlyAccess`	Somente leitura
China Gateway (Website Builder)	`AliyunWebsiteBuildFullAccess`	Acesso total
Alibaba Cloud DevOps	`AliyunRDCFullAccess`	Acesso total
Model Studio (Bailian)	`AliyunBailianFullAccess`	Acesso total
Alibaba Cloud DNS	`AliyunDNSFullAccess`	Acesso total
SSL Certificates Service	`AliyunYundunCertFullAccess`	Acesso total
Cloud Phone	`AliyunECDFullAccess`	Acesso total
Support Center	`AliyunSupportFullAccess`	Acesso total
Resource Center	`AliyunResourceCenterFullAccess`	Acesso total
AgentBay	`AliyunAgentBayFullAccess`	Acesso total
Security Center	`AliyunYundunSASFullAccess`	Acesso total

Se não encontrar a política para o product desejado, consulte a System policy reference para obter a lista completa, ou crie uma política personalizada para controle de acesso granular.

Custom policy: Crie uma política personalizada antes de concedê-la.
Limite de paginação para selecionar tudo: A lista de políticas é paginada. Selecionar tudo aplica-se apenas à página atual. Ao trocar de página, as políticas selecionadas anteriormente permanecem na lista de selecionados, mas as políticas da nova página não são selecionadas automaticamente; selecione-as página por página.
Conceder permissões de administrador rapidamente: Para conceder permissões de administrador, pesquise por AdministratorAccess na caixa de pesquisa e selecione-a diretamente, em vez de selecionar políticas página por página. A seleção desta política aciona um aviso de autorização de alto risco.

(Opcional) Description: Insira o motivo ou cenário da autorização para fins de auditoria.
Clique em Confirm.

Revise o resultado da autorização e clique em Close.

Pela página Grants

Faça login no RAM console.
No painel de navegação à esquerda, escolha Permissions > Grants.
Na página Grants, clique em Grant Permission.
No painel Grant Permission, selecione o principal e configure as mesmas definições descritas acima.
Revise o resultado da autorização e clique em Close.

Nota

Usuários do RAM criados pelo recurso Quick Start na página Visão Geral do console do RAM recebem automaticamente a política de sistema correspondente com base no cenário selecionado, sem necessidade de autorização manual:

Super user: Recebe automaticamente a política PowerUserAccess. Este usuário pode gerenciar services e recursos de cloud, mas não pode gerenciar identidades do RAM e suas permissões, diretórios de recursos ou contas de faturamento.
Account administrator: Recebe automaticamente a política AdministratorAccess. Este usuário pode gerenciar todos os recursos da Alibaba Cloud, incluindo identidades e permissões do RAM.

Use essas opções apenas quando privilégios de superadministrador forem realmente necessários. Para operações rotineiras, siga o princípio do menor privilégio e conceda apenas as permissões necessárias para a tarefa específica.

OpenAPI

Conceder uma custom policy

Chame CreatePolicy para criar uma custom policy. Para sintaxe de política, consulte Permission policy elements e Overview of sample policies.
Chame AttachPolicyToUser para conceder a política no account level (defina PolicyType como Custom).

Alternativamente, chame AttachPolicy para conceder a política no resource group level.

Conceder uma system policy

Chame AttachPolicyToUser para anexar a política de sistema ao usuário do RAM (defina PolicyType como System). Para valores disponíveis de PolicyName, consulte System policy reference.
Alternativamente, chame AttachPolicy para conceder a política no resource group level.

Visualize permissões de usuários do RAM

Console

Importante

A página Grants (Permissions > Grants no painel de navegação à esquerda) exibe um histórico de operações de autorização — registros de quando políticas foram concedidas ou revogadas. Ela não mostra as permissões efetivas atuais de um usuário do RAM. Se você concedeu permissões recentemente, mas não as encontra na página Grants, ou se precisar da lista completa das permissões atuais de um usuário, acesse a página de detalhes do usuário e clique na aba Permissions conforme descrito nas etapas a seguir. A aba Permissions exibe tanto permissões individuais quanto permissões herdadas de grupos de usuários.

Faça login no RAM console.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, clique no nome do usuário do RAM de destino.
Clique na aba Permissions para visualizar Individual e Group Permissions.

Nota

Para avaliar o uso real de permissões (último acesso, políticas ociosas ou acesso com privilégios excessivos), verifique a aba Permission Audit (Beta) na página de detalhes do usuário, ou Access Analysis na página de visão geral do RAM.

OpenAPI

Chame ListPoliciesForUser para consultar a lista de autorizações no nível de conta para um usuário do RAM especificado. Esta operação não retorna autorizações no nível de grupo de recursos.

Revogar permissões de usuários do RAM

Nota

Importante: Antes de revogar permissões, verifique a aba Permission Audit (Beta) para confirmar a última hora de uso, ou revise Access Analysis na página de visão geral do RAM para identificar políticas ociosas. Isso evita a remoção acidental de permissões ativas.

Console

Dois pontos de entrada:

Página Users: Revogue políticas na página de detalhes do usuário. Recomendado para limpeza centrada no usuário.
Página Grants: Revogue a partir da lista completa de registros de autorização. Mais adequado para limpeza centrada em permissões.

Pela página Users

Faça login no RAM console.
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, clique no nome do usuário do RAM de destino.
Clique na aba Permissions. Na seção Individual, localize a política de destino e clique na coluna Actions > Revoke Permission.
Na caixa de diálogo Revoke Permission, confirme os detalhes de Principal e Permission Policy e clique em Revoke Permission.

Pela página Grants

Faça login no RAM console.
No painel de navegação à esquerda, escolha Permissions > Grants.
Na página Grants, clique na coluna Actions > Revoke Permission para o registro de autorização de destino.

Também é possível selecionar vários registros e clicar em Revoke Permission abaixo da lista para revogação em lote.
Na caixa de diálogo Revoke Permission, clique em Revoke Permission.

OpenAPI

Chame DetachPolicyFromUser para revogar uma política de permissão especificada de um usuário do RAM.

Práticas recomendadas de segurança

Siga o princípio do menor privilégio. Conceda apenas as permissões mínimas necessárias para a tarefa.
1. Exemplo 1: Gerencie instâncias específicas do ECS
  - Incorreto: Conceder AdministratorAccess ou AliyunECSFullAccess.
  - Correto: Crie uma política personalizada que restrinja Resource a IDs de instância específicos. Para um exemplo, consulte Allow managing a specific ECS instance.
2. Exemplo 2: Todas as permissões exceto faturamento
  - Incorreto: Conceder AdministratorAccess.
  - Correto: Crie uma política personalizada com uma instrução de negação explícita para "Action": "bss:*","bssapi:*","efc:*" "Effect": "Deny". Para um exemplo, consulte Allow managing all resources except billing.
Audite as permissões regularmente. Use Governance Detection na página de visão geral do RAM para encontrar AccessKeys não utilizadas há 90 dias e usuários do RAM ociosos. Utilize Access Analysis (Beta) para detectar identidades com privilégios excessivos.
Use políticas de alto risco com cautela. Conceda AliyunRAMFullAccess e políticas semelhantes apenas quando necessário (por exemplo, para administradores do RAM) e monitore todas as operações desses usuários.
Prefira funções do RAM para acesso temporário. Para autorização de curto prazo (pipelines de CI/CD, acesso entre contas ou operações de terceiros), crie uma função do RAM e use o STS para emitir credenciais temporárias em vez de anexar políticas de longa duração a usuários do RAM. Credenciais temporárias expiram automaticamente.

Limitações de notificação de mensagens para usuários do RAM

Um usuário do RAM não pode receber notificações de faturamento no nível da conta, como alertas de cota e lembretes de faturamento. Por padrão, as notificações de faturamento são enviadas apenas aos contatos da conta Alibaba Cloud, e os destinatários não podem ser alterados.

Na página Basic Notification Settings do Message Center, os canais de notificação (internal message, SMS e email) e os destinatários para notificações de faturamento da conta estão bloqueados, e todos os controles de edição (Edit, Batch Edit Rules e Save) estão desabilitados.

Soluções alternativas

Solicite que a conta Alibaba Cloud faça login regularmente no console e verifique as notificações de faturamento no Message Center.
Para notificações que não sejam de faturamento (como notificações de product e notificações de eventos), a conta Alibaba Cloud pode clicar em Edit para o tipo de notificação correspondente na página Basic Notification Settings do Message Center, editar as regras de notificação na aba Message Recipients ou adicionar contatos pelo link Address and Contacts.
Para permitir que um usuário do RAM opere o Message Center, a conta Alibaba Cloud deve conceder ao usuário do RAM a permissão AliyunConsoleFullAccess.

FAQ

Um usuário do RAM pode visualizar suas próprias permissões?

Não. Usuários do RAM não podem visualizar sua própria lista de políticas de permissão por padrão. Soluções alternativas:

Acesso de teste: Tente realizar a ação desejada. Um erro de "permissões insuficientes" indica falta de permissões.
Contate seu administrador: Solicite ao proprietário da conta Alibaba Cloud ou a um usuário do RAM com AliyunRAMFullAccess que verifique pelo console do RAM.

Um usuário do RAM pode comprar products de cloud?

Sim, desde que o usuário tenha recebido as permissões de compra necessárias. Consulte What permissions does a RAM user need to purchase resources?.

Limites de gastos individuais ou faturamento separado para usuários do RAM não são suportados. Todas as cobranças são consolidadas na conta Alibaba Cloud.

Como concedo permissões temporárias e revogáveis a um usuário do RAM?

Não anexe políticas de longa duração para necessidades temporárias. Em vez disso, crie uma função do RAM com as permissões necessárias e faça com que o usuário do RAM chame AssumeRole via STS para obter credenciais com limite de tempo. Para mais detalhes, consulte Assume a RAM role.

Credenciais temporárias expiram automaticamente. Essa abordagem funciona bem para CI/CD, delegação entre contas e operações de terceiros.

Como soluciono erros de "permissão negada" para um usuário do RAM?

Acesse Permissions > Permission Diagnosis no console do RAM. Cole o texto cifrado de diagnóstico (AccessDeniedDetail.EncodedDiagnosticMessage da resposta de erro) ou o Request ID e clique em Start Diagnosis. O sistema decodifica o motivo da negação — incluindo a política correspondente, condição ou negação explícita — para ajudar você a identificar o problema.

Troubleshoot access denied errors.

O que faço se receber um erro LimitExceeded.User.Policy ao conceder permissões a um usuário do RAM?

Esse erro ocorre quando o usuário do RAM atingiu o número máximo de políticas de permissão anexáveis. Por padrão, cada usuário do RAM pode ter até 20 políticas de sistema e 20 políticas personalizadas anexadas. Para valores atuais de cota, consulte Limits.

Para resolver esse problema, tente uma ou mais das seguintes abordagens:

Consolidar políticas: Remova políticas redundantes ou desnecessárias. Por exemplo, uma política de acesso total (como AliyunECSFullAccess) já inclui todas as permissões da política correspondente de somente leitura (AliyunECSReadOnlyAccess), portanto, você não precisa de ambas. Também é possível mesclar várias políticas de sistema em uma única custom policy para reduzir a contagem total.
Usar grupos de usuários: Adicione usuários do RAM com as mesmas responsabilidades a um grupo de usuários e conceda permissões ao grupo em vez de usuários individuais. Permissões herdadas de um grupo de usuários não contam para a cota de anexação de políticas do usuário individual.
Solicitar aumento de cota: Acesse o Quota Center. Na página Products with General Quotas, selecione Resource Access Management, pesquise por Maximum number of system policies that can be attached to a RAM user ou Maximum number of custom policies that can be attached to a RAM user e envie uma solicitação de aumento de cota.