Crie um usuário do RAM e conceda permissões para o ApsaraVideo VOD - ApsaraVideo VOD: Central de Documentação do Alibaba Cloud

Para proteger sua conta Alibaba Cloud, crie usuários do RAM para funcionários, sistemas ou aplicações e conceda apenas as permissões necessárias. Os usuários do RAM não geram cobranças; a conta Alibaba Cloud associada paga por quaisquer recursos que eles consumam.

Pré-requisitos

Uma conta Alibaba Cloud foi criada e a verificação de identidade está concluída. Para criar uma conta Alibaba Cloud, acesse o site oficial da Alibaba Cloud. Para mais informações, consulte Register an Alibaba Cloud account.

Crie um usuário do RAM

Nota

Na Etapa 4, defina o nome de logon como vod. Os exemplos abaixo utilizam esse nome.
Na Etapa 5, selecione OpenAPI access como o modo de acesso.

Procedimento

Console

Faça login no console do RAM usando sua conta Alibaba Cloud ou como um usuário do RAM com permissões administrativas (um usuário ao qual a política AliyunRAMFullAccess está anexada).
No painel de navegação à esquerda, escolha Identities > Users.
Na página Users, clique em Create User.
Na página Create User, na seção User Account Information, configure as informações básicas do usuário.
- Logon Name (obrigatório): Até 64 caracteres. Permite letras, dígitos, pontos (.), hifens (-) e sublinhados (_).
- Display Name (opcional): O nome pode ter até 128 caracteres.
- Tag (opcional): Clique em , depois insira uma chave de tag e um valor de tag para categorizar e gerenciar usuários.
Nota
Clique em Add User e crie vários usuários do RAM em massa.
Na seção Access Mode, selecione um modo de acesso com base no tipo de usuário.
Importante
- Como prática recomendada de segurança, selecione apenas um modo de acesso por usuário para separar o acesso humano ao console do acesso programático da aplicação. Se um usuário do RAM precisar de login no console e de capacidades de chamada de API, você pode selecionar ambos os modos de acesso. Após selecionar Permanent AccessKey, você deve marcar a caixa de seleção confirme que devo criar um AccessKey para continuar.
- Um par de AccessKey vazado compromete sua conta. Em vez disso, use tokens do Security Token Service (STS) (credenciais temporárias) para reduzir o risco. Best practices for using access credentials to call Alibaba Cloud APIs.
Console access

Selecione Console Access.
- Set Logon Password: Gere automaticamente ou defina uma senha personalizada. As senhas personalizadas devem atender aos requisitos de complexidade configurados. Defina uma política de senha para usuários do RAM.
- Password Reset: Especifique se o usuário deve redefinir a senha no próximo login.
- Enable MFA: O MFA é obrigatório para todos os usuários por padrão. Para alterar essa configuração, consulte gerencie as configurações de segurança do usuário do RAM. Os usuários devem vincular um dispositivo MFA no primeiro login. Bind an MFA device.
Programmatic access

Selecione Permanent AccessKey.

O sistema cria automaticamente um AccessKeyID e um AccessKeySecret para o usuário do RAM.

Importante
O AccessKeySecret é exibido apenas na criação e não pode ser recuperado posteriormente. Baixe, copie e salve imediatamente o AccessKeySecret. Um par de AccessKey vazado compromete todos os recursos da sua conta. crie um par de AccessKey.

OpenAPI

Crie um usuário do RAM para acesso ao console

Chame GetDefaultDomain para obter o sufixo de login padrão de uma conta. O formato é <AccountAlias>.onaliyun.com.
Chame a operação CreateUser para criar um usuário do RAM. Os seguintes parâmetros são obrigatórios:
1. UserPrincipalName: O nome de login para um usuário do RAM. O formato é <username>@<AccountAlias>.onaliyun.com, onde <username> é o nome de usuário do RAM e <AccountAlias>.onaliyun.com é o sufixo de login padrão.
2. DisplayName: O nome de exibição para o usuário do RAM. Pode ser diferente do <username> acima.
Chame a operação CreateLoginProfile para criar um perfil de login e configurar o modo de acesso e o MFA. Configurações recomendadas:
1. UserPrincipalName: O usuário criado na etapa anterior.
2. Password: Defina de acordo com os requisitos de força de senha da conta. Chame GetPasswordPolicy para consultar a política de senha atual.
3. MFABindRequired: Defina como true para exigir o MFA para usuários do RAM.
4. Status: Ative ou desative o login com senha no console. Valor padrão: Active.

Crie um usuário do RAM para acesso programático

Chame GetDefaultDomain para obter o sufixo de login padrão de uma conta. O sufixo está no formato <AccountAlias>.onaliyun.com.
Chame a operação CreateUser para criar um usuário do RAM. Os seguintes parâmetros são obrigatórios:
1. UserPrincipalName: O nome de login de um usuário do RAM no formato <username>@<AccountAlias>.onaliyun.com, onde <username> é o nome de usuário do RAM e <AccountAlias>.onaliyun.com é o sufixo de login padrão.
2. DisplayName: O nome de exibição para o usuário do RAM, que pode ser diferente do <username> acima.
Para criar um par de AccessKey (AccessKey), chame a operação CreateAccessKey e passe apenas o UserPrincipalName do usuário que você criou na etapa anterior.

Importante
A resposta do CreateAccessKey contém o AccessKeyID e o AccessKeySecret. O AccessKeySecret é exibido apenas uma vez e não pode ser recuperado posteriormente — salve-o imediatamente. Um AccessKey vazado compromete todos os recursos da sua conta. Para mais informações, consulte crie um AccessKey.

Importante

Clique em OK. O sistema gera a senha de login e o par de AccessKey (AccessKeyID e AccessKeySecret) para o usuário do RAM. Salve a senha de login e as informações do AccessKey imediatamente. Essas informações não podem ser recuperadas.

Conceda permissões a um usuário do RAM

No console do RAM, na página Users, encontre o usuário do RAM (por exemplo, vod) e clique em Add Permissions na coluna Actions.
No painel Grant Permission, conceda permissões ao usuário do RAM.
Nota
Anexe a política de sistema AliyunVODFullAccess ao usuário vod para acesso total aos recursos do ApsaraVideo VOD. Pesquise por AliyunVODFullAccess na caixa de pesquisa. Para definições de política e permissões, consulte System authorization policies.

Para comprar o Audio/Video Terminal SDK (cenário do ApsaraVideo Player), o usuário do RAM deve receber ambas as seguintes políticas:
- AliyunBSSFullAccess: concede permissões para gerenciar faturamento e custos (BSS). Obrigatório para operações de compra.
- AliyunVODFullAccess: concede permissões para gerenciar recursos do ApsaraVideo VOD. Obrigatório para acessar recursos do VOD.
Conceder apenas AliyunBSSFullAccess não é suficiente para operações do ApsaraVideo VOD. Chamadas para APIs do VOD retornam um erro Forbidden.RAM. Ao comprar o Audio/Video Terminal SDK, conceda também AliyunVODFullAccess.

Selecione Account Level como Resource Scope, selecione a política AliyunVODFullAccess e clique em Confirme a autorização.
- Selecione um Resource scope:
  - Account level: Aplica-se a toda a conta Alibaba Cloud.
  - Resource group level: Aplica-se apenas ao grupo de recursos especificado. O usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior do console para gerenciar recursos.
    Nota
    
    Políticas de sistema de alto risco, como AdministratorAccess e AliyunRAMFullAccess, são sinalizadas automaticamente. Essas políticas concedem controle total sobre os recursos de cloud ou permissões totais de gerenciamento do RAM. Conceda-as com cautela.
    
    Exemplo: Use a resource group to grant a RAM user permissions to gerencie instâncias específicas do ECS.
- Selecione um Principal:
  
  O usuário do RAM atual é selecionado automaticamente quando você inicia a partir da página Users. A partir da página Grant Permission, selecione manualmente um ou mais usuários do RAM.
- Selecione uma Permission policy:
  - System policy: Pesquise e selecione políticas diretamente. É possível pesquisar por nome do product (ECS, OSS), nível de permissão (ReadOnly, FullAccess) ou nome completo da política.
  - Custom policy: Você deve crie uma política personalizada antes de concedê-la.
- Clique em Confirme a autorização.
Revise o resumo da autorização e clique em Close.

Próximas etapas

Para conceder permissão de login no console ao usuário do RAM posteriormente, acesse gerencie as configurações de login do usuário do RAM.