Agent Run：資源群組和工作空間最佳實務

授予資源群組維度工作空間查詢許可權

user01 需要能看到"團隊A-測試環境"資源群組下的工作空間列表，才能進入對應工作空間。

在 RAM 控制台為 user01 授予以下許可權，授權範圍限定在"團隊A-測試環境"資源群組：

• 權限原則： 包含 AgentRun操作的權限原則

• 授權範圍： 僅限"團隊A-測試環境"資源群組

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "agentrun:ListWorkspaces",
      "Resource": "*"
    }
  ]
}

完成此步驟後，user01 可在工作空間列表中看到該資源群組下的所有工作空間（資料分析-測試工作空間、機器學習-測試工作空間），但尚未獲得具體資源的操作許可權。

授予指定工作空間內的 AgentRun 資源操作許可權

在 AgentRun 控制台，將"資料分析-測試工作空間"的操作許可權授予 user01，包括該工作空間內的以下資源類型：

• Agent 運行時

• 沙箱（Sandbox）

• 模型

• 工具

• 知識庫

• 記憶

• 憑證

• 監控大盤

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "agentrun:GetAccessToken",
        "agentrun:GetAgentDiscoveryResult",
        "agentrun:GetAgentRuntime",
        "agentrun:GetAgentRuntimeEndpoint",
        "agentrun:GetApigLLMModel",
        "agentrun:GetBrowser",
        "agentrun:GetBrowserSession",
        "agentrun:GetCodeInterpreter",
        "agentrun:GetCodeInterpreterSession",
        "agentrun:GetCredential",
        "agentrun:GetKnowledgeBase",
        "agentrun:GetMemoryCollection",
        "agentrun:GetModelProxy",
        "agentrun:GetModelService",
        "agentrun:GetSandbox",
        "agentrun:GetTemplate",
        "agentrun:ActivateTemplateMCP",
        "agentrun:CreateAgentRuntime",
        "agentrun:CreateAgentRuntimeEndpoint",
        "agentrun:CreateApigLLMModel",
        "agentrun:CreateBrowser",
        "agentrun:CreateCodeInterpreter",
        "agentrun:CreateCredential",
        "agentrun:CreateKnowledgeBase",
        "agentrun:CreateMemoryCollection",
        "agentrun:CreateModelProxy",
        "agentrun:CreateModelService",
        "agentrun:CreateSandbox",
        "agentrun:CreateTemplate",
        "agentrun:CreateWorkspace",
        "agentrun:DeleteAgentRuntime",
        "agentrun:DeleteAgentRuntimeEndpoint",
        "agentrun:DeleteApigLLMModels",
        "agentrun:DeleteBrowser",
        "agentrun:DeleteCodeInterpreter",
        "agentrun:DeleteCredential",
        "agentrun:DeleteKnowledgeBase",
        "agentrun:DeleteMemoryCollection",
        "agentrun:DeleteModelProxy",
        "agentrun:DeleteModelService",
        "agentrun:DeleteSandbox",
        "agentrun:DeleteTemplate",
        "agentrun:DeregisterExternalService",
        "agentrun:PublishRuntimeVersion",
        "agentrun:RegisterExternalService",
        "agentrun:StartBrowserSession",
        "agentrun:StartCodeInterpreterSession",
        "agentrun:StopSandbox",
        "agentrun:UpdateAgentRuntime",
        "agentrun:UpdateAgentRuntimeEndpoint",
        "agentrun:UpdateApigLLMModel",
        "agentrun:UpdateCredential",
        "agentrun:UpdateKnowledgeBase",
        "agentrun:UpdateMemoryCollection",
        "agentrun:UpdateModelProxy",
        "agentrun:UpdateModelService",
        "agentrun:UpdateTemplate",
        "agentrun:ListAgentRuntimeEndpoints",
        "agentrun:ListAgentRuntimes",
        "agentrun:ListAgentResources",
        "agentrun:ListAgentRuntimeVersions",
        "agentrun:ListApigLLMModels",
        "agentrun:ListBrowsers",
        "agentrun:ListBrowserSessions",
        "agentrun:ListCodeInterpreters",
        "agentrun:ListCodeInterpreterSessions",
        "agentrun:ListCredentials",
        "agentrun:ListKnowledgeBases",
        "agentrun:ListMemoryCollections",
        "agentrun:ListModelProviders",
        "agentrun:ListModelProxies",
        "agentrun:ListModelServices",
        "agentrun:ListSandboxes",
        "agentrun:ListTemplates",
        "agentrun:ListTools",
        "agentrun:GetTool",
        "agentrun:CreateTool",
        "agentrun:DeleteTool",
        "agentrun:UpdateTool"
      ],
      "Resource": "acs:agentrun:*:<your-account-id>:workspaces/DataAnalysis-Test/*"
    }
  ]
}

操作入口：進入AgentRun控制台>資料分析-測試工作空間>成員管理>新增成員，選擇 user01 並分配對應角色（如開發人員角色）。

完成此步驟後，user01 可在資料分析-測試工作空間內建立、查看和管理上述資源，但無法操作機器學習-測試工作空間內的任何資源。

授權帳號維度全域資源許可權

部分 AgentRun 資源屬於帳號層級的全域資源，不歸屬於特定工作空間，需要在帳號維度單獨授權。

自訂網域名是典型的帳號級全域資源。如果 user01 需要配置或查看自訂網域名，在 RAM 控制台為其授予帳號層級的相關權限原則（授權範圍選擇"整個雲帳號"）。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "agentrun:*CustomDomain*"
      ],
      "Resource": "*"
    }
  ]
}

按需授權其他依賴雲產品許可權

AgentRun 資源運行時可能依賴其他阿里雲產品（如Object Storage Service、Function Compute FC 等）。常見的依賴許可權樣本：