配置RAM策略限制RAM使用者僅從特定IP登入DataWorks-巨量資料開發治理平台 DataWorks-阿里雲 - DataWorks

前提條件

您需要首先建立RAM使用者並進行授權，詳情請參見建立RAM使用者。許可權AliyunDataWorksFullAccess為系統預設許可權，無法修改，您需要額外建立一個自訂授權策略。

建立自訂策略

使用Resource Access Management員登入RAM控制台。
在左側導覽列，選擇權限管理 > 權限策略，然後單擊建立權限原則，切換至指令碼編輯頁簽。
在代碼編輯地區使用指令碼配置您的自訂許可權。

在自訂許可權中，"acs:SourceIP"後填寫的IP，便是您允許訪問DataWorks的IP（支援設定多個IP）。自訂許可權配置項說明請參見Policy基本元素。
```
{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "dataworks:*"
            ],
            "Resource": [
                "acs:dataworks:*:*:*"
            ],
            "Condition": {
                "NotIpAddress": {
                    "acs:SourceIp": [
                        "10.0.0.0",
                        "192.168.0.0"
                    ]
                }
            }
        }
    ]
}
```
說明
如果要限制某個RAM使用者只能從特定IP登入DataWorks，則必須在RAM Policy中使用"Effect": "Deny"的方式配置。關於權限原則文法結構的詳情，請參見權限原則文法和結構。

說明
Data Agent的任務在沙箱中執行，並以沙箱自身網段的IP調用DataWorks服務。如果您需要使用Data Agent，請在上述acs:SourceIp白名單中，以追加方式一併加入沙箱出口網段21.80.0.0/12和21.224.0.0/12（請勿替換原有的辦公網IP），以確保Data Agent的任務能夠正常調用DataWorks。網段說明與完整策略樣本請參見沙箱管理。
可選：進階權限原則最佳化

您可以單擊可選：進階策略最佳化，然後執行，對權限原則內容進行進階最佳化。進階權限原則最佳化功能會完成以下任務：
- 拆分不相容操作的資源或條件。
- 收縮資源到更小範圍。
- 去重或合并語句。
單擊確定，在彈出的對話方塊中設定權限原則的名稱和備註。
單擊確定，完成建立。

授權自訂策略給RAM使用者

在左側導覽列，選擇身份管理 > 用戶，然後單擊目標RAM使用者操作列的添加許可權。
您也可以選中多個RAM使用者，單擊使用者列表下方的添加許可權，為RAM使用者大量授權。
切換權限原則類型為自訂策略，然後在左側策略名稱列表，選中需要授予RAM使用者的權限原則。
說明
- 系統會自動填入被授權主體。
- 在右側地區，單擊某條策略後的×，即可撤銷該策略。

單擊確認新增授權，然後單擊關閉。

前提條件

建立自訂策略

授權自訂策略給RAM使用者

相關文檔