如果ECS資源需要多人共同管理（如來自不同部門的管理員），建議使用資源群組對ECS執行個體及其相關資源（雲端硬碟、鏡像、安全性群組、密鑰、交換器等）實現分組管理，以避免不同管理員互相看見、操作他人的資源，實現橫向分權管理。
安全風險
在預設的許可權模型下，一個被授予了ECS系統管理權限（例如 AliyunECSFullAccess）的RAM使用者，將擁有對帳號下所有ECS執行個體及其關聯資源的完全操作許可權。這種“扁平化”的授權模式在企業規模擴大、團隊增多時會帶來嚴重的安全隱患：
許可權濫用與誤操作風險：A部門的管理員可以輕易地查看、修改甚至刪除B部門的核心生產伺服器，無論是惡意為之還是無心之失，其後果都可能是災難性的。
缺乏最小許可權原則：RAM擁有了遠超其工作所需的許可權，這直接違反了“最小許可權原則 (Principle of Least Privilege)”。該原則是縱深防禦體系的核心，旨在確保任何使用者、程式或進程只擁有其執行任務所必需的最基本許可權。
審計與合規性挑戰：當所有操作都混合在一起時，很難清晰地追蹤和審計哪個部門或專案對資源進行了變更，給滿足合規性要求帶來了巨大挑戰。
最佳實務
建議使用資源群組和基於身份的RAM策略，在您的雲帳號內構建邏輯上的管理邊界。以一個包含A、B兩個部門（DepartmentA, DepartmentB）的情境為例，展示如何構建安全的橫向分權體系。
情境：為A、B兩個部門分別建立獨立的ECS管理員，要求他們只能管理本部門的資源。
建立資源群組
使用阿里雲帳號（主帳號）或擁有資源群組系統管理權限的RAM身份（RAM使用者和RAM角色）登入。
前往資源群組控制台，單擊建立資源群組按鈕，完成資訊填寫，單擊確認。
資源群組標識：輸入“DepartmentA”。
資源群組名稱：輸入“A部門資源群組”。
重複以上步驟，建立標識為“DepartmentB”的資源群組。
建立RAM使用者
前往RAM控制台，在左側導覽列，選擇。
單擊建立使用者，根據提示完成資訊填寫。
登入名稱稱/顯示名稱：輸入“AdminA”。
訪問方式：勾選控制台訪問，並設定好密碼原則。
單擊確定，完成安全驗證。
重複以上步驟，建立使用者 AdminB。
為資源群組授權
返回資源群組控制台頁面。
找到 DepartmentA 資源群組，單擊右側操作列的許可權管理。
單擊新增授權。
授權範圍：預設為當前資源群組 DepartmentA。
授權主體：選擇 RAM使用者，並在列表中選擇剛剛建立的AdminA。
權限原則：在搜尋方塊中輸入 ecs，選擇系統策略
AliyunECSFullAccess和AliyunBSSFullAccess。單擊確認新增授權。
重複以上步驟，為 DepartmentB 資源群組向 AdminB 使用者授予許可權。
驗證隔離效果
退出當前帳號，分別使用 AdminA 和 AdminB 的帳號資訊登入阿里雲控制台。
以 AdminA 身份登入後：自訂購買執行個體，資源群組選擇A部門資源群組。
前往ECS控制台-執行個體，只能看到在 DepartmentA 資源群組中建立的ECS執行個體。
以 AdminB 身份登入後：會觀察到與 AdminA 類似但完全隔離的效果，其所有操作都被限制在 DepartmentB 資源群組內。