Elastic Compute Service：RAM使用者執行雲助手命令

基礎許可權配置

通過 RAM 自訂策略，限制 RAM 使用者在調用雲助手介面時只能以指定使用者身份執行命令，適用於 Linux 和 Windows 執行個體。

1. 使用阿里雲帳號登入RAM 控制台，建立RAM使用者。

   RAM使用者資訊樣本如下所示：

   名稱	樣本
   登录名称	commandUser
   顯示名稱	commandUser
   訪問方式	本文中提供阿里雲控制台方式和OpenAPI方式使用雲助手，此處選中控制台訪問和使用永久 AccessKey 訪問。 說明 您可以根據實際使用方式，選擇對應的一種訪問方式，實現許可權最小化管理。
   設定密碼	選擇自動產生密碼。
   需要重設密碼	選擇使用者在下次登入時必須重設密碼。
   MFA 多因素認證	選擇不要求。

   建立完成後，儲存 RAM 使用者的登入資訊和 AccessKey。

2. 建立自訂權限原則 commandUserPolicy。具體操作，請參見建立自訂權限原則。

   

   根據需求選擇以下任一策略模式：

   • 白名單模式（推薦）：僅允許ECS執行個體普通使用者 user01 和 user02 執行命令。

     如需允許其他使用者，修改或增加 Condition 中的使用者名稱。

     {
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "ecs:InvokeCommand",
                     "ecs:RunCommand"
                 ],
                 "Resource": [
                     "acs:ecs:*:*:instance/*",
                     "acs:ecs:*:*:command/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "ecs:CommandRunAs": [
                             "user01",
                             "user02"
                         ]
                     }
                 }
             }
         ],
         "Version": "1"
     }

   • 黑名單模式：禁止ECS執行個體的使用者 root 和 system 執行命令。

     如需限制其他使用者，修改或增加 Condition 中的使用者名稱。

     {
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "ecs:InvokeCommand",
                     "ecs:RunCommand"
                 ],
                 "Resource": [
                     "acs:ecs:*:*:instance/*",
                     "acs:ecs:*:*:command/*"
                 ],
                 "Condition": {
                     "StringNotEqualsIgnoreCase": {
                         "ecs:CommandRunAs": [
                             "system",
                             "root"
                         ]
                     }
                 }
             }
         ],
         "Version": "1"
     }

3. 為 RAM 使用者授權。具體操作，請參見管理RAM使用者的許可權。

   

   授予以下許可權：

   • ECS 唯讀許可權：AliyunECSReadOnlyAccess

   • 雲助手許可權：上一步建立的 commandUserPolicy

   如果 Windows 執行個體使用方案一：使用 OOS + KMS 託管密碼，還需額外授予 AliyunOOSReadOnlyAccess 和自訂的 kmsPolicy 權限原則。kmsPolicy 的建立方式參見常見的授權策略樣本，策略內容樣本：

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:List*", "kms:Describe*",
           "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"
         ],
         "Resource": ["*"]
       }
     ]
   }

配置 Linux 執行個體的普通使用者執行雲助手命令

Linux 執行個體無需託管密碼，在執行命令時聲明使用者身份即可。

1. 使用 RAM 使用者 commandUser 登入阿里雲控制台，或通過其 AccessKey 調用 CLI/API。

2. 運行雲助手命令並驗證。

   • 控制台：建立/執行命令，將執行使用者（Username）設定為 user01。

     user01使用者能夠正常執行雲助手命令，root使用者執行雲助手命令報錯。

     

   • CLI：在 RunCommand 中指定 --Username user01，user01使用者能夠正常執行雲助手命令，以 root 使用者執行命令會報錯。

     

配置 Windows 執行個體的普通使用者執行雲助手命令

Windows 執行個體以普通使用者執行命令時必須同時傳遞密碼。根據安全需求選擇以下任一方案：