通過RAM使用者或者RAM角色等方式訪問Realtime Compute控制台，並執行查看、購買或者刪除工作空間等操作時，需具備相應的許可權。為確保操作安全，所有訪問主體均需由購買Flink工作空間的阿里雲帳號管理員在RAM控制台上為其綁定對應的權限原則。本文將詳細介紹支援的權限原則及具體的授權配置方法。
授權情境
情境 | 介面 | 說明 |
無法訪問Realtime Compute管理主控台 | 看不到任何工作空間資訊，且提示如下報錯。
| 說明您當前無許可權訪問Realtime Compute管理主控台。請聯絡購買工作空間的阿里雲帳號管理員，按照授權操作為您的帳號授予至少唯讀訪問Realtime Compute（Stream）服務的許可權（AliyunStreamReadOnlyAccess）。完成授權後，重新進入或重新整理頁面即可正常訪問。 |
無法進行某個具體的操作 |
| 說明當前帳號暫無執行該操作的許可權。如需操作，請聯絡購買工作空間的阿里雲帳號管理員，根據您的具體需求調整自訂權限原則，按照授權操作完成相應授權。例如，如左圖所示，您的帳號需要被授予訂用帳戶工作空間資源分派的相關許可權。 |
策略類型
權限原則是用文法結構描述的一組許可權的集合，可以精確地描述被授權的資源集、操作集以及授權條件。RAM控制台支援以下兩種權限原則：
系統策略：統一由阿里雲建立，使用者只能使用不能修改，策略的版本更新由阿里雲維護。Flink支援的系統策略詳情如下。
權限原則
名稱
說明
Realtime Compute（Stream）服務所有許可權
AliyunStreamFullAccess
包括自訂權限原則中所有的許可權。
唯讀訪問Realtime Compute（Stream）服務
AliyunStreamReadOnlyAccess
包含Realtime ComputeFlink著作權限策略中HasStreamDefaultRole和所有以Describe、Query、Check、List、Get及Search開頭的許可權。
費用中心（BSS）的查看與支付訂單許可權
AliyunBSSOrderAccess
在費用中心（BSS）查看訂單、支付訂單的許可權。
費用中心（BSS）的退訂操作許可權
AliyunBSSRefundAccess
在費用中心（BSS）退訂訂單的許可權。
自訂策略：您可以自主建立、更新和刪除，策略的版本更新由您自己維護。Flink支援的自訂策略和建立方法詳情，請參見Realtime ComputeFlink著作權限策略和（可選）步驟一：建立自訂策略。
前提條件
已瞭解授權須知。
授權操作
（可選）步驟一：建立自訂策略
如果您計劃直接使用AliyunStreamFullAccess系統策略，可跳過此步驟。
在建立自訂權限原則時，建議以唯讀訪問Realtime Compute（Stream）服務的許可權為基礎，並根據實際需求設計更細粒度的許可權控制點。這些許可權控制點包括Realtime ComputeFlink版支援的自訂權限原則及相關產品的許可權操作。以下是唯讀訪問Realtime Compute（Stream）服務的自訂權限原則的詳細內容，其許可權範圍等同於AliyunStreamReadOnlyAccess系統策略。
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:Describe*",
"stream:Query*",
"stream:Check*",
"stream:List*",
"stream:Get*",
"stream:Search*",
"stream:HasStreamDefaultRole"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
"Effect": "Allow"
}
]
}步驟二：為成員繫結目標策略
通過為RAM使用者或RAM角色綁定權限原則，可以獲得權限原則中指定的存取權限。本文為您介紹如何進行RAM使用者授權。RAM角色授權操作類似，詳情請參見為RAM角色授權。
使用Resource Access Management員登入RAM控制台。
在左側導覽列，選擇。
在使用者頁面，單擊目標RAM使用者操作列的添加許可權。
您也可以選中多個RAM使用者，單擊使用者列表下方的添加許可權，為RAM使用者大量授權。
在新增授權面板，為RAM使用者添加許可權。
參數
說明
資源範圍
選擇所需的應用範圍：
帳號層級：許可權在當前阿里雲帳號內生效。
資源群組層級：許可權在指定的資源群組內生效。
授權主體
被授權主體，即需要授權的RAM使用者，系統會自動填入當前的RAM使用者，您也可以添加其他RAM使用者。
權限原則
選擇您系統策略或您已經建立的自訂策略。
單擊確認新增授權。
單擊關閉。
步驟三：授權完成後登入使用
授權完成後，RAM使用者或RAM角色即可登入或者重新整理當前Realtime Compute管理主控台登頁面，即可進行相關操作。
登入類型 | 登入方式 | 如何登入 |
阿里雲RAM使用者 | RAM使用者登入 | |
阿里雲RAM角色 | 主帳號A下的RAM使用者扮演A的角色登入 | |
主帳號B下的RAM使用者扮演A的角色登入 | ||
資來源目錄成員 | 管理帳號的RAM使用者扮演成員RAM角色的方式登入 | |
通過成員的RAM使用者登入 | ||
通過雲帳號（根使用者）登入（不推薦） | ||
雲SSO使用者通過RAM角色登入 | ||
雲SSO使用者通過RAM使用者登入 |
自訂權限原則樣本
RAM使用者開通Realtime ComputeFlink版（方案一）
RAM使用者開通Realtime ComputeFlink版（方案二）
RAM使用者釋放訂用帳戶的Flink工作空間
RAM使用者釋放隨用隨付的Flink工作空間
RAM使用者進行專案空間資源分派
自訂權限原則
Realtime ComputeFlink版權限原則
在設定項目空間許可權資訊前，您需要先配置查看已建立的工作空間（DescribeVvpInstances）的許可權，否則會報缺少許可權的錯誤。
Flink工作空間
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:CreateVvpInstance",
"stream:DescribeVvpInstances",
"stream:DeleteVvpInstance",
"stream:RenewVvpInstance",
"stream:ModifyVvpPrepayInstanceSpec",
"stream:ModifyVvpInstanceSpec",
"stream:ConvertVvpInstance",
"stream:QueryCreateVvpInstance",
"stream:QueryRenewVvpInstance",
"stream:QueryModifyVvpPrepayInstanceSpec",
"stream:QueryConvertVvpInstance"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#InstanceId}",
"Effect": "Allow"
}
]
}action | 說明 |
CreateVvpInstance | 新購Realtime ComputeFlink版。 |
DescribeVvpInstances | 查看工作空間。 |
DeleteVvpInstance | 釋放Flink工作空間。 |
RenewVvpInstance | 工作空間續約（訂用帳戶）。 |
ModifyVvpPrepayInstanceSpec | 訂用帳戶工作空間擴縮容。 |
ModifyVvpInstanceSpec | 隨用隨付工作空間配額上限調整。 |
ConvertVvpInstance | 變更工作空間付費模式。 |
QueryCreateVvpInstance | 查詢工作空間建立價格。 |
QueryRenewVvpInstance | 查詢工作空間續約價格。 |
QueryModifyVvpPrepayInstanceSpec | 查詢工作空間擴縮容價格。 |
QueryConvertVvpInstance | 查詢隨用隨付轉訂用帳戶價格。 |
對於新購Realtime ComputeFlink版和查看工作空間，您可以將Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}改為"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/*"。
Flink專案空間
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:CreateVvpNamespace",
"stream:DeleteVvpNamespace",
"stream:ModifyVvpPrepayNamespaceSpec",
"stream:ModifyVvpNamespaceSpec",
"stream:DescribeVvpNamespaces"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
"Effect": "Allow"
}
]
}action | 說明 |
CreateVvpNamespace | 建立專案空間。 |
DeleteVvpNamespace | 刪除專案空間。 |
ModifyVvpPrepayNamespaceSpec | 訂用帳戶專案空間資源變更。 |
ModifyVvpNamespaceSpec | 隨用隨付專案空間資源變更。 |
DescribeVvpNamespaces | 查看專案空間列表。 配置該策略後，單擊目標工作空間ID左側的 |
表徵圖，您就能查看該工作空間下建立的專案空間列表資訊。如果您還需要進入到目標專案空間開發控制台，還需要被授權對應專案空間的作業開發許可權，詳情請參見對於建立專案空間和查看專案空間列表，您可以將"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",改為"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/*",。
相關產品的許可權操作
ECS相關許可權操作
OSS相關許可權操作
ARMS相關許可權操作
VPC相關許可權操作
RAM相關許可權操作
TAG相關許可權點
DLF相關許可權操作
相關文檔
當希望多個使用者共同使用Flink下的某專案空間，在Realtime Compute開發控制台進行作業開發、營運等相關操作時，需要進行專案空間授權，詳情請參見開發控制台授權。