Function Compute：配置 RAM 使用者權限

使用控制台或 OpenAPI

登入控制台管理 Team、API Key 等資源時，使用阿里雲帳號或 RAM 使用者；調用 FCSandbox OpenAPI 時，使用阿里雲 AK 或 STS 臨時憑證。這兩種方式都通過 RAM 權限原則控制可執行檔操作和可訪問的資源。

使用 E2B SDK、CLI 或相容 API

通過 E2B SDK、E2B CLI 或相容 HTTP API 建立和訪問 Sandbox 時，使用雲沙箱 API Key，不需要配置 FCSandbox RAM 許可權。每個 API Key 綁定一個 Team，建議不同專案和環境使用不同 Team 與 API Key，不要讓測試和生產應用共用一個 API Key。建立方法參見建立 API Key。

管理帳號下全部雲沙箱資源

適用於統一管理所有 Team 和資源的平台管理員。以下策略授予帳號下全部地區的 FCSandbox 許可權，不包含Function Compute或其他雲端服務許可權。如需限制到指定地區，將 Resource 改為 acs:fcsandbox:<region>:<account-id>:*：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*"
    }
  ]
}

管理指定資源群組

適用於管理一個部門內所有專案的測試和生產 Team，但不能訪問其他部門的管理員。以下樣本將許可權限制到該部門的資源群組：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceGroupId": "<department-resource-group-id>"
        }
      }
    }
  ]
}

RAM 使用者登入控制台後，需要切換到已授權的資源群組。調用列表介面時，也應傳入對應的 resourceGroupID。

管理指定 Team

適用於專案開發人員或生產營運人員。以下策略允許管理指定 Team 及其子資源，但不能建立其他 Team：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": [
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>",
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>/*"
      ]
    }
  ]
}

Team 本身和 Team 子資源使用不同的 ARN，因此需要同時配置兩條 Resource。該策略不包含帳號級 Team 列表許可權。若使用者需要通過控制台選擇 Team，可以增加資源群組範圍的 fcsandbox:ListTeams 許可權，但該使用者將能看到同一資源群組內的 Team 列表。需要嚴格限制 Team 可見範圍時，建議為該專案使用獨立資源群組。

Action

權限原則中的 Action 用於限定 RAM 身份可以調用的雲沙箱 OpenAPI，格式為：

fcsandbox:<action>

例如，CreateTeam 對應 fcsandbox:CreateTeam，CreateVolume 對應 fcsandbox:CreateVolume。配置策略前，請在雲沙箱 OpenAPI 文檔中找到業務需要調用的介面，並根據介面的授權資訊配置 Action。

Resource ARN

acs:fcsandbox:<region>:<account-id>:<resource-path>