MaxCompute：準備RAM使用者

RAM使用者介紹

存取控制（Resource Access Management，RAM）是阿里雲提供的集中系統管理使用者身份與資源存取權限的服務。通過RAM，可建立並管理多種身份，並為其授予精微調權限，從而實現對雲資源的安全訪問。

• RAM使用者歸屬於阿里雲帳號，本身不擁有資源，也沒有獨立的計量計費機制。

• RAM使用者在阿里雲各產品中操作產生的費用，將在RAM使用者歸屬的阿里雲帳號下統一計費。

操作流程

1. 已建立阿里雲帳號。

2. 步驟一：建立RAM使用者

   基於RAM產品，通過阿里雲帳號建立RAM使用者帳號。

3. 步驟二：建立存取金鑰AccessKey

   通過阿里雲帳號為RAM使用者建立AccessKey，保證後續RAM使用者提交的作業可以順利運行。

4. （可選）步驟三：為RAM使用者授權

   • 為方便RAM使用者使用DataWorks以可視化方式建立專案，阿里雲帳號需要授予RAM使用者AliyunDataWorksFullAccess許可權。

   • 為方便RAM使用者通過MaxCompute新版控制台進行專案、Quota管理，阿里雲帳號需要授予RAM使用者AliyunMaxComputeFullAccess許可權或自訂RAM權限原則，詳情請參見RAM許可權。

5. 步驟四：將RAM使用者帳號交由其他使用者使用

   將新建立的RAM使用者帳號、AccessKey資訊轉交給其他使用者。

步驟一：建立RAM使用者

1. 登入RAM控制台。

2. 在左側導覽列選擇身份管理 > 使用者。

3. 在使用者頁面，單擊建立使用者。

4. 在创建用户頁面，配置使用者資訊。

5. 在用户账号信息地區，配置如下資訊：

   1. 登录名称：格式为英文字母、数字、“.”、“_”或“-”，最多包含128个字符。

   2. 顯示名稱：最多包含128個字元或漢字。

   3. 標籤：為RAM使用者綁定標籤，便於後續基於標籤的使用者管理。

   4. 添加用户：可選。單擊添加用户，可以大量建立多個RAM使用者。

6. 在访问方式地區，配置如下資訊：

   1. 控制台访问：設定控制台登入密碼、重設密碼原則和多因素認證策略。

   2. 使用永久AccessKey訪問：自動為RAM使用者產生存取金鑰（AccessKey），支援通過API或其他開發工具訪問阿里雲。

7. 單擊確定，完成建立。

8. 在完成建立的用户信息頁面，單擊下载 CSV 文件或單擊操作列的複製，儲存RAM使用者的登入名稱稱和登入密碼。

步驟二：建立存取金鑰AccessKey

如果阿里雲帳號允許RAM使用者自主管理AccessKey，RAM使用者也可以自行建立AccessKey，一個RAM使用者最多可以建立2個AccessKey，操作步驟如下。

1. 登入RAM控制台。

2. 在左側導覽列選擇身份管理 > 使用者。

3. 在使用者頁面，單擊目標使用者登入名稱稱/顯示名稱，進入使用者詳情頁面。

4. 在使用者詳情頁面，單擊认证管理頁簽。

5. 在认证管理頁簽下的AccessKey地區，單擊建立AccessKey。

6. 在彈出的確認當前 AccessKey 用於輪轉對話方塊中，閱讀AccessKey使用情境及使用建議，遵從使用建議選擇更合適的憑據方案。選擇對應使用情境後，勾選我確認必須建立AccessKey，然後單擊繼續建立。

7. 根據介面提示完成安全驗證，並儲存好AccessKey ID和AccessKey Secret。

更多自主管理AccessKey操作，請參見管理RAM使用者安全設定。

（可選）步驟三：為RAM使用者授權

1. 在左側導覽列選擇身份管理 > 使用者。

2. 在使用者頁面，單擊目標使用者登入名稱稱/顯示名稱對應操作列的添加許可權。

3. 在彈出的新增授權面板中，選擇要授予該使用者的權限原則，單擊確認新增授權。

   也可以選中多個RAM使用者，單擊使用者列表下方的添加許可權，為RAM使用者大量授權。

   1. 資源範圍

      指定資源群組授權生效的前提是該雲端服務及資源類型已支援資源群組，詳情請參見支援資源群組的雲端服務。資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。

      • 帳號層級：許可權在當前阿里雲帳號內生效。

      • 資源群組層級：許可權在指定的資源群組內生效。

   2. 授權主體：授權主體即需要添加許可權的RAM使用者。系統會自動選擇當前的RAM使用者。

   3. 權限原則：權限原則是一組存取權限的集合，分為以下兩種。支援批量選中多條權限原則。

      系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），授權時，盡量避免授予不必要的高風險權限原則。

      • 系統策略：由阿里雲建立，策略的版本更新由阿里雲維護，使用者只能使用不能修改。更多資訊請參見支援RAM的雲端服務。

      • 自訂策略：由使用者管理，策略的版本更新由使用者維護。使用者可以自主建立、更新和刪除自訂策略。更多資訊請參見建立自訂權限原則。

4. 在權限原則名稱列表下選擇需要權限原則，添加至已選擇許可權列表。

   • 如果後續RAM使用者需要自主開通MaxCompute服務，需要阿里雲帳號授予RAM使用者AliyunBSSOrderAccess許可權。

   • AliyunDataWorksFullAccess：RAM使用者開通MaxCompute服務、通過舊版控制台新增、刪除專案需要授權此策略。

   • AliyunMaxComputeFullAccess：RAM使用者通過MaxCompute新版控制台進行專案、Quota管理可授權此策略，或自訂權限原則。新版控制台對接RAM的許可權點請參見RAM許可權。

步驟四：將RAM使用者帳號交由其他使用者使用

將建立的RAM使用者帳號交由其他使用者使用時，需要提供如下資訊：

• RAM使用者的帳號資訊，包括：

  • RAM使用者帳號和密碼，即步驟一中儲存的RAM使用者登入名稱稱和登入密碼。

  • RAM使用者的AccessKey ID和AccessKey Secret，即步驟二中建立的AccessKey。

• RAM使用者登入的方式與登入連結。

  RAM使用者可以在通用登入連結或專屬登入地址中輸入帳號資訊登入阿里雲控制台，詳情請參見RAM使用者登入阿里雲控制台。

• RAM使用者所屬阿里雲帳號的網域名稱。

  登入RAM控制台。在左側導覽列單擊概覽，在基礎資訊地區擷取預設網域名稱。