許可權管理 - Alibaba Cloud Model Studio

阿里雲百鍊許可權管理支援基於控制台頁面級、模型級的多維度許可權控制，滿足多地區、多使用者的複雜組織架構需求。

阿里雲百鍊身份管理

單個業務空間是進行細粒度許可權管理（模型和使用者）與阿里雲費用分帳的最小管理單元。

百鍊的業務空間許可權管理基於三種角色：

超級管理員：可以跨業務空間統一管理使用者許可權、空間可用模型、空間模型限流和 API Key。
業務空間管理員：僅負責特定業務空間內的使用者許可權與資源管理。
普通使用者：依據被分配的許可權使用資源。

業務空間許可權	超級管理員（擁有 AliyunBailianFullAccess 系統策略）	業務空間管理員	普通使用者
允許特定模型調用 & 限流	支援	不支援	不支援
允許特定模型調優	支援	不支援	不支援
使用者管理	支援	支援	不支援
使用者頁面存取管理	支援	支援	不支援
API Key 管理	支援	支援	不支援
存取/使用被授權的業務空間、頁面和資源	支援	支援	支援
OpenAPI 介面許可權	不支援	不支援	不支援

超級管理員

包含以下兩類帳號：

阿里雲主帳號。您可以在百鍊控制台右上方查看：

單擊頭像圖示展開帳號下拉面板，帶有主帳號標籤的條目即為超級管理員帳號。
擁有 AliyunBailianFullAccess（百鍊管理員）系統策略的 RAM 使用者（帳號）。在百鍊控制台右上方單擊頭像圖示展開帳號下拉面板，可查看當前登入的 RAM 使用者帳號資訊。該 RAM 使用者可透過百鍊的全域管理選單（新加坡 | 維吉尼亞 | 北京 | 中國香港 | 法蘭克福），為任意 RAM 使用者（包括自己）授予任意地區、任意業務空間的幾乎所有許可權。（僅 OpenAPI 介面許可權可由阿里雲主帳號添加。）

RAM 使用者是阿里雲主帳號建立的子帳號，用於安全地為團隊成員分配雲資源和許可權。

超級管理員可透過百鍊的全域管理選單（新加坡 | 維吉尼亞 | 北京 | 中國香港 | 法蘭克福）管理多個業務空間。功能包含：

建立業務空間並管理業務空間名稱。
對所有業務空間進行模型與模型限流管理。
對所有業務空間進行帳號（使用者）管理。
管理所有 API Key。

說明如需啟用模型監控功能，建議使用阿里雲主帳號在控制台中進行一次性授權和開通。

業務空間管理員

業務空間管理員是指可存取某個特定業務空間權限管理頁面的阿里雲 RAM 使用者。該使用者可透過該頁面管理此業務空間。

管理員許可權包含存取該業務空間下所有頁面的許可權。

在編輯許可權對話方塊中，選擇其他頁簽，在許可權名稱清單中勾選管理員，然後單擊確定。

業務空間許可權管理

百鍊按地理地區劃分資源和業務空間。單個業務空間不能跨地區存在。即使不同地區的預設業務空間，也是不同的業務空間。單擊前往全域管理選單（新加坡 | 維吉尼亞 | 北京 | 中國香港 | 法蘭克福）。

百鍊的業務空間同時也是進行細粒度許可權管理的最小管理單元，可管理：

業務空間許可權	超級管理員（擁有 AliyunBailianFullAccess 系統策略）	業務空間管理員	普通使用者
允許特定模型調用 & 限流	支援	不支援	不支援
允許特定模型調優	支援	不支援	不支援
使用者管理	支援	支援	不支援
使用者頁面存取管理	支援	支援	不支援
API Key 管理	支援	支援	不支援
存取/使用被授權的業務空間、頁面和資源	支援	支援	支援
OpenAPI 介面許可權	不支援	不支援	不支援

限制模型調用：管理某個模型可否在該業務空間中被調用（控制台與 API），並設定該模型的請求速率限制和 Token 限制。

預設業務空間不支援此限制，所有模型均可調用且無法限流。

在模型列表中，透過模型調用列的開關控制模型授權狀態，並在當前空間限流列設定請求速率限制值、Token 限制值及對應的時間單位（支援 1 秒、2 秒、3 秒、5 秒、10 秒、30 秒、60 秒）。若未設定限流，該業務空間將共用帳號層級的總限流配額。
限制模型訓練：管理某個模型可否在該業務空間中進行調優（透過控制台和 API），以及調優後部署。

預設業務空間不支援此限制，所有支援調優的模型均可調優，且調優完成後可部署。

在業務空間的模型列表頁簽中，搜尋並找到目標模型，在模型授權區域的模型訓練列中開啟或關閉授權開關，即可控制該模型的訓練許可權。
使用者（帳號）控制台許可權管理：管理某個 RAM 使用者能否使用該業務空間控制台的功能，以及可使用該業務空間控制台的哪些功能。控制台頁面許可權不影響該使用者透過 API Key 調用模型（API Key 的許可權由其所屬業務空間的模型授權決定）。

阿里雲主帳號無須此設定，可存取所有業務空間的所有頁面。

在編輯許可權對話方塊中，選擇模型頁簽，在許可權清單中找到並勾選模型體驗-操作許可權項。左側導覽窗格中的體驗中心對應許可權清單中的模型體驗-操作項。

API Key 許可權

單個 API Key 在單一地區內只能歸屬於一個業務空間和一個使用者，且不能轉移給其他業務空間或其他使用者。API Key 可調用的功能與其模型限流，與其所屬業務空間的許可權保持一致，且不受使用者（帳號）控制台許可權管理的影響。您也無須為不同模型（如文生文、文生圖、語音合成）建立不同的 API Key。

API Key 的狀態會隨其歸屬使用者（帳號）的操作而變化，如下所示。主帳號和具備該業務空間 API Key 許可權的 RAM 使用者均可刪除 API Key。

說明

自 2026 年 3 月 25 日起，在中國（北京）地區建立的所有新 API Key 均歸屬於主帳號。
2026 年 3 月 25 日前由 RAM 使用者建立的 API Key 與該 RAM 使用者繫結。在 RAM 控制台刪除該 RAM 使用者時，百鍊會同步刪除這些 API Key，且無法恢復。刪除 RAM 使用者前，請確認其名下 API Key 的使用情況；如需保留呼叫能力，請使用主帳號或其他帳號重新建立 API Key，並更新業務配置。
2026 年 3 月 25 日及之後建立的 API Key 不會與 RAM 使用者級聯。刪除 RAM 使用者後，這些 API Key 仍會保留並可繼續使用。

觸發操作	主帳號的 API Key	RAM 帳號的 API Key
主動刪除 API Key	支援（主帳號預設具備許可權；RAM 使用者需具備所屬業務空間的 API Key 管理許可權）。刪除後立即失效，無法恢復。	支援（主帳號預設具備許可權；RAM 使用者需具備所屬業務空間的 API Key 管理許可權）。刪除後立即失效，無法恢復。
將帳號移出業務空間	—	該 Key 失效。帳號重新加入業務空間後，該 API Key 會恢復生效。
在RAM 控制台刪除帳號/角色	—	2026 年 3 月 25 日前建立的 API Key：同步刪除，無法恢復。 2026 年 3 月 25 日及之後建立的 API Key：不受影響，繼續有效。
為 API Key 設定 IP 白名單	所有地區的 API Key 均支援。美國（維吉尼亞）地區僅支援 IPv4。	所有地區的 API Key 均支援。美國（維吉尼亞）地區僅支援 IPv4。

管理 API Key：在百鍊控制台左側導覽窗格中選擇帳號管理，找到目標 RAM 使用者，單擊權限管理為該使用者添加 API Key 許可權。這會授予該 RAM 使用者在此業務空間中建立、刪除、查看所有 API Key的許可權。

在編輯許可權對話方塊中，切換到其他頁簽並勾選API Key。

OpenAPI 介面許可權

預設情況下，RAM 使用者無法調用百鍊應用的資料、知識庫、Prompt 工程等功能的 Open API。

若要調用這些 API，阿里雲主帳號需要在 RAM 控制台為 RAM 使用者添加以下許可權之一：

AliyunBailianDataFullAccess：允許調用百鍊應用 API 目錄下的所有 API。
AliyunBailianDataReadOnlyAccess：允許調用百鍊應用 API 目錄下的唯讀 API，例如查詢檔案狀態和查詢知識庫建立任務狀態。

如需對知識庫實作更細粒度的許可權控制，您可以在 RAM 控制台建立自訂策略，僅授予所需操作的許可權。

知識庫相關 Action：sfm:CreateIndex、sfm:UpdateIndex、sfm:DeleteIndex、sfm:SubmitIndexJob。

自訂策略範例：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sfm:CreateIndex",
        "sfm:UpdateIndex",
        "sfm:DeleteIndex",
        "sfm:SubmitIndexJob"
      ],
      "Resource": "*"
    }
  ]
}

建立策略後，將其附加到 RAM 使用者，即可授予知識庫的最小 CRUD 許可權。完整 Action 清單請參見 RAM 授權。

應用於生產環境

業務空間規劃策略
- 按環境劃分（建議）：為開發、測試、預發和生產環境建立獨立的業務空間，實現嚴格的環境隔離。
  - project-dev-workspace
  - project-test-workspace
  - project-prod-workspace
- 按業務線劃分：為公司內不同的業務部門（如行銷、售後、設計）建立獨立的業務空間，便於許可權和成本管理。
  - marketing-team-workspace
  - customer-team-workspace
限流策略
- 將主帳號總配額按比例分配給各業務空間，並預留一部分作為緩衝，以應對突發流量尖峰。
  
  範例：帳號總配額為 1,000 QPM。分配方案：
  - project-prod-workspace: 600 QPM (60%)
  - project-test-workspace: 200 QPM (20%)
  - project-dev-workspace: 100 QPM (10%)
  - 預留緩衝：100 QPM (10%)

帳單查看與預付費許可權管理

預設情況下，RAM 使用者無法查看阿里雲帳單或購買阿里雲預付費產品。若要為 RAM 使用者授予這些許可權，需要在 RAM 控制台為其添加特定許可權。

說明以下許可權將授予 RAM 使用者查看所有阿里雲產品帳單，或購買所有阿里雲預付費產品的許可權。請謹慎授予。

若要查看阿里雲帳單，請為 RAM 使用者添加 AliyunBSSReadOnlyAccess 許可權。
若要購買阿里雲預付費產品，請為 RAM 使用者添加 AliyunBSSOrderAccess 許可權。

常用設定

設定超級管理員

此操作必須由阿里雲帳號（主帳號）或具備 AliyunRAMFullAccess 系統策略的 RAM 使用者執行。

前往 RAM 控制台，為 RAM 使用者添加 AliyunBailianFullAccess（百鍊管理員）許可權和 AliyunBSSOrderAccess（用於購買阿里雲預付費產品）許可權。
設定完成後，您即可使用百鍊的全域管理選單（新加坡 | 維吉尼亞 | 北京 | 中國香港 | 法蘭克福），為任意 RAM 使用者（包括自己）授予任意地區、任意業務空間的任意許可權，並購買百鍊預付費產品。

設定業務空間管理員

此操作必須由超級管理員或業務空間管理員執行。

在百鍊控制台左側導覽窗格中選擇帳號管理，找到目標 RAM 使用者，單擊權限管理為該使用者添加管理員許可權。

在編輯許可權對話方塊中，切換到其他頁簽並勾選管理員。

設定模型調用許可權

若您不使用預設業務空間，請確保該業務空間已為特定模型啟用模型調用許可權。（此操作需要超級管理員。）
若要從百鍊控制台調用模型，請在百鍊控制台左側導覽窗格中選擇帳號管理，找到目標 RAM 使用者，單擊權限管理為該使用者添加以下許可權：（此操作需要超級管理員或業務空間管理員。）
1. 模型體驗-操作許可權，用於在控制台上調用模型。
2. 批量推理-操作許可權，用於支援批量推理功能。
3. 模型監控-操作許可權，用於查看模型調用與評測的 Token 消耗量。
若要使用百鍊 API 調用模型，請在對應業務空間中為 RAM 使用者建立或分配 API Key。更多細節請參見本文中的 API Key 許可權。（此操作需要超級管理員或業務空間管理員。）

設定 API 模型調優許可權

若您不使用預設業務空間，請確保該業務空間已為特定模型啟用模型調優（訓練）許可權。（此操作需要超級管理員。）
請在對應業務空間中為 RAM 使用者建立或分配 API Key。更多細節請參見本文中的 API Key 許可權。（此操作需要超級管理員或業務空間管理員。）

常見問題

1. 如何擷取業務空間 ID？

請參見應用開發中的擷取 Workspace ID。

2. 如何從子業務空間調用模型？

無須特殊設定，直接使用子業務空間的 API Key 即可。

3. 如何使用特定業務空間中的應用？

若要透過 API 管理和調用特定業務空間中的應用，必須同時設定 APP ID 和 Workspace ID。

4. 已配置 AliyunBailianFullAccess 但仍無法管理業務空間怎麼辦？

RAM 許可權（如 AliyunBailianFullAccess）與百鍊平台內部的業務空間層級許可權是兩套獨立的許可權體系。RAM 許可權僅控制對百鍊控制台的存取，而業務空間內的管理許可權（如編輯業務空間、管理成員）必須由主帳號或超級管理員在百鍊控制台中單獨授予。

若某個子帳號已擁有 AliyunBailianFullAccess 許可權，但仍收到無權操作業務空間的提示，請執行以下步驟：

使用主帳號登入百鍊控制台。
單擊右上方設定圖示，在左側導覽窗格中選擇帳號管理。
找到需要授權的子帳號，單擊權限管理。
為該子帳號添加對應業務空間的管理許可權。

5. 如何刪除業務空間？

前往阿里雲百鍊控制台，在頁面右上方選擇目標地區，進入業務空間管理頁面，在操作列中選擇刪除；或調用 DeleteWorkspace API（DELETE /modelstudio/workspaces/{workspaceId}）。刪除後的業務空間無法恢復。

刪除前提：只有滿足以下條件的業務空間才能刪除：

該業務空間不是預設業務空間。
該業務空間未用於購買其他產品，例如妙筆。
在許可權管理中，該業務空間未授予任何 RAM 使用者或 RAM 角色。
該業務空間中不存在任何資源，例如 API Key、模型部署或知識庫。

清理依賴項：刪除業務空間前，請先清理該空間中各子產品的資源：

子產品	清理內容
CCAI 會話分析 AIO	刪除該業務空間中的所有應用，並確認沒有殘留的資料或 API Key
多模態互動套件	刪除所有應用
通義聽悟	在工作台中搜尋「聽悟」並刪除對應的業務空間
RAG 知識庫	刪除知識管理、知識檢索和知識問答下的所有服務
資料連線 / RAG 資料集 / Connector	刪除所有 Connector、已上傳的檔案、資料表和 Connector 連線
模型訓練 && 推理	刪除所有資料集、訓練任務、我的模型和部署
可觀測性資源	停用模型監控、審計日誌、推理日誌資料投遞和應用可觀測性
評測資源	終止或刪除未完成的模型評測和應用評測任務

若刪除失敗並返回 failReasons，請按提示清理對應資源後重試。

6. 如何對知識庫和長期記憶實現更細粒度的許可權控制？

您可以在 RAM 控制台建立自訂策略，僅授予所需操作的許可權。

知識庫相關 Action：sfm:CreateIndex、sfm:UpdateIndex、sfm:DeleteIndex、sfm:SubmitIndexJob。長期記憶相關 Action：sfm:CreateMemory、sfm:UpdateMemory、sfm:DeleteMemory。

自訂策略範例：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sfm:CreateIndex",
        "sfm:UpdateIndex",
        "sfm:DeleteIndex",
        "sfm:SubmitIndexJob",
        "sfm:CreateMemory",
        "sfm:UpdateMemory",
        "sfm:DeleteMemory"
      ],
      "Resource": "*"
    }
  ]
}

建立策略後，將其附加到 RAM 使用者，即可授予知識庫和長期記憶的最小 CRUD 許可權。完整 Action 清單請參見 RAM 授權。