阿里雲百鍊許可權管理支援基於控制台頁面級、模型級的多維度許可權控制，滿足多地區、多使用者的複雜組織架構需求。
阿里雲百鍊身份管理
單個業務空間是進行精微調權限管理（模型、使用者）和阿里雲賬單分賬的最小嵌入式管理單元。
百鍊的業務空間許可權管理基於三種角色：
- 超級管理員：可跨空間統一系統管理使用者許可權、空間可用模型、空間模型限流和 API Key。
- 業務空間管理員：只負責某個特定業務空間內的使用者權限和資源管理。
- 普通使用者：根據分配的許可權使用資源。
業務空間許可權 | 超級管理員（擁有AliyunBailianFullAccess系統策略） | 業務空間管理員 | 普通使用者 |
|---|---|---|---|
允許特定模型調用 & 限流 | 支援 | 不支援 | 不支援 |
允許特定模型調優 | 支援 | 不支援 | 不支援 |
使用者管理 | 支援 | 支援 | 不支援 |
使用者可用頁面管理 | 支援 | 支援 | 不支援 |
API Key 管理 | 支援 | 支援 | 不支援 |
訪問/使用被授權的空間、頁面、資源 | 支援 | 支援 | 支援 |
不支援 | 不支援 | 不支援 |
超級管理員
包含以下兩類帳號：
-
阿里雲主帳號，可在百鍊控制台右上方看到：
單擊頭像表徵圖展開帳號下拉麵板，帶有主帳號標識的條目即為超級管理員帳號。
-
擁有AliyunBailianFullAccess （百鍊管理員）系統策略的 RAM 使用者（帳號）。可在百鍊控制台右上方單擊頭像表徵圖展開帳號下拉麵板，查看當前登入的RAM使用者帳號資訊。該 RAM 使用者可以通過百鍊的全域管理菜單（ 新加坡 | 維吉尼亞 | 北京｜中國香港｜法蘭克福），為任意 RAM 使用者（包括自己）授權任意地區、任意空間的幾乎所有許可權。（僅 OpenAPI 介面許可權 需要阿里雲主帳號可以添加）
RAM使用者是阿里雲主帳號建立的子帳號，用於安全地向團隊內成員分配雲資源和許可權。
超級管理員可以使用百鍊的全域管理菜單（ 新加坡 | 維吉尼亞 | 北京｜中國香港｜法蘭克福），進行多業務空間管理。功能包含：
- 建立業務空間，管理業務空間名稱。
- 對所有業務空間進行模型管理、模型限流。
- 對所有業務空間進行帳號（使用者）管理。
- 管理所有的 API Key。
說明如需開通模型監控功能，建議使用阿里雲主帳號在控制台進行一次性授權和開通。
業務空間管理員
指的是擁有訪問某個業務空間权限管理頁面的阿里雲 RAM 使用者。可以通過該頁面管理該業務空間。
管理員許可權包含可訪問該業務空間下所有頁面的許可權。
在編輯許可權彈窗中，選擇其他頁簽，在許可權名稱列表中勾選管理員，然後單擊確定。
業務空間許可權管理
百鍊按地理地區劃分資源和業務空間，單個業務空間不能跨地區存在。即使各個地區的預設業務空間，也是不同的空間。單擊前往全域管理菜單（ 新加坡 | 維吉尼亞 | 北京｜中國香港｜法蘭克福）。
同時百鍊的業務空間是進行精微調權限管理的最小嵌入式管理單元，它可管理：
業務空間許可權 | 超級管理員（擁有AliyunBailianFullAccess系統策略） | 業務空間管理員 | 普通使用者 |
|---|---|---|---|
允許特定模型調用 & 限流 | 支援 | 不支援 | 不支援 |
允許特定模型調優 | 支援 | 不支援 | 不支援 |
使用者管理 | 支援 | 支援 | 不支援 |
使用者可用頁面管理 | 支援 | 支援 | 不支援 |
API Key 管理 | 支援 | 支援 | 不支援 |
訪問/使用被授權的空間、頁面、資源 | 支援 | 支援 | 支援 |
不支援 | 不支援 | 不支援 |
-
限制模型調用：管理某個模型可否在該業務空間調用（控制台& API）並設定該模型的请求数限流和 Token限流。
預設業務空間無法設定此限制，所有模型均可調用，且無法限流。
在模型列表中，通過模型調用列的開關控制模型授權狀態，並在當前空間限流列分別佈建要求數限流值與Token限流值及對應的時間單位（支援 1 秒、2 秒、3 秒、5 秒、10 秒、30 秒、60 秒）。未設定限流時，該空間將共用帳號層級的總限流配額。
-
限制模型訓練：管理某個模型可否在該業務空間進行調優（通過控制台和API）和調優後部署。
預設業務空間無法設定此限制，所有支援調優的模型均可調優以及調優完成後部署。
在業務空間的模型列表頁簽中，搜尋並找到目標模型，在模型授權地區的模型訓練列中，開啟或關閉授權開關即可控制該模型的訓練許可權。
-
使用者（帳號）控制台許可權管理：管理某個 RAM 使用者是否能使用該業務空間控制台的功能以及能使用該業務空間控制台的哪些功能。控制台頁面許可權不影響該使用者通過 API Key 調用模型（API Key 的許可權由所屬業務空間的模型授權決定）。
阿里雲主帳號無須設定，可以訪問所有業務空間的所有頁面。
在編輯許可權彈窗中，選擇模型頁簽，在許可權列表中找到並勾選模型體驗-操作許可權項。左側導覽功能表中的模型體驗與許可權列表中的模型體驗-操作相對應。
API Key 許可權
單個 API Key 只能歸屬一個地區內的一個業務空間和一個使用者，且不能轉移給其他業務空間或其他使用者。API Key 的可調用的功能和模型限流與归属业务空间的許可權保持一致，不受使用者（帳號）控制台許可權管理的影響，也無需為不同模型（如文生文、文生圖、語音合成）建立不同的API Key。
API Key 的狀態隨歸屬使用者（帳號）操作的變化：
說明自 2026年3月25日開始，华北2（北京）地區的所有新建立的 API Key 均歸屬主帳號。
| 觸發操作 | 主帳號的 API Key | RAM 帳號的 API Key |
|---|---|---|
| 主動刪除 API Key | 不支援 失效，不可恢複 | 不支援 失效，不可恢複 |
| 將帳號移出業務空間 | — | 不支援 失效
|
在RAM 控制台刪除帳號/角色 | — | 不支援 失效，不可恢複 |
| 為 API Key 設定 IP 訪問白名單 | 全部地區的 API Key 均支援設定。美國（維吉尼亞）地區僅支援 IPv4。 | 全部地區的 API Key 均支援設定。美國（維吉尼亞）地區僅支援 IPv4。 |
管理 API Key：在百鍊控制台左側導覽列中選擇账号管理，找到目標 RAM 使用者並單擊权限管理，為該使用者添加 API Key 許可權。賦予對應 RAM 使用者建立、刪除、查看該空間下所有 API Key的許可權。
在編輯許可權彈窗中，切換到其他頁簽，勾選API Key即可。
OpenAPI 介面許可權
RAM 使用者預設無權調用百鍊應用的資料、知識庫、Prompt工程等功能的Open API。
若需調用，需要阿里雲主帳號在 RAM 控制台為 RAM 使用者添加以下許可權之一：
- AliyunBailianDataFullAccess：可調用百鍊應用 API目錄下的所有API。
- AliyunBailianDataReadOnlyAccess：可調用百鍊應用 API目錄下的唯讀類API，例如查詢檔案狀態、查詢知識庫建立任務狀態等。
如需對知識庫實現更細粒度的許可權控制，可在 RAM 控制台建立自訂策略，僅授予所需操作的許可權。
知識庫相關 Action：sfm:CreateIndex、sfm:UpdateIndex、sfm:DeleteIndex、sfm:SubmitIndexJob。
自訂策略樣本：
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sfm:CreateIndex",
"sfm:UpdateIndex",
"sfm:DeleteIndex",
"sfm:SubmitIndexJob"
],
"Resource": "*"
}
]
}
建立策略後，將其附加到 RAM 子使用者，即可授予知識庫的最小 CRUD 許可權。完整 Action 列表請參考「授權資訊」。
應用於生產環境
-
空間規劃策略
-
按環境劃分（推薦）：為開發、測試、預發和生產環境建立獨立的業務空間，實現嚴格的環境隔離。
project-dev-workspaceproject-test-workspaceproject-prod-workspace
-
按業務線劃分：為公司內不同的業務部門（如市場、售後、設計）建立獨立的業務空間，便於許可權和成本管理。
marketing-team-workspacecustomer-team-workspace
-
-
限流策略
-
將主帳號總配額按比例分配給各業務空間，並預留一部分作為緩衝，以應對突發流量。
樣本：帳號總配額為 1000 QPM，分配方案。
project-prod-workspace: 600 QPM (60%)project-test-workspace: 200 QPM (20%)project-dev-workspace: 100 QPM (10%)- 預留緩衝：100 QPM (10%)
-
賬單查看與預付費許可權管理
RAM 使用者預設無權查看阿里雲賬單和購買阿里雲預付費產品，如需為 RAM 使用者開通相關許可權，需要在 RAM 控制台為 RAM 使用者添加特定許可權。
說明以下許可權將授予 RAM 使用者查看阿里雲所有產品的賬單或購買阿里雲所有預付費產品的許可權，請謹慎授權。
- 查看阿里雲賬單需要為 RAM 使用者添加
AliyunBSSReadOnlyAccess許可權。 - 購買阿里雲預付費產品需要為 RAM 使用者添加
AliyunBSSOrderAccess許可權。
常用設定
設定超級管理員
需要 阿里雲帳號（主帳號）或具備AliyunRAMFullAccess系統策略的 RAM 使用者操作。
- 前往 RAM 控制台，為 RAM 使用者添加 AliyunBailianFullAccess （百鍊管理員）許可權和
AliyunBSSOrderAccess（購買阿里雲預付費產品）許可權。 - 設定完成後即可通過百鍊的全域管理菜單（ 新加坡 | 維吉尼亞 | 北京｜中國香港｜法蘭克福），為任意 RAM 使用者（包括自己）授權任意地區、任意空間的任意許可權，併購買百鍊的預付費產品。
設定業務空間管理員
需要超級管理員或業務空間管理員操作。
-
在百鍊控制台左側導覽列中選擇账号管理，找到目標 RAM 使用者並單擊权限管理，為該使用者添加管理員許可權。
在編輯許可權彈窗中，切換到其他頁簽，勾選管理員。
設定模型調用許可權
-
若不使用預設業務空間，需保證業務空間已經為特定模型開通了模型調用許可權。（需要超級管理員操作）
-
若需要通過百鍊的控制台調用，需要在百鍊控制台左側導覽列中選擇账号管理，找到目標 RAM 使用者並單擊权限管理，為該使用者添加：（需要超級管理員或業務空間管理員操作）
- 模型體驗-操作 許可權，用於在控制台上調用模型。
- 批量推理-操作 許可權，用於支援 批量推理功能。
- 模型監控-操作 許可權，用於查看模型調用、評測的 Token 消耗量。
-
若需要通過百鍊的 API 呼叫，需要為 RAM 使用者在對應業務空間建立或分配 API Key，更多細節請參考本文的：API Key 許可權。（需要超級管理員或業務空間管理員操作）
設定 API 模型調優許可權
- 若不使用預設業務空間，需保證業務空間為特定模型開通了模型調優（訓練）許可權。（需要超級管理員操作）
- 為 RAM 使用者在對應業務空間建立或分配 API Key，更多細節請參考本文的：API Key 許可權。（需要超級管理員或業務空間管理員操作）
常見問題
1. 如何擷取業務空間 ID 呢？
請參考應用開發的擷取Workspace ID。
2. 如何使用子業務空間調用模型？
無需特殊設定，使用子業務空間的 API Key 即可。
3. 如何使用特定業務空間的應用？
使用 API 管理、調用特定業務空間的應用需要同時設定 APP ID 和 Workspace ID。
4. 已配置 AliyunBailianFullAccess 但仍無法管理業務空間怎麼辦？
RAM 許可權（如 AliyunBailianFullAccess）與百鍊平台內部的業務空間層級許可權是兩套獨立的許可權體系。RAM 許可權僅控制對百鍊控制台的存取權限，而業務空間內的系統管理權限（如編輯空間、管理成員等）需要由主帳號或超級管理員在百鍊控制台中單獨授權。
如果子帳號已擁有 AliyunBailianFullAccess 許可權但仍提示無許可權操作業務空間，請按以下步驟處理：
- 使用主帳號登入百鍊控制台。
- 單擊右上方設定表徵圖，在左側導覽列中選擇账号管理。
- 找到需要授權的子帳號，單擊权限管理。
- 為該子帳號添加對應業務空間的系統管理權限。