如何為RAM使用者(子帳號)授權 - ApsaraDB for MongoDB

為細分帳號許可權，提升帳號安全性，您可以通過存取控制RAM（Resource Access Management）將ApsaraDB for MongoDB的系統管理權限授權給RAM使用者（子帳號），使用RAM使用者管理ApsaraDB for MongoDB執行個體。

前提條件

已建立RAM使用者，如何建立，請參見建立RAM使用者。

為RAM使用者授權

控制台

RAM控制台提供兩種為RAM使用者授權的操作入口。兩者均支援單個或大量授權，請按操作習慣選擇：

從用户頁面發起：在使用者列表中勾選目標使用者後，授權面板會自動選定授權主體。適合“以使用者為中心”的視角。
從授權頁面發起：需手動選擇授權主體，但可看到帳號下所有授權記錄的總覽。適合“以許可權為中心”的視角。

說明

大規模批量管理建議：當需要為多名職責相同的 RAM 使用者授予相同許可權時，建議先將這些使用者加入同一使用者組，再為使用者組授權（控制台路徑：身份管理 > 使用者組），比為每個使用者單獨授權更易維護。

從使用者頁面發起

登入RAM控制台
在左側導覽列選擇身份管理 > 使用者。
在用户頁面，找到已經建立好的RAM使用者，單擊操作列的新增授權。
您也可以選中多個RAM使用者，單擊使用者列表下方的新增授權，為多個RAM使用者新增授權。

在新增授權面板，為RAM使用者添加許可權。

選擇資源範圍：
- 帳號層級：許可權在當前阿里雲帳號內全部資源生效。適用於通用、無需按資源群組隔離的情境。
- 資源群組層級：許可權僅在指定資源群組內生效。適用於多團隊共用一個帳號、需按資源群組隔離許可權的情境。如果RAM使用者被授予了資源群組層級的許可權，該使用者登入控制台後，必須在頂部導覽列將資源範圍切換到被授權的資源群組，才能正常訪問和管理該資源群組內的資源。
  說明
  1. 系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），這些策略通常包含對所有雲資源的完全控制許可權或對存取控制（RAM）的完全系統管理權限等，請謹慎授予。
  2. 資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。
選擇授權主體：
授權主體即需要添加許可權的RAM使用者。如果是從使用者頁面發起，系統會自動選擇當前的RAM使用者。如果是從授權頁面發起，需要手動選擇RAM使用者，支援批量選中多個。

選擇權限原則：

系統策略：可以直接搜尋並選擇。搜尋技巧：您可以利用搜尋方塊快速定位策略。支援按產品名稱（如ECS、OSS）、權限等級（如ReadOnly、FullAccess）或完整的策略名稱稱進行模糊搜尋。例如，為 RAM 使用者授予財務管理（費用與成本）許可權時，搜尋 BSS 即可找到 AliyunBSSFullAccess（管理費用與成本）等財務相關策略。

以下列出部分常見雲產品對應的系統策略名稱稱，方便快速定位：

雲產品	系統策略名稱稱	許可權說明
費用與成本（財務管理）	`AliyunBSSFullAccess`	管理費用與成本
CloudMonitor	`AliyunCloudMonitorReadOnlyAccess`	唯讀訪問CloudMonitor
智能建站	`AliyunWebsiteBuildFullAccess`	管理智能建站
雲效	`AliyunYunxiaoFullAccess`	管理雲效
百鍊	`AliyunBailianFullAccess`	管理百鍊
雲解析 DNS	`AliyunDNSFullAccess`	管理雲解析 DNS
SSL 憑證	`AliyunYundunCertFullAccess`	管理 SSL 憑證
無影雲手機	`AliyunECDFullAccess`	管理無影雲手機
工單支援	`AliyunSupportFullAccess`	管理工單
資源中心	`AliyunResourceCenterFullAccess`	管理資源中心
AgentBay	`AliyunAgentBayFullAccess`	管理 AgentBay
Security Center	`AliyunYundunSASFullAccess`	管理Security Center

如果搜尋不到目標產品的系統策略，可查閱系統策略參考擷取完整列表，也可以建立自訂策略以滿足更精細的許可權控制需求。

自訂策略：需要先建立自訂權限原則後再來授權。

跨頁勾選限制：權限原則列表分頁顯示，全選操作僅作用於當前頁。翻頁後，已選策略仍保留在已選列表中，但新頁面中的策略不會自動選中，需逐頁勾選。
快速授予管理員權限：如需授予管理員權限，可在搜尋方塊中輸入 AdministratorAccess 搜尋並直接勾選，無需逐頁勾選。選中該策略時會觸發高風險授權提醒。

（可選）填寫備忘：建議填寫授權原因或情境描述，便於後續審計回溯，例如"OSS 上傳任務專項授權"。
提交授權：單擊確認新增授權。

確認授權綁定操作結果，單擊關閉。

從授權頁面發起

登入RAM控制台
在左側導覽列，選擇許可權管理 > 授權。
在授權頁面，單擊新增授權。
在新增授權面板，為RAM使用者添加許可權。具體內容同上。
確認授權綁定操作結果，單擊關閉。

說明

通過 RAM 控制台概覽頁快速開始功能建立的 RAM 使用者，系統會根據所選情境自動授予對應的系統策略，無需手動授權：

超級使用者：自動授予 PowerUserAccess 策略。可管理雲端服務和資源，但不能管理 RAM 身份及其許可權、資來源目錄和資金帳號資訊。
帳號管理員：自動授予 AdministratorAccess 策略。可管理所有阿里雲資源，包括 RAM 身份和許可權。

建議僅在確實需要超級管理員權限時使用上述選項，日常操作請遵循最小許可權原則，僅授予具體業務所需的許可權。

OpenAPI

授予自訂策略

調用CreatePolicy建立一個自訂策略，可以參考權限原則基本元素和權限原則樣本庫概覽。
調用AttachPolicyToUser為RAM使用者授予帳號層級的許可權，注意此處PolicyType選擇Custom。
或者調用AttachPolicy為RAM使用者授予資源群組層級的許可權。

授予系統策略

直接調用AttachPolicyToUser將權限原則綁定至指定RAM使用者，注意此處PolicyType選擇System，PolicyName詳見系統策略參考。
或者調用AttachPolicy為RAM使用者授予資源群組層級的許可權。

系統權限原則

系統權限原則針對所有ApsaraDB for MongoDB資源進行RAM授權，ApsaraDB for MongoDB提供如下兩種系統權限原則。

AliyunMongoDBFullAccess：為RAM使用者授予ApsaraDB for MongoDB的完全系統管理權限。
AliyunMongoDBReadOnlyAccess：為RAM使用者授予ApsaraDB for MongoDB的唯讀存取權限。

自訂RAM授權策略

您可以根據業務需求自訂授權策略，僅向RAM使用者授予指定執行個體的具體操作許可權。關於自訂授權策略文法，請參見Policy結構和文法。

RAM授權MongoDB Resource的方式

目前RAM對ApsaraDB for MongoDB進行授權的資源類型僅支援dbinstance（執行個體）一種。在通過RAM進行授權時，可以在策略的Resource欄位中進行描述，資源的描述方式如下。

資源類型	授權策略中的資源描述方式
dbinstance	acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

參數說明如下。

參數名稱	說明
`$regionid`	地區ID，可以用`*`表示。
`$dbinstanceid`	執行個體ID，可以用`*`表示。
`$accountid`	雲帳號的數字ID，可以用`*`表示。

可授權的Action

在RAM中，您可以對一個ApsaraDB for MongoDB資源進行如下Action的授權。

Action	功能描述
CreateDBInstance	建立執行個體。
ModifyDBInstanceSpec	變更執行個體配置。
DeleteDBInstance	刪除執行個體。
DescribeDBInstances	查詢執行個體。
RestartDBInstance	重啟執行個體。
DescribeSecurityIps	查詢白名單。
ModifySecurityIps	修改白名單。
ResetAccountPassword	重設密碼。
DescribeBackupPolicy	查詢備份策略。
ModifyBackupPolicy	修改備份策略。
CreateBackup	建立備份。
RestoreDBInstance	恢複執行個體。
DescribeAccounts	查詢帳號資訊。
DescribeDBInstancePerformance	查詢執行個體狀態。
DescribeReplicaSetRole	查詢執行個體主從屬性。
ModifyDBInstanceDescription	修改執行個體描述。
ModifyAccountDescription	修改帳號資訊。
DescribeDBInstanceAttribute	查詢執行個體屬性。
RenewDBInstance	續約執行個體。
ModifyDBInstanceNetworkType	修改執行個體網路類型。