ApsaraVideo Media Processing：建立RAM使用者並授權

操作步驟

1. 使用阿里雲帳號（主帳號）或擁有Resource Access Management員許可權（AliyunRAMFullAccess）的RAM使用者登入RAM控制台

2. 在左側導覽列，選擇身份管理 > 用户。

3. 在用户頁面，單擊创建用户。

4. 在创建用户頁面的用户账号信息地區，設定使用者基本資料。

   • 登录名称（必填）：可包含英文字母、數字、半形句號（.）、短劃線（-）和底線（_），最多64個字元。

   • 顯示名稱（選填）：最多包含128個字元或漢字。

   • 标签（選填）：單擊，然後輸入標籤鍵和標籤值，便於後續基於標籤的使用者管理。

   說明

   單擊添加用户，可以大量建立多個RAM使用者。

   勾選使用永久AccessKey訪問。

   啟用後，系統會自動為RAM使用者產生一個AccessKey ID和AccessKey Secret。

   重要

   RAM使用者的AccessKey Secret只在建立時顯示，不支援後續查看，請務必立即下載或複製儲存AccessKey Secret。泄露AccessKey將嚴重威脅您帳號下所有資源的安全。更多資訊詳見建立AccessKey。

5. 單擊操作列的複製，儲存使用者登入名稱稱、登入密碼、AccessKey等使用者資訊。

   重要

   請務必儲存好登入密碼和AccessKey資訊（AccessKey ID和AccessKey Secret），否則後續無法查詢。

6. 返回使用者列表頁面，單擊已建立RAM使用者操作列的添加許可權。

7. 在彈出的新增授權面板，配置授權資訊。

   1. 選擇授權應用範圍。

      類型	說明
      整個雲帳號	許可權在當前阿里雲帳號內生效。
      指定資源群組	許可權在指定資源群組內生效。

   2. 輸入授權主體。

      授權主體即需要添加許可權的RAM使用者。

   3. 選擇權限原則。請參見權限原則說明，瞭解需要授權的產品及支援的權限原則。

      • 使用系統策略

        請在輸入框內輸入策略名稱稱進行搜尋，然後點擊結果中的名稱進行選擇。

      • 使用自訂策略

        使用自訂策略可讓您更精細化的管理帳號許可權，請先參見下文完成建立，再選擇許可權。具體操作，請參見建立自訂策略。

10. 單擊確認新增授權。

權限原則說明

使用ApsaraVideo for Media Processing，您必須授權的產品為ApsaraVideo for Media Processing、Object Storage Service，可選授權的產品為Simple Message Queue (formerly MNS)、播放加速CDN。其中，ApsaraVideo for Media Processing必須使用系統策略授權，其他產品支援系統策略或建立自訂策略。

建立自訂策略

1. 使用阿里雲帳號登入RAM控制台。

2. 在左側導覽列，選擇許可權管理 > 權限原則。

3. 單擊建立權限原則，選擇指令碼編輯頁簽。

4. 設定權限原則。請填寫策略內容，填寫完成後單擊確定。

   說明

   策略內容可選擇匯入系統策略，或將下文中您需要的策略代碼複製到代碼框中。

5. 輸入名稱、備忘等基本資料。

6. 單擊確定完成自訂策略建立。

限制訪問MPS的IP地址、時間段樣本

• RAM使用者只能通過192.0.2.0/24和203.0.113.2這兩個IP地址訪問MPS。

• RAM使用者只能在特定時間段（北京時間2019年8月12日17：00之前）訪問MPS。

{
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "mts:*",
        "mts-inner:*"
      ],
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "acs:SourceIp": [
            "192.0.2.0/24",
            "203.0.113.2"
          ]},
        "DateLessThan": {
          "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
       }
     }
  ]
}

OSS自訂策略樣本

• 對指定的輸入、輸出Bucket有所有操作許可權。

• 查看Bucket列表許可權。

{    
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "oss:ListBuckets"
      ],
      "Resource": "*"
    }, {
      "Effect": "Allow",
      "Action": [
        "oss:*"
      ],
      "Resource": [
        "acs:oss:*:*:$InputBucket",
        "acs:oss:*:*:$InputBucket/*",
        "acs:oss:*:*:$OutputBucket",
        "acs:oss:*:*:$OutputBucket/*
      ]
    }
  ]
}

參數欄位說明：

更多樣本，請參見Bucket Policy常見樣本。

RAM授權策略樣本

授權可查看角色的權限原則。

{
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ram:ListPoliciesForRole"
      ],
      "Resource": "*"
    }
  ]
}

MNS自訂策略樣本

• 授權可查看所有的Queue、Topic列表。

• 但僅對指定的$QueueName，$TopicName有全部讀寫權限。

{
  "Version": "1",
    "Statement": [{
      "Effect":"Allow",
      "Action":[
        "mns:ListQueue",
        "mns:ListTopic",
        "mns:GetQueueAttributes",
        "mns:GetTopicAttributes"
      ],
      "Resource":"acs:mns:*:*:*"
    }, {
      "Effect": "Allow",
      "Action": "mns:*",
      "Resource": [
        "acs:mns:$Region:$Uid:/queues/$QueueName", 
        "acs:mns:$Region:$Uid:/topics/$TopicName"
      ]
    }
  ]
}

參數欄位說明：

更多樣本，請參見授權策略和樣本。

CDN授權策略樣本

• 授權可查看所有的CDN加速網域名稱。

• 但僅對指定的CDN加速網域名稱$DomainName有全部讀寫權限。

{
  "Version": "1",
  "Statement": [{
        "Effect": "Allow",
        "Action": "cdn:*",
        "Resource": "acs:cdn:*:$Uid:domain/$DomainName"
        },{
        "Effect": "Allow",
        "Action": "cdn:Describe*",
        "Resource": "*"
      }
  ]
}

參數欄位說明：