建立可信實體為阿里雲帳號的RAM角色 - ApsaraVideo Media Processing

可信實體為阿里雲帳號的RAM角色主要用於解決跨帳號訪問和臨時授權問題。該RAM角色允許可信的阿里雲帳號下的RAM使用者扮演。本文為您介紹在進行解密播放之前如何設定RAM使用者角色許可權。

前提條件

請先建立RAM使用者並授權訪問MPS服務。詳細操作，請參見建立RAM使用者並授權。

建立角色

使用Resource Access Management員登入RAM控制台。
在左側導覽列，選擇身份管理 > 角色。
在角色頁面，單擊創建角色。
在創建角色頁面，選擇信任主體類型為雲帳號，然後設定具體的阿里雲帳號，最後單擊确定。
- 當前雲帳號：當您允許當前阿里雲帳號下的所有RAM使用者和RAM角色扮演當前正在建立的RAM角色時，您可以選擇當前雲帳號。
- 其他雲帳號：當您允許其他阿里雲帳號下的所有RAM使用者和RAM角色扮演當前正在建立的RAM角色時，您可以選擇其他雲帳號，然後輸入其他阿里雲帳號（主帳號）ID。該項主要針對跨阿里雲帳號的資源授權訪問情境，相關教程，請參見跨阿里雲帳號訪問資源。您可以在安全設定頁面查看阿里雲帳號（主帳號）ID。
（可選）如果您想設定RAM角色只能被可信阿里雲帳號下的指定RAM使用者或RAM角色扮演，您可以單擊切換編輯器，在編輯器中修改RAM角色的信任策略。

編輯器支援可視化編輯和指令碼編輯兩種模式，您可以任選其一。以下樣本表示當前建立的RAM角色只能被當前阿里雲帳號（AccountID=100******0719）下的RAM使用者Alice扮演。
- 可視化編輯
  
  在主體中指定具體的RAM使用者名稱稱。
- 指令碼編輯
  
  在Principal的RAM欄位中指定具體的RAM使用者。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
在創建角色對話方塊，輸入角色名称，然後單擊确定。

為角色授權

設定角色的許可權。
1. 在角色頁面，單擊目標RAM角色操作列的新增授权。
2. 資源範圍選擇賬號級別。
  授權範圍
  說明
  賬號級別
  許可權在當前阿里雲帳號內生效。
  资源组级别
  許可權在指定資源群組內生效。
3. 授权主体系統自動填入當前的RAM使用者，無需更改。
4. 权限策略選擇系统策略，在策略名称列中單擊需要添加的權限原則名稱，添加後單擊確認新增授權。添加完權限原則後單擊关闭。
  說明
  如果您想要調整RAM使用者的STS許可權（例如，修改、增加、刪除等），只需回到本步驟操作即可。
關聯RAM使用者和角色。
1. 在RAM控制台左側導覽列中，選擇权限管理 > 权限策略。在權限原則頁簽下，單擊创建权限策略。
2. 選擇腳本編輯。
3. 將Resource欄位，修改成您所擷取的ARN參數。Action參數根據您的實際需要設定。
4. 單擊頁面上方的優化策略，然後單擊執行，對權限原則內容進行進階最佳化。
  進階權限原則最佳化功能會完成以下任務：
  - 拆分不相容操作的資源或條件。
  - 收縮資源到更小範圍。
  - 去重或合并語句。
5. 在创建权限策略頁面，單擊确定。
6. 在创建权限策略對話方塊，輸入策略名稱稱和备注，然後單擊确定。
7. 在左側導覽列，選擇身份管理 > 用戶。
8. 找到您所設定的RAM使用者，單擊操作列的添加权限。
9. 选择权限選擇自定义策略，單擊需要添加的許可權。完成後單擊確認新增授權，完成添加許可權。

授權範圍	說明
賬號級別	許可權在當前阿里雲帳號內生效。
资源组级别	許可權在指定資源群組內生效。