Microservices Engine：AI 治理中心 RAM 許可權配置指南

Action（操作類型）

AI 治理中心的 Action 分為兩個層面：

通用 Action——用戶端訪問使用：

介面級 Action——控制台操作使用（按具體 API 細粒度授權）：

Resource（資源範圍）

資源通過 ARN（Alibaba Cloud Resource Name）來標識，格式如下：

acs:airegistry:*:*:instance/saas/{工作空間 ID}/{domain}/{資源類型}/{資源名稱}

其中：

• 工作空間 ID：在 AI 治理中心控制台查看工作空間 ID。

• domain：當前固定填寫 DEFAULT。

• 資源類型：prompt、skill、mcp、agent 等，按資源類別區分。

• 資源名稱：具體資源的名稱。

使用萬用字元 * 可匹配多個資源。

情境一：允許 RAM 使用者通過用戶端唯讀訪問指定工作空間

適用於：應用運行時通過 SDK / API 拉取 Prompt 等資源，只需唯讀許可權。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:Read",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/*"
    }
  ],
  "Version": "1"
}

情境二：允許 RAM 使用者管理指定工作空間的所有資源

適用於：讓團隊成員擁有某個工作空間的完整系統管理權限（控制台 + 用戶端）。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:*",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/*"
    }
  ],
  "Version": "1"
}

情境三：僅允許 RAM 使用者管理 Prompt 資源

適用於：Prompt 工程師只需要操作 Prompt，不需要接觸其他類型的資源。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:Read",
        "airegistry:GetPrompt",
        "airegistry:CreatePrompt",
        "airegistry:UpdatePrompt",
        "airegistry:DeletePrompt",
        "airegistry:ListPromptVersions",
        "airegistry:GetPromptVersion",
        "airegistry:GetPromptVersionDetail",
        "airegistry:CreatePromptVersion",
        "airegistry:UpdatePromptVersion",
        "airegistry:SubmitPromptVersion",
        "airegistry:DeletePromptVersion",
        "airegistry:GetPromptGovernance",
        "airegistry:InvokePromptDebugStream",
        "airegistry:InvokePromptOptimizeStream"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/prompt/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListNamespaces",
        "airegistry:ListNamespaceBySource",
        "airegistry:GetNamespace",
        "airegistry:GetSupportedModels"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/*"
    },
    {
      "Effect": "Allow",
      "Action": "airegistry:ListPrompts",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/prompt"
    }
  ],
  "Version": "1"
}

ListPrompts 是集合級操作，其 Resource 為 .../prompt（不帶 /*）。

如果不需要限定到特定工作空間，也可以使用預定義策略 AliyunAIRegistryPromptFullAccess。

情境四：允許用戶端唯讀訪問，同時允許在控制台管理 Prompt

適用於：應用運行時可通過用戶端拉取資源，同時允許在控制台管理 Prompt。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:Read",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:CreatePrompt",
        "airegistry:UpdatePrompt",
        "airegistry:DeletePrompt",
        "airegistry:CreatePromptVersion",
        "airegistry:UpdatePromptVersion",
        "airegistry:SubmitPromptVersion",
        "airegistry:DeletePromptVersion",
        "airegistry:InvokePromptDebugStream",
        "airegistry:InvokePromptOptimizeStream"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/prompt/*"
    }
  ],
  "Version": "1"
}

情境五：僅允許 RAM 使用者管理 Skill 資源

適用於：Skill 開發人員只需要操作 Skill，不需要接觸其他類型的資源。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:Read",
        "airegistry:Write",
        "airegistry:UpdateSkillDraft",
        "airegistry:DeleteSkillDraft",
        "airegistry:SubmitSkillVersion",
        "airegistry:PublishSkillVersion",
        "airegistry:ForcePublishSkillVersion",
        "airegistry:UpdateSkillBizTags",
        "airegistry:UpdateSkillLabels",
        "airegistry:OnlineSkill",
        "airegistry:OfflineSkill",
        "airegistry:UpdateSkillScope",
        "airegistry:GetSkillDetail",
        "airegistry:GetSkillVersionDetail",
        "airegistry:DownloadSkillVersion",
        "airegistry:DeleteSkill",
        "airegistry:DownloadSkillVersionViaOss"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/skill/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListNamespaces",
        "airegistry:ListNamespaceBySource",
        "airegistry:GetNamespace"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListSkills",
        "airegistry:CreateSkillDraft",
        "airegistry:UploadSkill",
        "airegistry:UploadSkillViaOss"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/skill"
    }
  ],
  "Version": "1"
}

ListSkills、CreateSkillDraft、UploadSkill、UploadSkillViaOss 是集合級操作，其 Resource 為 .../skill（不帶 /*）。

情境六：精確控制到某個具體資源

適用於：只允許 RAM 使用者訪問某一個特定的 Prompt。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:*",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空間 ID}/DEFAULT/prompt/my-prompt"
    }
  ],
  "Version": "1"
}