建立RAM使用者並授權 - Resource Access Management

本指南將協助你快速建立RAM使用者並安全地分配許可權，實現雲資源的精細化存取控制。

為什麼需要RAM使用者？

阿里雲主帳號類似於Linux系統中的root使用者，許可權極大，但不適合日常使用。當您的企業有多位員工需要協同操作雲資源時，建議您採用存取控制（RAM）在主帳號下建立多個RAM使用者，並為每個使用者指派最少的、滿足其工作所需的許可權。

對比項	主帳號	RAM使用者
身份角色	資源的擁有者，擁有全部資產和最高許可權。	資源和服務的使用者，許可權由主帳號（或有管理員權限的RAM使用者）授予，通常與某個確定的人或應用程式對應。
是否擁有雲資源	是	否，資源歸屬主帳號
預設許可權	全部許可權，不可限制。	預設無任何許可權，需主帳號（或有管理員權限的RAM使用者）授權。
使用建議	僅用於授權、付費、帳號管理等關鍵管理操作。	日常開發、營運，部署等。

配置流程

建立RAM使用者：通過控制台快速開始來建立一個具有審計管理員許可權的RAM 用户。
RAM使用者登入：用新建立的RAM使用者登入控制台，並完成初始化配置。
驗證RAM使用者權限：快速驗證授權是否成功。

已有獨立阿里雲帳號無法直接轉換為RAM 使用者或歸入當前主帳號管理。如需為已有人員建立RAM 使用者，請在主帳號下建立RAM 使用者並完成授權。如需統一管理多個獨立阿里雲帳號的賬單和財務，可使用資來源目錄的邀請成員功能將已有帳號加入資來源目錄。

第一步：建立RAM使用者

快速建立使用者並授權

使用主帳號登入RAM控制台。

在概览頁面，單擊快速開始 > 創建人員用戶 > 查看全部場景，從系統提供的情境中選擇您的目標情境。

本文以審計管理員為例介紹操作流程。審計管理員具有配置審計、Action Trail和日誌管理的全部許可權，同時可以查詢所有阿里雲資源現狀。

左側流程預覽顯示審計管理員情境的操作步驟：建立使用者、建立使用者登入配置、建立使用者組、添加使用者到使用者組、建立自訂策略、為使用者組綁定權限原則。

快速開始功能還提供安全性系統管理員情境，負責企業雲上安全，可開通和購買雲安全服務，擁有安全服務的所有許可權。

系統管理員無預置情境模板，可使用超級使用者情境作為替代。超級使用者可建立、查看、操作所有雲端服務，不能管理身份許可權、不能管理帳號架構、不能使用財務關聯。

各管理員角色許可權對比：

情境	許可權範圍	適用角色
審計管理員	配置審計、Action Trail、日誌管理全部許可權，可查詢所有資源現狀	合規審計人員
安全性系統管理員	安全服務所有許可權，可開通和購買雲安全服務，制定並實施安全規則	安全負責人
超級使用者	所有雲端服務的建立、查看、操作許可權，不能管理身份許可權	系統營運人員

查看或修改配置參數。
您可以查看預置的全部參數，但只能修改部分參數，請以控制台介面顯示為準。
單擊執行配置。
查看配置進度，等待配置完成後，儲存RAM使用者名稱和登入密碼。

說明

通過快速配置方式建立的RAM使用者，後續可以在RAM控制台對應功能菜單下修改其配置資訊，參考修改RAM使用者基本資料
正常建立RAM使用者並管理授權，參考：建立RAM使用者，管理RAM使用者的許可權及為RAM使用者移除許可權。

設定帳號別名（推薦）

RAM使用者的預設登入名稱稱為<UserName>@<AccountAlias>.onaliyun.com，其中，<AccountAlias>.onaliyun.com是主帳號的默认域名，<AccountAlias>表示帳號別名，帳號別名的預設值為阿里雲主帳號的账号 ID。建議在建立RAM使用者前，先為主帳號設定一個易記的帳號別名，替代16位元字的账号 ID，從而簡化RAM使用者的登入操作等。

默认域名的修改步驟如下：

使用主帳號登入RAM控制台。
在左側導覽列，點擊設置 > 賬號域名，點擊默认域名後的編輯，修改預設網域名稱。

說明

只有具有Resource Access Management員許可權的RAM使用者或主帳號才能設定或修改帳號別名（預設網域名稱）。
別名一經設定，即刻生效，所有新產生的RAM使用者登入名稱將預設使用該別名。

第二步：RAM使用者登入

RAM使用者登入控制台的連結如下。如果想避免重複輸入帳號的默认域名，可以採用專屬登入連結。
通用登入連結
使用新建立的RAM使用者登入阿里雲控制台。
說明
RAM使用者登入頁面與阿里雲帳號（主帳號）登入頁面不同。更多資訊，請參見RAM使用者登入阿里雲控制台。
專屬登入連結
在RAM控制台的概览頁可以擷取RAM使用者登入地址。RAM使用者使用該地址登入阿里雲控制台，可以避免重複輸入帳號的默认域名。
在基礎資訊地區的登入地址行，可查看格式為 https://signin.alibabacloud.com/{預設網域名稱}/login.htm 的 RAM 使用者登入地址，單擊右側複製登入地址即可擷取。
在RAM使用者登入頁面，輸入RAM使用者名稱，單擊下一步。
輸入RAM使用者的登入密碼，單擊登入。
首次登入時需要綁定MFA，後續登入時頁面會要求輸入MFA驗證碼，參考RAM使用者自行綁定MFA裝置。
重設RAM使用者密碼：通過快速開始建立的RAM使用者預設要求重設密碼。

第三步：驗證RAM使用者權限

由於建立的審計管理員具有配置審計、Action Trail和日誌管理的全部許可權，同時可以查詢所有阿里雲資源現狀。下面以操作审计和RAM為例，驗證授權是否成功。

RAM使用者成功登入控制台後，將滑鼠移至上方右上方的頭像上，您將直接看到RAM使用者的資訊。
面板中顯示 RAM 使用者的登入郵箱、帳號 ID、當前身份、企業別名及主帳號 ID等資訊。
進入Action Trail控制台，可以嘗試任意操作。
例如，點擊左側導覽列事件 > 事件查詢，即可查看所有服務的事件記錄。
進入RAM控制台
1. 點擊左側導覽列身份管理 > 用户，即可查看已建立的RAM使用者。
2. 重複執行建立RAM使用者中的步驟，會收到無許可權的報錯資訊。

查詢主帳號登入帳號

如果需要擷取主帳號完整的登入帳號（例如跨帳號操作、聯絡主帳號管理員、填寫申請表單等情境），可通過以下兩種方式查詢：

方式一：通過使用者中心查詢

以RAM使用者身份登入阿里雲控制台。
訪問使用者中心頁面：https://myaccount.console.alibabacloud.com/overview。
在主帳號資訊地區查看登入名稱欄位，可看到主帳號登入帳號（登入名稱會部分脫敏）。

方式二：通過資金賬戶查詢

以RAM使用者身份登入阿里雲控制台。
訪問資金賬戶頁面：https://billing-cost.console.alibabacloud.com/fortune/billing-account。
在基本資料地區查看賬戶名稱欄位，可看到主帳號完整登入帳號。

說明

RAM使用者需具備 AliyunBSSReadOnlyAccess 權限原則才能訪問資金賬戶頁面，否則會提示無許可權。

常見許可權問題排查

當RAM使用者訪問資源時，如果遇到許可權不足的提示，可以參考如何排查無許可權的訪問錯誤進行排查。

Resource Access Management：快速入門：建立RAM使用者並授權