如何排查RAM無許可權問題 - Resource Access Management

本文為您介紹在使用RAM使用者或RAM角色訪問阿里雲時遇到的無許可權問題的解決方案。

問題描述

RAM身份（RAM使用者和RAM角色）預設沒有任何操作許可權，只有被顯式授予許可權後，才能訪問特定的雲資源。對RAM身份授權的效果包括兩種：允許（Allow）和拒絕（Deny）。當RAM身份對阿里雲資源執行操作時，如果操作被顯式拒絕或未被顯式授權（也稱為隱式拒絕），將展示無許可權的報錯提示。具體如下：

控制台訪問報錯：提示沒有許可權。
OpenAPI調用訪問報錯：提示NoPermission、Forbidden.RAM、NotAuthorized等。

部分阿里雲產品不支援RAM鑒權。如果RAM身份訪問某產品時提示無許可權，且該產品不支援RAM鑒權，則無法通過RAM身份訪問該產品資源。

解決方案

控制台訪問

控制台上大多數的無許可權報錯彈窗，除了錯誤原因，還會提供額外的錯誤詳情資訊。

您可以按照如下步驟瞭解無許可權的具體原因和處理方法。

確定操作者身份。

鑒權主體提供了操作者身份的詳細資料。具體如下：
- 身份類型：操作者的身份類型。包括RAM使用者、RAM角色或SSO聯合身份。
- 身份信息：身份標識。RAM使用者提供的是UID資訊，RAM角色提供的是角色名稱和角色會話名稱（例如：RoleName:RoleSessionName），SSO聯合身份提供的是身份供應商類型和身份供應商名稱（例如：saml-provider/AzureAD）。
- 所屬帳號：當前身份所屬的阿里雲帳號UID資訊。
確定操作缺失的許可權點。

鑒權操作提供了導致無許可權的具體操作，可用於許可權的排查或授予。
確定影響許可權的策略類型。

策略类型提供了導致無許可權的策略類型，包括管控策略、會話策略、角色信任策略、基於身份策略（帳號級）、基於身份策略（資源群組級）。更多資訊，請參見權限原則判定流程。

策略類型決定了調整策略的方法，具體如下：
- 如果操作是因為管控策略被拒絕，需要聯絡企業的資來源目錄管理帳號進行授權。管控策略是資來源目錄中對成員訪問定義的許可權邊界，優先順序高於帳號內的許可權判定。
- 如果操作是因為會話策略被拒絕，需要聯絡帳號管理員檢查調用AssumeRole介面附加的會話策略。
- 如果操作是因為角色信任策略被拒絕，需要聯絡帳號管理員檢查被扮演的RAM角色的信任策略。
- 如果操作是因為基於身份策略被拒絕，需要聯絡帳號管理員檢查操作者身份上被授與權限策略。
確定無許可權的原因是未被顯式授權或被顯式拒絕。
- 未被顯式授權：錯誤原因會提示當前操作未被授權，權限判定會提示許可權不足。這種情況需要帳號管理員為您主動授予執行操作的許可權，即在Allow語句中添加鑒權操作。
- 被顯式拒絕：錯誤原因會提示當前操作被顯式拒絕，權限判定會提示顯式拒絕。這種情況需要帳號管理員檢查已授與權限，Deny語句中是否包含了鑒權操作。
  
  說明
  如果策略類型是管控策略，鑒權操作如沒有包含在Allow語句中，也會返回顯示拒絕。

此外，對於支援許可權診斷的產品，您也可以在報錯彈框中單擊權限診斷，直接查看錯誤原因和解決方案。

許可權診斷彈窗的解決方案地區會推薦可關聯的系統策略（如 AliyunRAMFullAccess、AliyunRAMReadOnlyAccess），並提供查看授權、建立權限原則、新增授權等快捷操作入口。

許可權診斷功能僅對支援RAM鑒權的產品有效。如果產品不支援RAM鑒權，許可權診斷無法提供排查結果。

OpenAPI調用訪問

當您通過阿里雲SDK、CLI或OpenAPI開發人員門戶等方式直接調用OpenAPI時，在錯誤返回中提供了錯誤詳情資訊。以下是在OpenAPI開發人員門戶調試時返回的報錯資訊。

{
  "RequestId": "1090E608-D26F-5A08-BAE3-80D350E9FE20",
  "HostId": "ram.aliyuncs.com",
  "Code": "NoPermission",
  "Message": "You are not authorized to do this action. Resource: acs:ram:*:xxx:user/* Action: ram:ListUsers",
  "Recommend": "https://next.api.aliyun.com/troubleshoot?q=NoPermission&product=Ram",
  "AccessDeniedDetail": {
    "PolicyType": "AccountLevelIdentityBasedPolicy",
    "AuthPrincipalOwnerId": "xxx",
    "EncodedDiagnosticMessage": "AQIBIAAAAMDAbkn...jHF4TLvjT8hp17I0RFKObkV4=",
    "AuthPrincipalType": "SubUser",
    "AuthPrincipalDisplayName": "xxx",
    "NoPermissionType": "ExplicitDeny",
    "AuthAction": "ram:ListUsers"
  }
}

錯誤返回中的AccessDeniedDetail欄位展示了無許可權錯誤詳情，您可以按照如下步驟瞭解無許可權的具體原因和處理方法。

確定操作者身份。
- AuthPrincipalType：操作者的身份類型。SubUser代表是RAM使用者，AssumedRoleUser代表是RAM角色，Federated代表是SSO聯合身份。
- AuthPrincipalDisplayName：身份標識。RAM使用者提供的是UID資訊，RAM角色提供的是角色名稱和角色會話名稱（例如：RoleName:RoleSessionName），SSO聯合身份提供的是身份供應商類型和身份供應商名稱（例如：saml-provider/AzureAD）。
- AuthPrincipalOwnerId：當前身份所屬的阿里雲帳號UID資訊。
確定操作缺失的許可權點。

AuthAction提供了導致無許可權的具體操作，可用於許可權的排查或授予。
確定影響許可權的策略類型。

PolicyType提供了導致無許可權的策略類型，包括管控策略、會話策略、角色信任策略、基於身份策略（帳號級）、基於身份策略（資源群組級）。更多資訊，請參見權限原則判定流程。

策略類型決定了調整策略的方法，具體如下：
- 如果操作是因為管控策略被拒絕，需要聯絡企業的資來源目錄管理帳號進行授權。管控策略是資來源目錄中對成員訪問定義的許可權邊界，優先順序高於帳號內的許可權判定。
- 如果操作是因為會話策略被拒絕，需要聯絡帳號管理員檢查調用AssumeRole介面附加的會話策略。
- 如果操作是因為角色信任策略被拒絕，需要聯絡帳號管理員檢查被扮演的RAM角色的信任策略。
- 如果操作是因為基於身份的策略被拒絕，需要聯絡帳號管理員檢查操作者身份上被授與權限策略。
確定無許可權的原因是未被顯式授權或被顯式拒絕。
- 未被顯式授權：NoPermissionType會提示ImplicitDeny。這種情況需要帳號管理員為您主動授予執行操作的許可權，即在Allow語句中添加AuthAction。
- 被顯式拒絕：NoPermissionType會提示ExplicitDeny。這種情況需要帳號管理員檢查已授與權限，Deny語句中是否包含了AuthAction。
  
  說明
  如果策略類型是管控策略，鑒權操作如沒有包含在Allow語句中，也會返回顯示拒絕。

此外，對於支援許可權診斷的產品，您可以將EncodedDiagnosticMessage中的全部資訊提供給帳號管理員，帳號管理員訪問RAM許可權診斷頁面排查原因。帳號管理員需要擁有ram:DecodeDiagnosticMessage許可權。

如果OpenAPI返回Forbidden.RAM錯誤，還需確認目標產品API是否支援RAM鑒權。部分產品API不支援RAM鑒權，無法通過RAM身份調用。

常見情境：為RAM使用者授予雲產品許可權

RAM使用者操作某個雲產品（如ECS、OSS、RDS等）時，控制台提示沒有許可權或OpenAPI返回Forbidden.RAM錯誤，通常是因為該RAM使用者未被授予對應雲產品的操作許可權。按以下步驟為RAM使用者添加許可權：

使用阿里雲帳號（主帳號）登入RAM控制台。
在左側導覽列，選擇身份管理 > 用戶。
在使用者列表中找到目標RAM使用者，單擊使用者登入名稱稱。
單擊权限管理頁簽，然後單擊新增授权。

在策略搜尋方塊中輸入目標雲產品名稱（如ECS），選擇對應的系統策略並確認授權。

常見雲產品與系統策略對照如下：

雲產品	完全系統管理權限策略	唯讀權限原則
Elastic Compute Service	AliyunECSFullAccess	AliyunECSReadOnlyAccess
Object Storage Service	AliyunOSSFullAccess	AliyunOSSReadOnlyAccess
雲資料庫RDS	AliyunRDSFullAccess	AliyunRDSReadOnlyAccess
Virtual Private Cloud	AliyunVPCFullAccess	AliyunVPCReadOnlyAccess
Server Load Balancer	AliyunSLBFullAccess	AliyunSLBReadOnlyAccess

更多系統策略資訊，請參見管理RAM使用者的許可權。

部分雲產品不支援RAM鑒權，上述系統策略對照表僅適用於支援RAM鑒權的產品。如果授權後仍提示無許可權，查閱對應產品文檔確認是否支援RAM鑒權。