Resource Access Management：通過RAM限制只有啟用了MFA的RAM使用者才能訪問雲資源

步驟一：建立自訂策略

1. 使用Resource Access Management員登入RAM控制台。

2. 在左側導覽列，選擇权限管理 > 权限策略。

3. 在权限策略頁面，單擊创建权限策略。

   

4. 在创建权限策略頁面，單擊腳本編輯頁簽。

   

5. 輸入權限原則內容。

   策略內容樣本：只有啟用了MFA的RAM使用者才能在控制台訪問ECS資源。您可以通過設定Condition下acs:MFAPresent的值為true來實現。

   {
       "Statement": [
           {
               "Action": "ecs:*",
               "Effect": "Allow",
               "Resource": "*",
               "Condition": {
                   "Bool": {
                       "acs:MFAPresent": "true"
                   }
               }
           }
       ],
       "Version": "1"
   }

   說明

   Condition（限制條件）只針對當前權限原則描述的操作有效。您可以根據實際情況修改策略內容，限制訪問其他雲資源。

6. 單擊頁面上方的優化策略，然後單擊執行，對權限原則內容進行進階最佳化。

   進階權限原則最佳化功能會完成以下任務：

   • 拆分不相容操作的資源或條件。

   • 收縮資源到更小範圍。

   • 去重或合并語句。

7. 在创建权限策略頁面，單擊确定。

8. 在创建权限策略對話方塊，輸入策略名稱稱和备注，然後單擊确定。

步驟二：建立RAM使用者

1. 使用阿里雲帳號（主帳號）或擁有Resource Access Management員許可權（AliyunRAMFullAccess）的RAM使用者登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 用户。

3. 在用户頁面，單擊创建用户。

4. 在创建用户頁面的用户账号信息地區，設定使用者基本資料。

   • 登录名称（必填）：可包含英文字母、數字、半形句號（.）、短劃線（-）和底線（_），最多64個字元。

   • 顯示名稱（選填）：最多包含128個字元或漢字。

   • 标签（選填）：單擊，然後輸入標籤鍵和標籤值，便於後續基於標籤的使用者管理。

   說明

   單擊添加用户，可以大量建立多個RAM使用者。

5. 在访问方式地區，根據使用者類型進行配置：

   重要

   • 為了帳號安全，建議您只選擇以下訪問方式中的一種，將人員使用者和應用程式使用者分離，避免混用。

   • 存取金鑰（AccessKey）是一種長期有效程式訪問憑證。AccessKey泄露會威脅該帳號下所有資源的安全。建議優先採用STS Token臨時憑證方案，降低憑證泄露的風險。更多資訊，請參見使用訪問憑據訪問阿里雲OpenAPI最佳實務。

   給員工使用（控制台访问）

   勾選控制台访问。

   • 设置密码：您可以選擇自動產生密碼或者自訂密碼。自訂登入密碼時，密碼必須滿足密碼複雜度規則。更多資訊，請參見設定RAM使用者密碼策略。

   • 需要重置密码：選擇RAM使用者在下次登入時是否需要重設密碼。

   • MFA 多因素认证：帳號預設設定為強制所有使用者登入時必須使用 MFA。如需修改，請參考管理RAM使用者安全設定。RAM使用者首次登入時需要綁定MFA裝置，請參考RAM使用者自行綁定MFA裝置。

   給程式使用（使用永久AccessKey訪問）

   勾選使用永久AccessKey訪問。

   啟用後，系統會自動為RAM使用者產生一個AccessKey ID和AccessKey Secret。

   重要

   RAM使用者的AccessKey Secret只在建立時顯示，不支援後續查看，請務必立即下載或複製儲存AccessKey Secret。泄露AccessKey將嚴重威脅您帳號下所有資源的安全。更多資訊詳見建立AccessKey。

步驟三：為RAM使用者授權

將步驟一建立的自訂策略授予步驟二建立的RAM使用者。

1. 登入RAM控制台

2. 在左側導覽列選擇身份管理 > 使用者。

3. 在用户頁面，找到已經建立好的RAM使用者，單擊操作列的新增授權。

   您也可以選中多個RAM使用者，單擊使用者列表下方的新增授權，為多個RAM使用者新增授權。

4. 在新增授權面板，為RAM使用者添加許可權。

   • 選擇資源範圍：

     • 帳號層級：許可權在當前阿里雲帳號內全部資源生效。適用於通用、無需按資源群組隔離的情境。

     • 資源群組層級：許可權僅在指定資源群組內生效。適用於多團隊共用一個帳號、需按資源群組隔離許可權的情境。如果RAM使用者被授予了資源群組層級的許可權，該使用者登入控制台後，必須在頂部導覽列將資源範圍切換到被授權的資源群組，才能正常訪問和管理該資源群組內的資源。

       說明

       1. 系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），這些策略通常包含對所有雲資源的完全控制許可權或對存取控制（RAM）的完全系統管理權限等，請謹慎授予。

       2. 資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。

   • 選擇授權主體：

     授權主體即需要添加許可權的RAM使用者。如果是從使用者頁面發起，系統會自動選擇當前的RAM使用者。如果是從授權頁面發起，需要手動選擇RAM使用者，支援批量選中多個。

   • 選擇權限原則：

     • 系統策略：可以直接搜尋並選擇。搜尋技巧：您可以利用搜尋方塊快速定位策略。支援按產品名稱（如ECS、OSS）、權限等級（如ReadOnly、FullAccess）或完整的策略名稱稱進行模糊搜尋。

     • 自訂策略：需要先建立自訂權限原則後再來授權。

   • （可選）填寫備忘：建議填寫授權原因或情境描述，便於後續審計回溯，例如"OSS 上傳任務專項授權"。

   • 提交授權：單擊確認新增授權。

5. 確認授權綁定操作結果，單擊關閉。

步驟四：為RAM使用者啟用MFA

為步驟二建立的RAM使用者啟用MFA。具體操作，請參見RAM使用者自行綁定MFA裝置。