通過RAM限制使用者的訪問時間段 - Resource Access Management

RAM可以限制使用者只能在指定的時間段訪問企業的雲資源，從而增強訪問安全性。

應用情境

企業A購買了很多阿里雲資源來開展業務，例如：ECS執行個體、RDS執行個體、SLB執行個體和OSS儲存空間等。為了確保其業務和資料安全，企業希望使用者只能在工作時間訪問阿里雲，而不是在任意時間都可以訪問阿里雲。

您可以根據需要建立自訂權限原則，然後建立RAM使用者並為RAM使用者授予對應的許可權，從而保證RAM使用者只能在指定的時間段訪問指定阿里雲資源。

步驟一：建立自訂權限原則

使用Resource Access Management員登入RAM控制台。
在左側導覽列，選擇权限管理 > 权限策略。
在权限策略頁面，單擊创建权限策略。
在创建权限策略頁面，單擊腳本編輯頁簽。
頁面顯示 JSON 編輯器，預設原則範本包含 Version（值為 "1"）和 Statement 數組，其中每條語句包括 Effect（預設 "Allow"）、Action（待填寫）、Resource（待填寫）和 Condition 欄位。請根據實際需求在 Action 和 Resource 中填入對應的操作和資源。
輸入權限原則內容。
策略內容樣本：RAM使用者只能在特定時間段（北京時間2019年8月12日17：00之前）訪問ECS。您可以通過設定Condition下acs:CurrentTime的值為2019-08-12T17:00:00+08:00來實現。
```
{
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
          "DateLessThan": {
              "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
          }
      }
    }
  ],
  "Version": "1"
}
```
說明
Condition（限制條件）只針對當前權限原則描述的操作有效。您可以修改時間2019-08-12T17:00:00+08:00為企業允許訪問的時間。
單擊頁面上方的優化策略，然後單擊執行，對權限原則內容進行進階最佳化。
進階權限原則最佳化功能會完成以下任務：
- 拆分不相容操作的資源或條件。
- 收縮資源到更小範圍。
- 去重或合并語句。
在創建權限策略頁面，單擊確認。
在创建权限策略對話方塊，輸入策略名稱和备注，然後單擊确定。

步驟二：建立RAM使用者

使用阿里雲帳號（主帳號）或Resource Access Management員登入RAM控制台。
在左側導覽列，選擇 身份管理 > 用户。
在用户頁面，單擊 创建用户。
在 创建用户 頁面的用户账号信息地區，設定使用者基本資料。
- 登录名称：可包含英文字母、數字、半形句號（.）、短劃線（-）和底線（_），最多64個字元。
- 顯示名稱：最多包含128個字元或漢字。
- 标签：單擊，然後輸入標籤鍵和標籤值。為RAM使用者綁定標籤，便於後續基於標籤的使用者管理。
在访问方式地區，選擇訪問方式，然後設定對應參數。
為了帳號安全，建議您只選擇以下訪問方式中的一種，將人員使用者和應用程式使用者分離，避免混用。
- 控制台访问
  如果RAM使用者代表人員，建議啟用控制台訪問，使用使用者名稱和登入密碼訪問阿里雲。您需要設定以下參數：
  - 控制台登入密碼：選擇自動產生密碼或者自訂密碼。自訂登入密碼時，密碼必須滿足密碼複雜度規則。更多資訊，請參見設定RAM使用者密碼策略。
  - 密碼重設策略：選擇RAM使用者在下次登入時是否需要重設密碼。
  - 多因素認證（MFA）策略：選擇是否為當前RAM使用者啟用MFA。啟用MFA後，還需要綁定MFA裝置。更多資訊，請參見RAM使用者自行綁定MFA裝置。
- 使用永久 AccessKey 訪問
  如果RAM使用者代表應用程式，您可以使用永久存取金鑰（AccessKey）訪問阿里雲。啟用後，系統會自動為RAM使用者產生一個AccessKey ID和AccessKey Secret。更多資訊，請參見建立AccessKey。
  重要
  RAM使用者的AccessKey Secret只在建立時顯示，不支援查看，請妥善保管。
  存取金鑰（AccessKey）是一種長期有效程式訪問憑證。AccessKey泄露會威脅該帳號下所有資源的安全。建議優先採用STS Token臨時憑證方案，降低憑證泄露的風險。更多資訊，請參見使用訪問憑據訪問阿里雲OpenAPI最佳實務。
單擊確認。

步驟三：為RAM使用者授權

將步驟一建立的自訂權限原則授予步驟二建立的RAM使用者。

控制台

RAM控制台提供兩種為RAM使用者授權的操作入口。兩者均支援單個或大量授權，請按操作習慣選擇：

從用户頁面發起：在使用者列表中勾選目標使用者後，授權面板會自動選定授權主體。適合“以使用者為中心”的視角。
從授權頁面發起：需手動選擇授權主體，但可看到帳號下所有授權記錄的總覽。適合“以許可權為中心”的視角。

說明

大規模批量管理建議：當需要為多名職責相同的 RAM 使用者授予相同許可權時，建議先將這些使用者加入同一使用者組，再為使用者組授權（控制台路徑：身份管理 >用戶組），比為每個使用者單獨授權更易維護。

從使用者頁面發起

登入RAM控制台
在左側導覽列選擇身份管理 >用戶。
在用户頁面，找到已經建立好的RAM使用者，單擊操作列的新增授權。
您也可以選中多個RAM使用者，單擊使用者列表下方的新增授權，為多個RAM使用者新增授權。

在新增授權面板，為RAM使用者添加許可權。

選擇資源范圍：
- 賬號級別：許可權在當前阿里雲帳號內全部資源生效。適用於通用、無需按資源群組隔離的情境。
- 資源組級別：許可權僅在指定資源群組內生效。適用於多團隊共用一個帳號、需按資源群組隔離許可權的情境。如果RAM使用者被授予了資源群組層級的許可權，該使用者登入控制台後，必須在頂部導覽列將資源範圍切換到被授權的資源群組，才能正常訪問和管理該資源群組內的資源。
  說明
  1. 系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），這些策略通常包含對所有雲資源的完全控制許可權或對存取控制（RAM）的完全系統管理權限等，請謹慎授予。
  2. 資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。
選擇授權主體：
授權主體即需要添加許可權的RAM使用者。如果是從使用者頁面發起，系統會自動選擇當前的RAM使用者。如果是從授權頁面發起，需要手動選擇RAM使用者，支援批量選中多個。

選擇權限策略：

{key}：可以直接搜尋並選擇。搜尋技巧：您可以利用搜尋方塊快速定位策略。支援按產品名稱（如ECS、OSS）、權限等級（如ReadOnly、FullAccess）或完整的策略名稱稱進行模糊搜尋。例如，為 RAM 使用者授予財務管理（費用與成本）許可權時，搜尋 BSS 即可找到 AliyunBSSFullAccess（管理費用與成本）等財務相關策略。

以下列出部分常見雲產品對應的系統策略名稱稱，方便快速定位：

雲產品	系統策略名稱稱	許可權說明
費用與成本（財務管理）	`AliyunBSSFullAccess`	管理費用與成本
CloudMonitor	`AliyunCloudMonitorReadOnlyAccess`	唯讀訪問CloudMonitor
智能建站	`AliyunWebsiteBuildFullAccess`	管理智能建站
雲效	`AliyunYunxiaoFullAccess`	管理雲效
百鍊	`AliyunBailianFullAccess`	管理百鍊
雲解析 DNS	`AliyunDNSFullAccess`	管理雲解析 DNS
SSL 憑證	`AliyunYundunCertFullAccess`	管理 SSL 憑證
無影雲手機	`AliyunECDFullAccess`	管理無影雲手機
工單支援	`AliyunSupportFullAccess`	管理工單
資源中心	`AliyunResourceCenterFullAccess`	管理資源中心
AgentBay	`AliyunAgentBayFullAccess`	管理 AgentBay
Security Center	`AliyunYundunSASFullAccess`	管理Security Center

如果搜尋不到目標產品的系統策略，可查閱系統策略參考擷取完整列表，也可以建立自訂策略以滿足更精細的許可權控制需求。

{key}：需要先建立自訂權限原則後再來授權。
跨頁勾選限制：權限原則列表分頁顯示，全選操作僅作用於當前頁。翻頁後，已選策略仍保留在已選列表中，但新頁面中的策略不會自動選中，需逐頁勾選。
快速授予管理員權限：如需授予管理員權限，可在搜尋方塊中輸入 AdministratorAccess 搜尋並直接勾選，無需逐頁勾選。選中該策略時會觸發高風險授權提醒。

提交授權：單擊確認新增授權。

確認授權綁定操作結果，單擊關閉。

從授權頁面發起

登入RAM控制台
在左側導覽列，選擇許可權管理 > 授權。
在授權頁面，單擊新增授權。
在新增授權面板，為RAM使用者添加許可權。具體內容同上。
確認授權綁定操作結果，單擊關閉。

說明

通過 RAM 控制台概覽頁快速開始功能建立的 RAM 使用者，系統會根據所選情境自動授予對應的系統策略，無需手動授權：

超級使用者：自動授予 PowerUserAccess 策略。可管理雲端服務和資源，但不能管理 RAM 身份及其許可權、資來源目錄和資金帳號資訊。
帳號管理員：自動授予 AdministratorAccess 策略。可管理所有阿里雲資源，包括 RAM 身份和許可權。

建議僅在確實需要超級管理員權限時使用上述選項，日常操作請遵循最小許可權原則，僅授予具體業務所需的許可權。

OpenAPI

授予自訂策略

調用CreatePolicy建立一個自訂策略，可以參考權限原則基本元素和權限原則樣本庫概覽。
調用AttachPolicyToUser為RAM使用者授予帳號層級的許可權，注意此處PolicyType選擇Custom。
或者調用AttachPolicy為RAM使用者授予資源群組層級的許可權。

授予系統策略

直接調用AttachPolicyToUser將權限原則綁定至指定RAM使用者，注意此處PolicyType選擇System，PolicyName詳見系統策略參考。
或者調用AttachPolicy為RAM使用者授予資源群組層級的許可權。