資來源目錄的成員登入阿里雲控制台 - Resource Management

資源帳號類型或雲帳號類型的成員，可以通過本文所述的方法登入阿里雲控制台。

登入方式

登入方式	描述	適用對象
通過RAM角色登入阿里雲控制台	資來源目錄RD（Resource Directory）會自動為所有成員建立RAM角色（ResourceDirectoryAccountAccessRole），並將該角色的可信實體設定為資來源目錄的管理帳號，這使得管理帳號擁有對所有成員進行角色扮演並訪問的許可權。管理帳號可以在自己的帳號下建立一個RAM使用者，並為RAM使用者授予必要的許可權，就可以通過該RAM使用者扮演成員RAM角色（ResourceDirectoryAccountAccessRole）的方式登入到成員的控制台。	在資來源目錄中建立的成員，即資源帳號類型的成員，只有使用者名稱，沒有登入密碼。從外部邀請加入資來源目錄的阿里雲帳號，即雲帳號類型的成員。
通過RAM使用者登入阿里雲控制台	管理帳號的RAM使用者通過扮演成員RAM角色登入到成員控制台後，可以為成員建立RAM使用者並授權。之後，就可以通過成員的RAM使用者直接登入控制台。
通過根使用者登入阿里雲控制台（不推薦）	對於雲帳號類型的成員，您可以使用阿里雲帳號（根使用者）的使用者名稱和登入密碼直接登入控制台。	從外部邀請加入資來源目錄的阿里雲帳號，即雲帳號類型的成員。
通過雲SSO使用者登入阿里雲控制台	雲SSO提供基於阿里雲資來源目錄的多帳號統一身份管理與存取控制。當您開通了雲SSO並在RD成員上完成了授權，雲SSO使用者就可以登入雲SSO使用者門戶，按照訪問配置中的許可權訪問RD成員中對應的資源。	雲SSO使用者

操作步驟

通過RAM角色登入阿里雲控制台

使用管理帳號建立RAM使用者並授權。
1. 使用管理帳號登入RAM控制台。
2. 建立RAM使用者。
  
  本樣本中使用的RAM使用者名稱為Alice。具體操作，請參見建立RAM使用者。
3. 為RAM使用者（Alice）授權。
  您需要為RAM使用者（Alice）至少授予以下許可權：
  - AliyunSTSAssumeRoleAccess：調用 STS 服務 AssumeRole 介面的許可權。如果需要從管理帳號切換到成員帳號（即通過 RAM 使用者扮演成員 RAM 角色登入成員控制台），必須授予該許可權：AliyunSTSAssumeRoleAccess 允許 RAM 使用者通過 STS 在成員帳號中扮演角色，是跨帳號切換的底層機制。如果 RAM 使用者僅用於唯讀訪問，無需切換成員帳號，可不配置該許可權。
  - AliyunResourceDirectoryFullAccess：管理資來源目錄服務（ResourceDirectory）的許可權。
  說明
  如果該RAM使用者（Alice）用作管理員，您也可以直接授予AdministratorAccess許可權。該許可權屬於高危許可權，請謹慎授予。
  
  如果為 RAM 使用者（Alice）授權後，登入或切換成員帳號仍然失敗或報錯，請按以下步驟排查：
  - 檢查許可權是否缺失：確認 RAM 使用者（Alice）是否缺少 resourcedirectory:AssumeRoleInMember 和 resourcedirectory:ListAccounts 許可權。這兩個許可權是資來源目錄用於校正切換成員帳號操作的自訂 Action，缺失會導致切換成員帳號失敗或登入報錯。為 RAM 使用者補充這兩個許可權後，重新測試登入。
  - 檢查角色狀態：如果補充許可權後仍然失敗，請登入成員帳號，檢查該成員帳號下是否存在 ResourceDirectoryAccountAccessRole 角色，並確認該角色的信任策略（可信實體是否為資來源目錄的管理帳號）和已授權的權限原則是否正常。
  具體操作，請參見管理RAM使用者的許可權。
使用RAM使用者（Alice）扮演成員角色的方式登入成員的控制台。
1. 使用RAM使用者（Alice）登入資源管理主控台。
2. 在左側導覽列，選擇資源目錄 > 目录管理。
3. 在資源組織視圖或成員列表視圖下，單擊目標成員操作列的登入。
  
  登入之後，管理帳號的RAM使用者（Alice）將扮演目標成員的RAM角色（ResourceDirectoryAccountAccessRole），進行角色（ResourceDirectoryAccountAccessRole）定義範圍內的操作。

通過RAM使用者登入阿里雲控制台

使用管理帳號的RAM使用者通過RAM角色扮演的方式登入成員的阿里雲控制台。

具體操作，請參見通過RAM角色登入阿里雲控制台。
為成員建立RAM使用者。

本樣本中使用的RAM使用者名稱為Tom。具體操作，請參見建立RAM使用者。
為RAM使用者（Tom）授權。

遵循最小化授權原則，授予RAM使用者（Tom）訪問具體雲資源的許可權。具體操作，請參見管理RAM使用者的許可權。
使用RAM使用者（Tom）登入控制台。

具體操作，請參見RAM使用者登入阿里雲控制台。

通過根使用者登入阿里雲控制台（不推薦）

重要

為安全起見，不建議通過根使用者登入。

登入阿里雲控制台。
輸入阿里雲帳號的使用者名稱和登入密碼。
單擊登录。

通過雲SSO使用者登入阿里雲控制台

您可以參照使用雲SSO統一管理企業多帳號的身份和許可權完成雲SSO中的相關設定，然後參照登入使用者門戶並訪問阿里雲資源完成雲SSO使用者的登入。

常見問題

管理帳號、成員、資源帳號、雲帳號、根使用者、RAM使用者之間的區別是什嗎？
為什麼資源帳號無法通過根使用者（主帳號）身份登入？
為什麼資來源目錄的有些功能置灰，不支援根帳號（主帳號）使用？
如何調整成員的登入工作階段時間長度？
邀請成員加入資來源目錄後，管理帳號能否直接增刪改成員帳號下的資源？

不能。邀請成員加入資來源目錄後，管理帳號無法直接在當前帳號下增刪改成員帳號的資源。在資源管理主控台的成員列表中，需先為目標成員配置 RAM 角色，才能使用目標成員操作列的登入和切換按鈕。如需操作成員帳號下的資源，請先通過 RAM 角色扮演或建立成員 RAM 使用者等方式登入到成員帳號。具體操作，請參見本文中的“通過 RAM 角色登入阿里雲控制台”和“通過 RAM 使用者登入阿里雲控制台”章節。