企業客戶將資源分組之後，分配管理員獨立管理，並由管理員負責為具體操作人員分配資源群組內的許可權。
前提條件
您可以使用阿里雲帳號（主帳號）或擁有管理資源群組範圍的授權許可權的RAM身份（RAM使用者或RAM角色）完成本文所述的操作。
背景資訊
資源群組授權和存取控制（RAM）授權之間的關係：
-
資源群組授權管理由存取控制提供許可權管理服務。
-
資源群組授權時授予的是存取控制中管理的權限原則，包括所有系統策略和自訂策略。
-
資源群組的授權實體：存取控制中建立的RAM使用者、RAM使用者組或RAM角色。
-
資源範圍為帳號層級時，許可權在當前阿里雲帳號內生效。資源範圍為资源组级别時，許可權僅在對應資源群組內生效。
操作步驟
您可以在資源群組控制台和RAM控制台完成授權。如下以資源群組控制台的操作為例。
-
登入資源群組控制台。
-
在資源群組頁面，單擊目標資源群組操作列的權限管理。
-
在權限管理頁簽，單擊新增授權。
-
在新增授權面板，設定授權主體和權限原則，然後單擊確認新增授權。
-
资源范围：預設選中當前的資源群組，即許可權僅在該資源群組內生效。
-
授权主体：選擇需要授權的RAM使用者、RAM角色或RAM使用者組。
說明資源群組範圍的授權對可信實體為雲端服務的RAM角色（服務角色）不生效，該類角色通過STS扮演後調用API時會返回
Forbidden.RAM。該限制不影響RAM使用者、RAM使用者組以及可信實體為阿里雲帳號的RAM角色。如需為服務角色授予等效許可權，請參見下文的服務角色替代方案。 -
權限策略：選擇需要的系統策略或自訂策略。
-
執行結果
完成授權後，授權主體將獲得當前資源群組內資源的相應許可權。
服務角色替代方案
可信實體為雲端服務的RAM角色（服務角色）無法通過資源群組範圍授權獲得許可權。此時在該RAM角色上掛載包含Condition的自訂策略，以帳號層級授權替代資源群組層級授權，並用條件鍵限定生效範圍，實現等效的資源隔離：
-
使用
ecs:RequestTag限定請求中必須攜帶的標籤，僅允許操作帶指定標籤的資源。 -
使用VPC相關條件鍵限定生效的VPC範圍。
-
使用執行個體規格相關條件鍵限定可建立的執行個體規格。
配置後，該RAM角色通過STS扮演並調用API時鑒權可正常通過；未包含在策略中的操作仍返回Forbidden.RAM。
相關文檔
在RAM控制台授權的操作方法，請參見管理RAM使用者的許可權、為RAM使用者組授權、管理RAM角色的許可權。