Resource Management：RAM使用者使用資源群組

概述

所需的權限原則分為以下三類。如果您需要RAM使用者同時具備管理資源群組、查看資源群組內的資源、管理資源群組範圍的授權的許可權，則需要同時授予這三類權限原則。否則，請遵循最小授權原則，僅授予RAM使用者所需的某一類許可權即可，確保訪問的安全性。

• 管理資源群組：允許RAM使用者對資源群組本身執行操作，例如：建立、刪除、修改、查看資源群組等。

• 查看資源群組內的資源：允許RAM使用者在資源群組詳情頁的資源管理頁簽查看資源群組內的資源。

  

• 管理資源群組範圍的授權：允許RAM使用者在資源群組詳情頁的許可權管理頁簽管理RAM授權，例如：查看、新增和解除資源群組範圍的授權等。

  

管理資源群組

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:*ResourceGroup*",
        "ram:*AssociatedTransfer*",
        "ram:LookupResourceGroupEvents",
        "resourcemanager:*ResourceGroup*",  
        "resourcemanager:*AutoGrouping*",
        "ram:TagResources",  
        "ram:UntagResources",
        "ram:ListTagResources"
      ],
      "Resource": "*"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:GetResourceGroup*",
        "ram:ListResourceGroup*",
        "ram:ListAssociatedTransferSetting",
        "ram:LookupResourceGroupEvents",
        "resourcemanager:GetResourceGroup*",
        "resourcemanager:ListResourceGroup*",
        "resourcemanager:GetAutoGrouping*",
        "resourcemanager:ListAutoGrouping*",
        "ram:ListTagResources"
      ],
      "Resource": "*"
    }
  ]
}

查看資源群組內的資源

如果您希望RAM使用者在資源群組詳情頁的資源管理頁簽查看資源群組內的資源，則需要額外為RAM使用者授予目標資源的唯讀許可權。

• 樣本1：您希望RAM使用者只能查看資源群組（ProjectA）中的VPC資源，可以授予資源群組（ProjectA）範圍內的AliyunVPCReadOnlyAccess許可權。

  

• 樣本2：您希望RAM使用者可以查看當前帳號下所有資源群組中的全部資源，可以授予帳號層級範圍的系統權限原則ReadOnlyAccess。

  

管理資源群組範圍的授權

如果您希望RAM使用者在資源群組詳情頁的許可權管理頁簽管理RAM授權，例如：查看、新增和解除資源群組範圍的授權等，您可以按需授予以下許可權。適用於RAM許可權管理員。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:AttachPolicy",
        "ram:DetachPolicy",
        "ram:ListPolicyAttachments",
        "ram:ListPolicies",
        "ram:ListUsers",
        "ram:ListGroups",
        "ram:ListRoles"
      ],
      "Resource": "*"
    }
  ]
}

相關文檔

• 建立RAM使用者

• 建立自訂權限原則

• 為RAM使用者授權

• 資源群組API