ApsaraVideo for VOD如何建立RAM使用者並授權 - ApsaraVideo VOD

為保障主帳號安全，建議您遵循許可權最小化原則，為企業內的員工、系統或應用程式建立獨立的RAM使用者，並僅授予其完成任務所需的許可權。RAM使用者建立後不產生費用，其使用雲資源產生的費用統一由所屬主帳號支付。本文介紹如何通過RAM控制台和調用API兩種方式建立RAM使用者。

前提條件

您已經註冊了阿里雲帳號並完成帳號實名認證。登入位址請參見阿里雲官網。註冊指引請參見註冊阿里雲帳號。

建立RAM使用者

說明

下述步驟4中，建議您將登入名稱稱設定為vod，本文後續描述都以登入名稱稱vod為例。
下述步驟5中，建議您訪問方式選擇OpenAPI調用訪問方式。

操作步驟

控制台

使用阿里雲帳號（主帳號）或擁有Resource Access Management員許可權（AliyunRAMFullAccess）的RAM使用者登入RAM控制台。
在左側導覽列，選擇身份管理 > 用户。
在用户頁面，單擊创建用户。
在创建用户頁面的用户账号信息地區，設定使用者基本資料。
- 登录名称（必填）：可包含英文字母、數字、半形句號（.）、短劃線（-）和底線（_），最多64個字元。
- 顯示名稱（選填）：最多包含128個字元或漢字。
- 标签（選填）：單擊，然後輸入標籤鍵和標籤值，便於後續基於標籤的使用者管理。
說明
單擊添加用户，可以大量建立多個RAM使用者。
在访问方式地區，根據使用者類型進行配置：
重要
- 為了帳號安全，建議您只選擇以下訪問方式中的一種，將人員使用者和應用程式使用者分離，避免混用。
- 存取金鑰（AccessKey）是一種長期有效程式訪問憑證。AccessKey泄露會威脅該帳號下所有資源的安全。建議優先採用STS Token臨時憑證方案，降低憑證泄露的風險。更多資訊，請參見使用訪問憑據訪問阿里雲OpenAPI最佳實務。
給員工使用（控制台访问）
勾選控制台访问。
- 设置密码：您可以選擇自動產生密碼或者自訂密碼。自訂登入密碼時，密碼必須滿足密碼複雜度規則。更多資訊，請參見設定RAM使用者密碼策略。
- 需要重置密码：選擇RAM使用者在下次登入時是否需要重設密碼。
- MFA 多因素认证：帳號預設設定為強制所有使用者登入時必須使用 MFA。如需修改，請參考管理RAM使用者安全設定。RAM使用者首次登入時需要綁定MFA裝置，請參考RAM使用者自行綁定MFA裝置。
給程式使用（使用永久AccessKey訪問）
勾選使用永久AccessKey訪問。
啟用後，系統會自動為RAM使用者產生一個AccessKey ID和AccessKey Secret。
重要
RAM使用者的AccessKey Secret只在建立時顯示，不支援後續查看，請務必立即下載或複製儲存AccessKey Secret。泄露AccessKey將嚴重威脅您帳號下所有資源的安全。更多資訊詳見建立AccessKey。

OpenAPI

建立控制台使用者

調用GetDefaultDomain擷取帳號的預設網域名稱，格式為<AccountAlias>.onaliyun.com。
調用CreateUser建立RAM使用者，其中必傳的參數建議如下：
1. UserPrincipalName：RAM 使用者的登入名稱稱。格式為<username>@<AccountAlias>.onaliyun.com，其中<username>為 RAM 使用者名稱稱，<AccountAlias>.onaliyun.com為預設網域名稱。
2. DisplayName：RAM使用者的顯示名稱，可以與上面<username>不同。
調用CreateLoginProfile修改訪問方式和MFA要求等，其中部分參數的建議如下：
1. UserPrincipalName：上一步已建立的使用者資訊。
2. Password：根據帳號的密碼強度要求配置。可以調用GetPasswordPolicy查詢當前帳號的RAM使用者密碼強度策略。
3. MFABindRequired：建議設定強制要求RAM使用者開啟MFA，參數建議為true。
4. Status：是否開啟控制台密碼登入，保持預設值Active

建立程式使用者

調用GetDefaultDomain擷取帳號的預設網域名稱，格式為<AccountAlias>.onaliyun.com。
調用CreateUser建立RAM使用者，其中必傳的參數建議如下：
1. UserPrincipalName：RAM 使用者的登入名稱稱。格式為<username>@<AccountAlias>.onaliyun.com，其中<username>為 RAM 使用者名稱稱，<AccountAlias>.onaliyun.com為預設網域名稱。
2. DisplayName：RAM使用者的顯示名稱，可以與上面<username>不同。
調用CreateAccessKey建立存取金鑰（AccessKey），僅需傳入UserPrincipalName，即上一步已建立的使用者資訊即可完成AccessKey建立。
重要
調用CreateAccessKey介面的返回結果中會包含AccessKeyId和AccessKeySecret。AccessKeySecret僅在本次返回中提供，無法後續查詢，請務必立即儲存。泄露AccessKey將嚴重威脅您帳號下所有資源的安全。更多資訊詳見建立AccessKey。

重要

單擊確定後，會自動產生該RAM使用者的登入密碼和AccessKey資訊（AccessKey ID和AccessKey Secret）。請務必儲存好登入密碼和AccessKey資訊，否則後續無法查詢。

為RAM使用者授權

在RAM控制台的使用者頁面，單擊目標RAM使用者（上述建立的vod使用者）操作列的添加許可權。
在添加許可權面板，為RAM使用者添加許可權。

說明
建議為vod使用者添加可以管理和操作ApsaraVideo for VOD所有資源的系統策略許可權AliyunVODFullAccess，可通過在系統策略的搜尋輸入框中輸入AliyunVODFullAccess尋找，有關ApsaraVideo for VOD系統策略的定義及許可權資訊請參見系統授權策略。

在資源範圍中選擇帳號層級，勾選搜尋結果中的 AliyunVODFullAccess 策略，然後單擊確認新增授權。
- 選擇資源範圍：
  - 帳號層級：許可權在當前阿里雲帳號內生效。
  - 資源群組層級：許可權在指定的資源群組內生效。如果RAM使用者被授予了資源群組層級的許可權，該使用者登入控制台後，必須在頂部導覽列將資源範圍切換到被授權的資源群組，才能正常訪問和管理該資源群組內的資源。
    說明
    
    系統會自動標識出高風險系統策略（例如：AdministratorAccess、AliyunRAMFullAccess等），這些策略通常包含對所有雲資源的完全控制許可權或對存取控制（RAM）的完全系統管理權限等，請謹慎授予。
    
    資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。
- 選擇授權主體：
  
  授權主體即需要添加許可權的RAM使用者。如果是從使用者頁面發起，系統會自動選擇當前的RAM使用者。如果是從授權頁面發起，需要手動選擇RAM使用者，支援批量選中多個。
- 選擇權限原則：
  - 系統策略：可以直接搜尋並選擇。搜尋技巧：您可以利用搜尋方塊快速定位策略。支援按產品名稱（如ECS、OSS）、權限等級（如ReadOnly、FullAccess）或完整的策略名稱稱進行模糊搜尋。
  - 自訂策略：需要先建立自訂權限原則後再來授權。
- 單擊確認新增授權。
確認授權綁定操作結果，單擊關閉。

後續操作

若後續需要給RAM使用者增加登入控制台的許可權，可參見管理RAM使用者登入設定。

ApsaraVideo VOD：建立RAM使用者並授權