Resource Access Management:FAQ about RAM users

RAM kullanıcılarının oturum açma URL'si ve kullanıcı adı biçimi nedir?

RAM kullanıcıları aşağıdaki kullanıcı adı biçimlerinden herhangi biriyle oturum açabilir:

• Varsayılan alan adı: <UserName>@<AccountAlias>.onaliyun.com (örnek: username@company-alias.onaliyun.com).

  Not

  RAM kullanıcısının oturum açma adı User Principal Name (UPN) biçimindedir. RAM konsolunda listelenen tüm oturum açma adları bu biçimi takip eder. <UserName> ifadesi RAM kullanıcısının kullanıcı adını belirtir. <AccountAlias>.onaliyun.com ifadesi varsayılan alan adını belirtir. Daha fazla bilgi için bkz. Temel kavramlar ve RAM kullanıcı oturum açma alanlarını yönetme.

• Hesap takma adı: <UserName>@<AccountAlias> (örnek: username@company-alias).

  Not

  <UserName> ifadesi RAM kullanıcısının kullanıcı adını belirtir. <AccountAlias> ifadesi hesap takma adını belirtir. Daha fazla bilgi için bkz. Temel kavramlar ve RAM kullanıcı oturum açma alanlarını yönetme.

• Alan adı takma adı (yapılandırma gerektirir): <UserName>@<DomainAlias> (örnek: username@example.com).

  Not

  <UserName> ifadesi RAM kullanıcısının kullanıcı adını belirtir. <DomainAlias> ifadesi alan adı takma adını belirtir. Daha fazla bilgi için bkz. Temel kavramlar ve Alan adı takma adı oluşturma ve doğrulama.

Varsayılan alan adı ve alan adı takma adı nedir?

Her Alibaba Cloud hesabının <AccountAlias>.onaliyun.com biçiminde benzersiz bir varsayılan alan adı bulunur; bu alan adı RAM kullanıcılarının oturum açması ve tek oturum açma (SSO) işlemleri için kullanılır. Varsayılan alan adını yönetme hakkında daha fazla bilgi için bkz. RAM kullanıcı oturum açma alanlarını yönetme.

Alan adı takma adı, varsayılan alan adının yerine geçen ve herkese açık olarak çözümlenebilen özel bir alan adıdır. Daha fazla bilgi için bkz. Alan adı takma adı oluşturma ve doğrulama.

Bir RAM kullanıcısının kaynak satın alması için hangi izinlere ihtiyacı vardır?

• Kullandıkça öde hizmetlerini satın almak için RAM kullanıcısının örnekler veya kaynaklar oluşturma iznine sahip olması gerekir.

• Abonelik kaynaklarını satın almak için RAM kullanıcısının hem örnek oluşturma hem de ödeme iznine sahip olması gerekir. Ödeme izni vermek için AliyunBSSOrderAccess ilkesini ekleyin.

• Bir kaynak oluşturmak, bağımlı kaynakları kullanmak veya oluşturmak için ek izinler gerektirebilir.

  ECS örnekleri oluşturmaya yönelik örnek ilke:

  Bu ilkeyle bir RAM kullanıcısı, başlatma şablonlarından ECS örnekleri oluşturabilir.

  {
      "Version": "1",
      "Statement": [{
              "Action": [
                  "ecs:DescribeLaunchTemplates",
                  "ecs:CreateInstance",
                  "ecs:RunInstances",
                  "ecs:DescribeInstances",
                  "ecs:DescribeImages",
                  "ecs:DescribeSecurityGroups"
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "vpc:DescribeVpcs",
                  "vpc:DescribeVSwitches"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

  Bir ECS örneği oluşturmak, bağımlı kaynaklar için ek izinler gerektirebilir:

  İşlem	İlke
  Anlık görüntü kullanarak bir ECS örneği oluşturma	ecs:DescribeSnapshots
  VPC oluşturma ve kullanma	vpc:CreateVpc vpc:CreateVSwitch
  Güvenlik grubu oluşturma ve kullanma	ecs:CreateSecurityGroup ecs:AuthorizeSecurityGroup
  ECS örneğine RAM rolü atama	ecs:DescribeInstanceRamRole ram:ListRoles ram:PassRole
  AccessKey çifti kullanma	ecs:CreateKeyPair ecs:DescribeKeyPairs
  Ayrılmış ana bilgisayar üzerinde ECS örneği oluşturma	ecs:AllocateDedicatedHosts

  Not

  • Özel ilkeler oluşturma hakkında daha fazla bilgi için bkz. Özel ilke oluşturma.

  • RAM kullanıcısına izin verme.

Bir Alibaba Cloud hesabı tam izinlere sahiptir ve Alibaba Cloud hizmetlerini doğrudan satın alabilir. Hesabın hizmet satın alabilmesi için kimlik doğrulamasını tamamlaması gerekir. Bir RAM kullanıcısı varsayılan olarak herhangi bir izne sahip değildir. Alibaba Cloud hesabı, Resource Access Management (RAM) konsolunda ilgili hizmetin sistem ilkesini (örneğin AliyunSAEFullAccess) RAM kullanıcısına açıkça vermelidir. İlke verildikten sonra RAM kullanıcısı, hesap adına hizmeti satın alabilir. En iyi uygulama olarak, izin verirken en az ayrıcalık ilkesini izleyin. Ek sipariş veya ön ödeme gerekip gerekmediği hizmete bağlıdır. Gerçek gereksinim için konsoldaki satın alma sayfasındaki uyarıları gözden geçirin.

İzin verildikten sonra bir RAM kullanıcısı neden kaynaklara erişemiyor?

• İzin tanılama özelliğine sahip hizmetler, nedenleri ve çözümleri doğrudan gösterir. Daha fazla bilgi için bkz. Erişim reddedildi hatalarını giderme

• İzin tanılama özelliği olmayan hizmetler için sorunu belirlemek ve çözmek üzere aşağıdaki tabloyu kullanın.

  Neden	Çözüm
  İlke geçersiz.	RAM kullanıcısına eklenen ilkenin geçerli olduğunu ve gereksinimlerinizi karşıladığını doğrulayın.
  Özel bir ilke içinde Deny ifadesi yapılandırılmış.	RAM kullanıcısına veya kullanıcı grubuna eklenen ilkelerde "Effect": "Deny" ifadesini kontrol edin. Deny ifadesi her zaman Allow ifadesine göre önceliklidir. Örneğin, RAM kullanıcısında AliyunECSReadOnlyAccess olsa da aşağıdaki Deny ilkesi de eklenmişse RAM kullanıcısı ECS örneklerini görüntüleyemez: { "Statement": [{ "Action": "ecs:*", "Effect": "Deny", "Resource": "*" }], "Version": "1" }
  Kaynaklar ilgili kimlik doğrulama yöntemini desteklemiyor.	Kimlik doğrulama yöntemleri hizmete göre değişir. Desteklenen yöntemin kullanıldığını doğrulayın: RAM tabanlı kimlik doğrulamayı destekleyen hizmetleri öğrenmek için RAM'i destekleyen hizmetler bölümüne bakın. Kaynak grubu tabanlı kimlik doğrulamayı destekleyen hizmetleri öğrenmek için Kaynak Grubu ile çalışan hizmetler bölümüne bakın. Etiket tabanlı kimlik doğrulamayı destekleyen hizmetleri öğrenmek için Resource Management konsolu üzerinde oturum açın, sol gezinme bölmesinde Tag > Tag seçeneğini belirleyin, sayfanın sağ üst köşesindeki Resource Types Supported by Tag öğesine tıklayın ve ardından Tag Ram Support değeri Support olan kaynak türlerini bulun.
  Kaynak dizininin erişim kontrolü ilkesi kaynaklara erişimi reddediyor.	Alibaba Cloud hesabı bir kaynak dizinine aitse ve bir erişim kontrolü ilkesi erişimi reddediyorsa RAM kullanıcısı etkilenen kaynaklara ulaşamaz. Kontrol ilkesini değiştirmek veya kaldırmak için yönetim hesabı sahibine başvurun. Üyenin ait olduğu kaynak dizininin yönetim hesabını bulun. Bir üyenin ait olduğu kaynak dizini hakkındaki bilgileri görüntüleme. Kontrol ilkesini değiştirmek veya kaldırmak için yönetim hesabı sahibine başvurun. Daha fazla bilgi için bkz. Özel kontrol ilkesini değiştirme veya Özel kontrol ilkesini ayırma.

Açık izinler olmadan bir RAM kullanıcısı neden kaynaklara erişebilir?

Örneğin, AliyunECSFullAccess sistem ilkesi, AliyunECSReadOnlyAccess sistem ilkesi veya ilgili özel ilkeler RAM kullanıcısına eklenmemiş olsa bile RAM kullanıcısı ECS örneklerini görüntüleyebilir.

• RAM kullanıcısının kullanıcı grubuna eklenen ilkeleri kontrol edin.

• Başka eklenen ilkelerin gerekli izinleri içerip içermediğini kontrol edin.

  Örneğin, AliyunCloudMonitorFullAccess ilkesi "ecs:DescribeInstances", "rds:DescribeDBInstances" ve "slb:DescribeLoadBalancer" eylemlerini içerir. AliyunCloudMonitorFullAccess ilkesine sahip bir RAM kullanıcısı ECS, ApsaraDB RDS ve SLB örneklerini görüntüleyebilir.

Bir RAM kullanıcısına yenileme izinlerini nasıl verebilirim?

Evrensel bir yenileme ilkesi bulunmamaktadır. Satın alma ve ödeme izinlerini içeren hizmete özel özel bir ilke oluşturun ve ardından bunu RAM kullanıcısına ekleyin.

Örneğin, bir RAM kullanıcısının ECS örneklerini yenilemesine izin vermek için aşağıdaki özel ilkeyi ve AliyunBSSOrderAccess sistem ilkesini ekleyin:

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "ecs:DescribeLaunchTemplates",
                "ecs:RenewInstance",
                "ecs:DescribeInstances",
                "ecs:DescribeImages",
                "ecs:DescribeSecurityGroups"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

RAM kullanıcılarının faturalandırması nasıl yapılır?

• RAM kullanıcıları tarafından yapılan tüm masraflar, üst Alibaba Cloud hesabına faturalandırılır.

• RAM kullanıcıları, varsayılan olarak üst Alibaba Cloud hesabının indirimlerini devralır.

• Finansal yapılandırmalar (tüketim bütçesi, kredi limiti, ödeme yöntemleri) hesap genelinde geçerlidir ve RAM kullanıcıları bazında ayarlanamaz.

• RAM kullanıcılarına, üst hesaba fon ekleme yetkisi verilebilir. Eklenen fonlar Alibaba Cloud hesabına aittir.

• RAM kullanıcıları ve kullanıcı grupları ayrı olarak faturalandırılmaz.

RAM izinlerim neden hemen çalışmıyor?

RAM, yüksek kullanılabilirlik sağlamak için izin verilerini birden çok bölge ve alanda çoğaltır. Bu işlem nihai tutarlılık modelini izler; yani değişikliklerin her yerde aynı anda görünmeyebileceği anlamına gelir.

İzin güncellemeleri global olarak dağıtılır ve bu durum, tüm hizmetlerin değişikliği tanımasından önce kısa bir gecikmeye neden olabilir. Bu çok bölgeli tasarım, bir alan kullanılamaz hale gelirse otomatik yük devretmeyi de etkinleştirir.

Bir RAM kullanıcısına eklenen ilke sayısı sınırı aşarsa (LimitExceeded.User.Policy) ne yapmalıyım?

Bir RAM kullanıcısına ilkeler eklerken eklenen ilke sayısı kotayı aştığında LimitExceeded.User.Policy hatası bildirilir.

Bu sorunu çözmek için kota artırımı talep etmek üzere aşağıdaki adımları uygulayın:

1. Quota Center üzerinde oturum açın.

2. Number of System Policies That a RAM Role Can Bind veya Custom Policies That a RAM Role Can Bind kota öğesini bulun.

3. Kota artırımı isteği göndermek için Apply öğesine tıklayın.

CloudSSO hızlı oturum açma bağlantıları hakkında SSS

CloudSSO hızlı oturum açma bağlantısı bir güvenlik riski midir?

Hayır. Hızlı oturum açma bağlantısı, bir URL kısayolu oluşturan bir yardımcı özelliktir. Bağlantıya tıkladıktan sonra standart kimlik doğrulamasını tamamlamanız yine de gerekir. Bağlantı, parolasız oturum açma mekanizması değildir ve bir güvenlik riski oluşturmaz.

CloudSSO hızlı oturum açma bağlantısı özelliğini devre dışı bırakabilir miyim?

Hayır. CloudSSO hızlı oturum açma bağlantısı modülü devre dışı bırakılamaz.

Hızlı oturum açma bağlantılarının oluşturma kayıtlarını sorgulayabilir miyim?

Hayır. Sistem oluşturma kaydı sorgulamaları sağlamaz. Hızlı oturum açma bağlantısı, sabit kurallara göre birleştirilen bir URL'dir. Arka uçta oluşturma günlükleri kaydedilmez.

Başka bir Alibaba Cloud hesabının oturum açma adını sorgulayabilir miyim?

Hayır. Bir Alibaba Cloud hesabı, başka bir hesabın kullanıcı adını (oturum açma adını) doğrudan sorgulayamaz. Kullanıcı adı, e-posta adresi veya özel takma ad gibi özel hesap bilgileridir ve hesaplar arası sorgulamalar desteklenmez.

FullAccess ilkesine sahip olmasına rağmen bir RAM kullanıcısı belirli özelliklere neden erişemiyor?

Ürün düzeyindeki bir FullAccess ilkesi tüm eylemleri veya özellikleri kapsamayabilir. Bir RAM kullanıcısına FullAccess ilkesi verilmiş olmasına rağmen yine de erişim reddedildi hatası alıyorsa aşağıdaki senaryoları kontrol edin:

Senaryo 1: Model Studio (Bailian) çalışma alanlarına erişim

RAM yetkilendirmesine ek olarak, RAM kullanıcısını Model Studio konsolunda üye olarak eklemeniz ve bir rol atamanız gerekir. Model Studio konsolundaki Workspaces sayfasına gidin, hedef çalışma alanını seçin ve RAM kullanıcısını üye olarak ekleyin.

Senaryo 2: API çağrıları log:CreateStoreView veya yundun-sas:GetSwitchRegionDetail gibi hatalar döndürüyor

FullAccess ilkesi belirli bazı eylemleri içermeyebilir. Hata mesajında bildirilen tam eylemleri içeren özel bir ilke oluşturun ve bu özel ilkeyi RAM kullanıcısına ekleyin.

Senaryo 3: Copilot veya AI asistan erişimi

AliyunSupportFullAccess ilkesinin RAM kullanıcısına eklendiğini ve eklenen ilke sayısının kotayı aşmadığını doğrulayın.

Senaryo 4: Alan adı doğrulama

AliyunDNSFullAccess ilkesinin RAM kullanıcısına eklendiğini doğrulayın.

Bir RAM kullanıcısına cloud hizmetlerini satın alma iznini nasıl verebilirim?

Bir RAM kullanıcısının ECS gibi cloud hizmetlerini satın almasına izin vermek için aşağıdaki izinleri verin:

1. Ürün izinleri: Hedef ürün için FullAccess ilkesini ekleyin. Örneğin, ECS işlemlerine izin vermek için AliyunECSFullAccess ilkesini ekleyin veya ecs:RunInstances gibi gerekli eylemleri içeren özel bir ilke oluşturun.

2. Ödeme izinleri: RAM kullanıcısının abonelik (yıllık veya aylık) örnekleri satın alması gerekiyorsa, RAM kullanıcısının sipariş vermesine ve ödeme yapmasına izin vermek için AliyunBSSOrderAccess ilkesini de eklemeniz gerekir.

3. Tüm ürünleri satın alma izinleri: RAM kullanıcısının tüm cloud ürünlerini satın almasına izin vermek için AdministratorAccess ilkesini ekleyin. Tam yönetici erişimi sağladığından bu ilkeyi verirken dikkatli olun.

İzin vermek için RAM konsoluna gidin, Identities > Users seçeneğini belirleyin, hedef kullanıcıyı seçin ve Grant Permission öğesine tıklayın.

Bir RAM kullanıcısından belirli izinlerin geri alınması veya kaldırılması diğer cloud hizmetlerini etkiler mi?

Cloud hizmet izinleri genellikle birbirinden bağımsızdır. Bir ilkenin kaldırılmasının etkisi, o ilkenin kapsamına bağlıdır:

• AliyunRAMFullAccess ilkesinin kaldırılması RAM yönetimi yeteneklerini iptal eder ancak Message Service (MNS) gibi iş hizmetlerini etkilemez.

• PowerUserAccess ilkesinin kaldırılması iş arka uç erişimini etkilemez ancak RAM kullanıcısı faturalama ve kaynak dizinlerini yönetme yeteneğini kaybeder.

Bir ilkeyi kaldırmadan önce etkisini aşağıdaki yöntemlerden birini kullanarak doğrulayın:

• RAM konsolundaki Permission Diagnostics özelliğini kullanarak ilkenin hangi kaynakları ve eylemleri kapsadığını kontrol edin.

• İlkenin ve ilişkili kaynakların son kullanımını incelemek için Access Analysis özelliğini kullanın.

En az ayrıcalık ilkesini izleyin: saldırı yüzeyini azaltmak için gereksiz yüksek riskli izinleri derhal temizleyin.

Bir RAM kullanıcısı izinleri nasıl talep eder veya mevcut izinleri nasıl yeniden kullanır?

İzin talep etme

Alibaba Cloud, RAM kullanıcıları için kendi kendine hizmet izin onayını desteklemez. İzin almak için RAM kullanıcısı, gerekli ilkeleri RAM konsolunda vermek üzere Alibaba Cloud hesap yöneticisine başvurmalıdır.

İzinleri yeniden kullanma

Bir RAM kullanıcısı, farklı özellik modüllerine erişmek için zaten verilmiş ürün izinlerini yeniden kullanabilir. Örneğin, bir RAM kullanıcısına konuşma sentezi izinleri verilmişse aynı kullanıcı, her modül için ayrı bir RAM kullanıcısı oluşturmadan konuşma tanıma özelliklerine erişebilir.

Geçerli izinleri görüntüleme

RAM kullanıcıları tam izin listesini doğrudan görüntüleyemez. Geçerli izinleri onaylamak için hedef özelliklere erişmeyi deneyin veya eklenen ilkeleri incelemek için Alibaba Cloud hesap yöneticisine başvurun.

Bir RAM kullanıcısı "current account does not allow RAM user logon" veya "RAM logon required" gibi bir oturum açma hatası alırsa ne yapmalıyım?

Hata mesajına göre aşağıdaki senaryoları kontrol edin:

Senaryo 1: Konsol oturum açma etkin değil

RAM kullanıcı ayrıntıları sayfasına gidin ve Authentication > Logon Information altındaki Console Access durumunu kontrol edin. Durum Disabled veya Not Enabled ise konsol oturum açmayı etkinleştirmek ve parolayı sıfırlamak için Modify Logon Settings öğesine tıklayın.

Senaryo 2: Global güvenlik ilkesi kısıtlamaları

Alibaba Cloud hesabı için yapılandırılan güvenlik ilkesini kontrol edin:

1. RAM konsolunda Settings > Account Security Policy bölümüne gidin.

2. Bir Logon Mask (IP beyaz listesi) yapılandırılıp yapılandırılmadığını kontrol edin. RAM kullanıcısının mevcut IP adresinin izin verilen aralıkta olduğunu doğrulayın.

Senaryo 3: Olağan dışı oturum açma davranışı nedeniyle tetiklenen risk kontrolü

Yeni oluşturulan hesaplar veya proxy IP adresleri ya da alışılmış kalıptan farklı konumlar gibi olağan dışı ortamlardan yapılan oturum açma girişimleri otomatik sistem engellemeyi tetikleyebilir.

• Kısıtlamayı kaldırmak için yöneticinin RAM konsolunda RAM kullanıcısının parolasını sıfırlamasını sağlayın.

• Hesap AccessKey sızıntısı gibi güvenlik riskleri nedeniyle engellendiyse önce anormal kaynakları temizleyin, güvenliği ihlal edilmiş AccessKey'leri devre dışı bırakın ve ardından kısıtlamanın kaldırılmasını isteyin.

Senaryo 4: CloudSSO ve RAM ayarları çakışması

CloudSSO'da parola ile oturum açmayı devre dışı bırakmak, bağımsız RAM oturum açma yapılandırmasını etkilemez. Bir RAM kullanıcısı için parola ile oturum açmayı tamamen devre dışı bırakmanız gerekiyorsa RAM konsolunda bu kullanıcı için Console Access öğesini devre dışı bırakmanız gerekir.

RAM kullanıcısı oturum açma başarısızlığına neden olabilecek diğer sebepler nelerdir ve bunları nasıl çözebilirim?

"current account does not allow RAM user logon" hatasına ek olarak aşağıdaki nedenler de RAM kullanıcısı oturum açma başarısızlıklarına yol açabilir.

Oturum açma yöntemleri hakkında daha fazla bilgi için bkz. RAM Kullanıcısı Olarak Alibaba Cloud Yönetim Konsolunda Oturum Açma.

RAM kullanıcılarının oturum açma yöntemleri, oturum süresi ve ortamları üzerindeki sınırlamalar nelerdir?

Telefon doğrulama kodu ve parola ile oturum açmanın birlikte bulunması

Bir RAM kullanıcısı için konsol parolası ile oturum açma etkinleştirildikten sonra telefon numarası doğrulama kodu ile oturum açma yöntemi kullanılabilir durumda kalır. Her iki oturum açma yöntemi de bağımsız olarak çalışır ve birbirini etkilemez. Bir RAM kullanıcısının telefon numarası bağlaması gerekmez. MFA doğrulamasını atlamak, Alibaba Cloud hesabının güvenlik ayarlarını etkilemez.

Alibaba Cloud Uygulaması oturum sınırı

Alibaba Cloud Uygulaması'nda bir RAM kullanıcısı için maksimum oturum açma oturumu süresi 24 saattir. Kalıcı uzun ömürlü oturumlar desteklenmez.

Aynı cihazda çoklu hesapla oturum açma

Aynı cihazda farklı tarayıcılar kullanarak hem bir Alibaba Cloud hesabında hem de bir RAM kullanıcısı hesabında aynı anda oturum açmak genellikle güvenlik istisnalarını tetiklemez. Ancak halka açık proxy'ler, veri merkezi IP'leri veya sık IP değişiklikleri gibi yüksek riskli ağ ortamları yine de güvenlik engellemelerini tetikleyebilir. Bu tür sorunlardan kaçınmak için kararlı ve güvenilir bir ağ ortamı kullanın.