访问控制RAM(Resource Access Management)是阿里云提供的管理用户身份与资源访问权限的服务。您可以创建RAM用户并授予其对资源的操作权限。当您的企业存在多用户协同操作资源的场景时,RAM可以帮助您避免与其他用户共享阿里云账号密钥,按需为用户分配最小权限,从而降低企业的信息安全风险。

创建RAM用户并授权

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择身份管理 > 设置,对RAM进行初始设置。
    您可以设置RAM用户安全策略。具体操作,请参见设置RAM用户安全策略
  3. 在左侧导航栏,选择身份管理 > 用户,创建RAM用户,并为RAM用户设置登录密码和AccessKey。
    具体操作,请参见创建RAM用户
  4. 在左侧导航栏,选择权限管理 > 权限策略,创建自定义策略。

    自定义策略是为RAM用户可以对资源栈进行操作的授权策略。具体操作,请参见创建自定义权限策略

    一个权限策略可以有多条授权语句,授权语句中需包含操作(Action)和资源(Resource)。关于ROS支持的操作(Action)和资源(Resource)的更多信息,请参见可授权的资源编排资源类型

  5. 左侧导航栏,选择身份管理 > 用户,为目标RAM用户授予自定义策略。
    说明 您也可以为用户组授予自定义权限策略。为用户组授权后,用户组中的所有RAM用户将拥有该用户组的所有权限。

ROS自定义权限策略示例

  • 示例一:查看资源栈列表

    以下策略表示:RAM用户可以查看北京地域的所有资源栈列表和资源栈详情。其中,星号(*)是通配符,表示北京地域的所有资源栈。

    {
      "Statement": [
        {
          "Action": [
            "ros:DescribeStacks",
            "ros:DescribeStackDetail"
          ],
          "Effect": "Allow",
          "Resource": "acs:ros:cn-beijing:*:stack/*"
        }
      ],
      "Version": "1"
    }                                    
  • 示例二:创建和查看资源栈

    以下策略表示:RAM用户可以在所有地域创建和查看资源栈。

    {
      "Statement": [
        {
          "Action": [
            "ros:CreateStack",
            "ros:DescribeStacks",
            "ros:DescribeStackDetail",
            "ros:ValidateTemplate"
          ],
          "Effect": "Allow",
          "Resource": "*"
        }
      ],
      "Version": "1"
    }                                   
  • 示例三:更新资源栈

    以下策略表示:RAM用户12345****可以更新资源栈94dd5431-2df6-4415-81ca-732a7082****

    {
      "Statement": [
        {
          "Action": [
            "ros:UpdateStack"
          ],
          "Effect": "Allow",
          "Resource": "acs:ros:cn-beijing:12345****:stack/94dd5431-2df6-4415-81ca-732a7082****"
        }
      ],
      "Version": "1"
    }                                    
  • 示例四:访问ROS的所有功能和资源

    当ROS通过阿里云STS(Security Token Service)和不通过STS进行临时授权访问时,以下策略均表示RAM用户当前IP网段为42.120.99.0/24、且正在使用HTTPS访问阿里云控制台或API时,可以访问ROS所有功能和资源,但不能访问其他云服务。说明:

    • acs:SourceIp取值为42.120.99.0/24,表示通过指定IP网段(42.120.99.0/24)访问阿里云。
    • acs:SecureTransport取值为true,表示通过HTTPS方式访问阿里云。
    {
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ros:*",
          "Resource": "*",
          "Condition": {
            "IpAddress": {
              "acs:SourceIp": "42.120.99.0/24"
            },
            "Bool": {
              "acs:SecureTransport": "true"
            }
          }
        }
      ],
      "Version": "1"
    }
  • 示例五:访问ROS的所有功能和资源,并设置是否支持访问ECS
    • 当ROS通过STS进行临时授权访问时,由于STS场景下无法透传acs:SourceIp和acs:SecureTransport,因此以下策略表示RAM用户当前IP网段为42.120.99.0/24、且正在使用HTTPS访问阿里云控制台或API时,可以访问ROS所有功能和资源,但不能访问其他服务,包括ECS。
    • 当ROS不通过STS进行临时授权访问时,以下策略表示RAM用户当前IP网段为42.120.99.0/24、且正在使用HTTPS访问阿里云控制台或API时,可以访问ROS和ECS所有功能和资源,但不能访问其他服务。
      说明 当ROS不通过STS进行临时授权访问时,支持透传acs:SourceIp和acs:SecureTransport的服务为:云服务器ECS、专用网络VPC、负载均衡SLB、阿里云关系型数据库RDS、云数据库Redis版、云解析PrivateZone、容器服务Kubernetes版ACK、函数计算FC、对象存储OSS、日志服务SLS、API网关和操作审计。
      {
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ros:*",
              "ecs:*"
            ],
            "Resource": "*",
            "Condition": {
              "IpAddress": {
                "acs:SourceIp": "42.120.99.0/24"
              },
              "Bool": {
                "acs:SecureTransport": "true"
              }
            }
          }
        ],
        "Version": "1"
      }