授权用户角色

步骤1：创建用户角色并指定受信云账号

1. 登录RAM控制台。
2. 在左侧导航栏，单击RAM角色管理。
3. 在RAM角色管理页面，单击创建RAM角色。
4. 选择可信实体类型为阿里云账号，单击下一步。
5. 请参考下表说明进行角色配置。

   配置项	说明
   角色名称	请输入角色名称。
   备注	请输入备注信息。
   选择云账号	可以选择当前云账号或其他云账号。 若创建的角色是给您自己名下的RAM用户使用（例如授权移动App客户端直接操作日志服务的资源），请选择当前云账号为受信云账号。 若创建的角色是给其他云账号名下的RAM用户使用（例如跨账号的资源授权），请选择其他云账号，并在受信云账号ID中填写其他云账号ID。

6. 单击完成。

步骤2：为RAM用户角色授权

成功创建用户角色后，该用户角色没有任何权限，您需要为RAM用户角色授予操作日志服务的权限。您上一步中指定的受信云账号将有权限扮演该RAM用户角色操作日志服务。

您可以赋予RAM用户角色一个或多个授权策略，包括系统授权策略和自定义授权策略。下文步骤以授予RAM用户角色管理日志服务的权限为例。

1. 在左侧导航栏，单击RAM角色管理。
2. 找到目标RAM角色，单击添加权限。
3. 在添加权限页面，选中系统策略下的AliyunLogFullAccess，单击确定。
4. 确认授权结果，单击完成。

步骤3：为受信云账号的RAM用户授权

RAM用户角色需要被一个受信的实体用户扮演才能正常使用，但是受信实体用户不能以自己的身份扮演RAM用户角色，必须以RAM用户的身份扮演。即RAM用户角色只能通过RAM用户身份来扮演使用。

另外，受信云账号必须为其名下的RAM用户进行AssumeRole授权，授予该RAM用户调用STS服务AssumeRole接口的权限，此RAM用户才能代表受信云账号扮演步骤1：创建用户角色并指定受信云账号中创建的RAM用户角色。

1. 在左侧导航栏，单击人员管理 > 用户。
2. 找到目标用户，单击添加权限。
3. 在添加权限页面，选中系统策略下的AliyunSTSAssumeRoleAccess，单击确定。
4. 确认授权结果，单击完成。

步骤4：获取RAM用户角色的临时安全令牌

当RAM用户被授予AssumeRole权限之后，通过调用STS AssumeRole接口获取步骤1：创建用户角色并指定受信云账号中创建的RAM用户角色的临时安全令牌。