函数计算：配置 RAM 用户权限

使用控制台或 OpenAPI

登录控制台管理 Team、API Key 等资源时，使用阿里云账号或 RAM 用户；调用 FCSandbox OpenAPI 时，使用阿里云 AK 或 STS 临时凭证。这两种方式都通过 RAM 权限策略控制可执行的操作和可访问的资源。

使用 E2B SDK、CLI 或兼容 API

通过 E2B SDK、E2B CLI 或兼容 HTTP API 创建和访问 Sandbox 时，使用云沙箱 API Key，不需要配置 FCSandbox RAM 权限。每个 API Key 绑定一个 Team，建议不同项目和环境使用不同 Team 与 API Key，不要让测试和生产应用共用一个 API Key。创建方法参见创建 API Key。

管理账号下全部云沙箱资源

适用于统一管理所有 Team 和资源的平台管理员。以下策略授予账号下全部地域的 FCSandbox 权限，不包含函数计算或其他云服务权限。如需限制到指定地域，将 Resource 改为 acs:fcsandbox:<region>:<account-id>:*：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*"
    }
  ]
}

管理指定资源组

适用于管理一个部门内所有项目的测试和生产 Team，但不能访问其他部门的管理员。以下示例将权限限制到该部门的资源组：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceGroupId": "<department-resource-group-id>"
        }
      }
    }
  ]
}

RAM 用户登录控制台后，需要切换到已授权的资源组。调用列表接口时，也应传入对应的 resourceGroupID。

管理指定 Team

适用于项目开发人员或生产运维人员。以下策略允许管理指定 Team 及其子资源，但不能创建其他 Team：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": [
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>",
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>/*"
      ]
    }
  ]
}

Team 本身和 Team 子资源使用不同的 ARN，因此需要同时配置两条 Resource。该策略不包含账号级 Team 列表权限。若用户需要通过控制台选择 Team，可以增加资源组范围的 fcsandbox:ListTeams 权限，但该用户将能看到同一资源组内的 Team 列表。需要严格限制 Team 可见范围时，建议为该项目使用独立资源组。

Action

权限策略中的 Action 用于限定 RAM 身份可以调用的云沙箱 OpenAPI，格式为：

fcsandbox:<action>

例如，CreateTeam 对应 fcsandbox:CreateTeam，CreateVolume 对应 fcsandbox:CreateVolume。配置策略前，请在云沙箱 OpenAPI 文档中找到业务需要调用的接口，并根据接口的授权信息配置 Action。

Resource ARN

acs:fcsandbox:<region>:<account-id>:<resource-path>