RAM（子账号）的创建及授权
创建RAM用户
RAM用户是RAM中的一种身份，对应某一个操作实体（运维操作人员或应用程序）。通过创建新的RAM用户并授权，RAM用户便可以访问相关资源。
创建RAM用户的具体操作，请参见创建RAM用户。
授权RAM用户
为RAM用户授权后，RAM用户可以访问相应的阿里云问天引擎资源。您可以授权系统策略或自定义策略。具体操作，请参见管理RAM用户的权限和创建自定义权限策略。
常见权限组合
-
（系统策略）管理开放搜索问天引擎的权限：
AliyunSearchEngineFullAccess
-
（系统策略）只读访问开放搜索问天引擎的权限：
AliyunSearchEngineReadOnlyAccess
-
（系统策略）查看/添加报警权限：
系统策略包括 AliyunElasticsearchReadOnlyAccess 和 AliyunElasticsearchFullAccess。
指标监控授权
当您通过子账号登录向量检索版控制台后，在某个实例下查看监控指标有如下报错：
报错页面显示 Grafana Server Error，错误信息为 login.OAuthLogin(get info from generic_oauth)，并提示检查 Grafana 服务端日志获取详细错误信息。
在实例详情页顶部会出现蓝色提示条，提示首次访问需进行授权以使用高级监控报警功能。若授权出现问题导致"域名拒绝连接请求"，可单击提示条中的重新授权链接。若子账号点击授权后提示"调用未被授权"，说明当前账号权限不足。
此时您需要主账号或者具有AliyunRAMFullAccess权限的管理员账号，登录向量检索版控制台，点击授权。
授权成功后，该主账号下的子账号均不需要再次授权即可访问监控指标大盘。
授权成功后，可查看监控指标：
OpenSearch-向量检索版服务关联角色
背景信息
OpenSearch-向量检索版服务关联角色（AliyunServiceRoleForSearchEngine）是在某些情况下，为了完成OpenSearch-向量检索版自身的某个功能，需要获取其他云服务的访问权限，而提供的RAM角色。更多关于服务关联角色的信息请参见服务关联角色。
应用场景
OpenSearch-向量检索版的数据源功能需要访问云服务OSS的资源，通过服务关联角色功能获取访问权限。
AliyunServiceRoleForSearchEngine介绍
角色名称：AliyunServiceRoleForSearchEngine
角色权限策略：AliyunServiceRoleForSearchEngine授权策略：
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "oss:ListObjects",
"Resource": "*",
"Condition": {
"StringLike": {
"oss:Prefix": [
"*opensearch*"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"oss:GetObject",
"oss:GetObjectAcl"
],
"Resource": "acs:oss:*:*:*/*opensearch*/*"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "searchengine.aliyuncs.com"
}
}
}
]
}