云产品依赖与授权：EAS - 人工智能平台 PAI

RAM用户默认无权使用EAS，需要阿里云账号为其授权后才能访问。您可以选择系统策略（完整权限或只读权限）或自定义策略进行精细化授权。

背景信息

EAS提供以下三种授权方式，您可以根据业务需要选择：

为RAM用户授予EAS的管理权限

EAS提供系统策略AliyunPAIEASFullAccess，包含EAS的管理权限。授予该权限后，RAM用户即拥有EAS的完整权限。
为RAM用户授予EAS的只读权限

EAS提供系统策略AliyunPAIEASReadOnlyAccess，包含只读权限。为RAM用户授予该权限后，RAM用户即可查询、浏览已部署的EAS服务。
为RAM用户进行精细化授权

如果上述两种系统策略不满足需求，可通过创建自定义权限策略为RAM用户精细化授权。例如仅授予查询或修改已部署服务、专属资源组的权限。

为RAM用户授予EAS的管理权限

授予管理权限后，RAM用户即拥有EAS的完整操作权限。

登录RAM控制台。
为RAM用户添加EAS管理权限，具体操作请参见管理RAM用户的权限。
其中：
- 资源范围：选择账号级别。
- 权限策略：选择系统策略AliyunPAIEASFullAccess。
  
  说明
  由于OSS权限为安全敏感权限，因此该权限不在AliyunPAIEASFullAccess中，如果RAM用户需要使用OSS，请单独为其进行OSS授权，详情请参见RAM策略编辑器。

为RAM用户授予EAS的只读权限

授予只读权限后，RAM用户可查询、浏览已部署的EAS服务，但不能修改或删除。

登录RAM控制台。
为RAM用户添加EAS只读权限，具体操作请参见管理RAM用户的权限。
其中：
- 资源范围：选择账号级别。
- 权限策略：选择系统策略AliyunPAIEASReadOnlyAccess。

为RAM用户进行精细化授权

如果需要为RAM用户精细控制查询、修改已部署服务或专属资源组的权限，按以下步骤创建自定义策略并授权。

登录RAM控制台。

创建自定义权限策略，具体操作请参见通过脚本编辑模式创建自定义权限策略。

重要

请根据RAM用户需要使用的权限，谨慎定义权限策略。

例如，配置脚本内容为如下内容。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eas:CreateInstance",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "eas:DescribeService",
                "eas:DeleteService",
                "eas:UpdateService",
                "eas:UpdateServiceVersion"
            ],
            "Resource": [
                "acs:eas:<region>:<uid>:service/eas-m-xxx1",//示例，请参考下文的权限策略说明进行修改。
                "acs:eas:<region>:<uid>:service/eas-m-xxx2"
            ],
        }
    ]
}

脚本内容中的Action和Resource取值详情，请参见下文的权限策略说明。

为RAM用户授权，具体操作请参见管理RAM用户的权限。
其中：
- 资源范围：选择账号级别。
- 权限策略：选择步骤2创建的自定义策略。

权限策略说明

权限策略包含Action和Resource两部分，Action表示要执行的操作，Resource表示要操作的对象。

Action

Action取值如下：

服务相关

类别	Action	描述
服务相关	eas:CreateService	创建模型服务
	eas:ListServices	查看模型服务列表
	eas:DescribeService	查看模型服务详情
	eas:DeleteService	删除模型服务
	eas:DeleteServiceLabel	删除模型服务标签
	eas:ListServiceInstances	查看模型服务实例信息
	eas:DeleteServiceInstances	重启模型服务实例
	eas:UpdateService	更新模型服务、增加版本
	eas:UpdateServiceVersion	切换模型服务版本
	eas:StartService	启动模型服务
	eas:StopService	停止模型服务
	eas:UpdateService	更新模型服务
	eas:UpdateServiceLabel	更新模型服务标签
	eas:RestartService	重启模型服务
	eas:CreateServiceAutoScaler	开启模型服务自动扩缩容
	eas:CreateServiceCronScaler	开启模型服务定时扩缩容
	eas:DeleteServiceAutoScaler	关闭模型服务自动扩缩容
	eas:DeleteServiceCronScaler	关闭模型服务定时扩缩容
	eas:DescribeServiceAutoScaler	查看模型服务自动扩缩容状态
	eas:DescribeServiceCronScaler	查看模型服务定时扩缩容信息
	eas:UpdateServiceAutoScaler	更新模型服务自动扩缩容配置
	eas:UpdateServiceCronScaler	更新模型服务定时扩缩容配置
	eas:CreateAppService	创建应用服务
	eas:UpdateServiceSafetyLock	更新服务安全锁
	eas:UpdateServiceInstance	更新服务实例属性
	eas:UpdateAppService	更新应用服务
	eas:DescribeServiceDiagnosis	查看服务诊断详情
	eas:DescribeServiceInstanceDiagnosis	查看服务实例诊断详情
	eas:DescribeServiceEvent	查询模型服务部署事件
	eas:DescribeGroup	查看服务群组详情
	eas:ListServiceVersions	查询服务历史版本
	eas:ListServiceContainers	查询服务的容器列表
	eas:ListGroups	查看服务群组列表
	eas:CreateServiceMirror	创建模型服务流量镜像
	eas:DescribeServiceMirror	查看模型服务流量镜像状态
	eas:UpdateServiceMirror	更新模型服务流量镜像配置
	eas:DeleteServiceMirror	关闭模型服务流量镜像
	eas:ReleaseService	配置蓝绿部署服务流量比例
	eas:DescribeServiceLog	查看模型服务日志信息

资源组相关

类别	Action	描述
资源组相关	eas:CreateResource	创建专属资源组
	eas:DescribeResource	查看专属资源组基本信息
	eas:ListResources	查看专属资源组列表
	eas:DeleteResource	删除专属资源组
	eas:UpdateResource	更新专属资源组基本信息
	eas:ListResourceInstances	查看专属资源组机器实例列表
	eas:ListResourceInstanceWorker	查看专属资源组机器实例创建的容器列表
	eas:ListResourceServices	查看专属资源组中已部署的服务
	eas:CreateResourceInstances	创建专属资源组机器实例
	eas:UpdateResourceInstance	更新专属资源组机器实例
	eas:DeleteResourceInstances	删除专属资源组机器实例
	eas:UpdateResourceDLink	更新专属资源组VPC直连状态
	eas:DescribeResourceDLink	查看专属资源组VPC直连状态
	eas:DeleteResourceDLink	删除专属资源组VPC直连配置
	eas:CreateResourceLog	开启专属资源组SLS日志投递
	eas:DescribeResourceLog	查看专属资源组SLS日志投递状态
	eas:DeleteResourceLog	删除专属资源组SLS日志投递配置

压测任务相关

类别	Action	描述
压测任务相关	eas:CreateBenchmarkTask	创建压测任务
	eas:DeleteBenchmarkTask	删除压测任务
	eas:DescribeBenchmarkTask	查看压测任务详情
	eas:DescribeBenchmarkTaskReport	查看压测任务测试报告
	eas:ListBenchmarkTask	查询压测任务列表
	eas:StartBenchmarkTask	启动压测任务
	eas:StopBenchmarkTask	停止压测任务
	eas:UpdateBenchmarkTask	更新压测任务

私有网关相关

类别	Action	描述
私有网关相关	eas:CreateGateway	创建私有网关
	eas:DescribeGateway	查看私有网关详情
	eas:UpdateGateway	更新私有网关
	eas:CreateGatewayIntranetLinkedVpc	创建私有网关内网访问端点
	eas:ListGatewayIntranetLinkedVpc	查看私有网关内网访问端点列表
	eas:DeleteGatewayIntranetLinkedVpc	删除私有网关内网访问端点
	eas:DeleteGateway	删除私有网关
	eas:ListPrivileges	查看用户的白名单配置

Resource

Resource取值如下：

EAS中Resource的格式如下：

acs:eas:<region>:<uid>:<resource_type>/<id>

将以下参数替换为实际值：

<region>：服务或专属资源组所在的地域。
<uid>：可操作账号的uid。
<resource_type>：资源类型。例如操作服务相关的资源时，取值为service；操作资源组相关的资源时，取值为resource。
<id>：服务或专属资源组的ID。

以下以操作指定公共资源组部署的服务、专属资源组部署的服务、专属资源组为例，说明Resource的取值：

操作已部署的指定服务
- 操作公共资源组部署的服务
```
acs:eas:cn-hangzhou:123456789012****:service/eas-m-u12fxt9ml1syoj****
```
  上述Resource表示可操作账号123456789012****在华东1（杭州）部署的ID为eas-m-u12fxt9ml1syoj****的公共资源组服务。
```
acs:eas:cn-hangzhou:123456789012****:service/your_service_name
```
  上述Resource表示可操作账号123456789012****在华东1（杭州）部署的名称为your_service_name的公共资源组服务。
- 操作专属资源组部署的服务
```
acs:eas:cn-shanghai:123456789012****:resource/eas-r-jksauxqjsai81****/service/eas-m-iaskn1skn1us****
```
  上述Resource表示可操作账号123456789012****在华东2（上海）的ID为eas-r-jksauxqjsai8****的专属资源组中部署的eas-m-iaskn1skn1us****服务。
```
acs:eas:cn-shanghai:123456789012****:resource/eas-r-jksauxqjsai8****/service/your_private_service
```
  上述Resource表示可操作账号123456789012****在华东2（上海）的ID为eas-r-jksauxqjsai8****的专属资源组中部署的名称为your_private_service的服务。
操作指定的专属资源组
```
acs:eas:cn-beijing:123456789012****:resource/eas-r-jksauxqjsai8****
```
上述Resource表示可操作账号123456789012****在华北2（北京）的ID为eas-r-jksauxqjsai8****的专属资源组。
批量授权

可将Resource格式中任意部分替换为星号（*）实现批量授权。
批量授权时Resource取值样例：
- ```
acs:eas:*:123456789012****:service/*
```
  该Resource表示可操作账号123456789012****在所有地域的所有公共资源组的服务。
- ```
acs:eas:cn-hangzhou:123456789012****:resource/eas-r-jksauxqjsai8****/*
```
  该Resource表示可操作账号123456789012****在华东1（杭州）的eas-r-jksauxqjsai8****专属资源组中部署的所有服务。
- ```
acs:eas:*:123456789012****:*
```
  该Resource表示可操作账号123456789012****在所有地域的所有资源组和所有服务。
- ```
acs:eas:*:123456789012****:service/prefix*
```
  该Resource表示可操作账号123456789012****在所有地域的名称前缀为prefix的公共资源组服务。