身份是指用戶在系統中的唯一標識符，通過身份，系統可以識別用戶的身份，確定其操作權限。阿里云的身份類型主要有：阿里云賬號，RAM用戶，RAM角色。
阿里云賬號
阿里云賬號（主賬號）是阿里云資源歸屬、資源使用計量計費的基本主體。阿里云賬號為其名下所擁有的資源付費，并對其名下所有資源擁有完全控制權限。除了一些要求必須使用阿里云賬號的場景外，我們建議您使用RAM用戶或RAM角色身份訪問控制臺和調用OpenAPI。
RAM 用戶
RAM用戶是RAM的一種實體身份類型，有確定的身份ID和身份憑證，它通常與某個確定的人或應用程序一一對應。RAM用戶具備以下特點：
- RAM用戶由阿里云賬號（主賬號）或具有管理員權限的其他RAM用戶、RAM角色創建，創建成功后，歸屬于該阿里云賬號，它不是獨立的阿里云賬號。
- RAM用戶不擁有資源，不能獨立計量計費，由所屬的阿里云賬號統一付費。
- RAM用戶必須在獲得授權后，才能登錄控制臺或使用API訪問阿里云賬號下的資源。
- RAM用戶擁有獨立的登錄密碼或訪問密鑰。
- 一個阿里云賬號下可以創建多個RAM用戶，對應企業內的員工、系統或應用程序。
更多詳情請參見RAM用戶概覽。
使用建議
創建獨立的 RAM 用戶
您可按照地域、產品、開發環境、組織等維度為不同的開發者創建多個獨立的 RAM 用戶。分權操作的好處是不同的 RAM 用戶有明確的業務歸屬，容易區分和操作分析。
多個用戶共享一個 RAM 用戶的壞處：
一旦出現異常操作，只能確定是該 RAM 用戶執行，但由于多個組織共享該 RAM 用戶，還是很難定位到具體的組織或人。
一旦 RAM 用戶的 AK 泄漏，需要立即禁用 AK，很多業務可能都硬編碼了該 AK 信息，導致短時間內無法立即禁用 AK，只能等業務改造完畢后才能禁用，增大系統風險。
將控制臺用戶與API用戶分離
不建議為一個RAM用戶同時創建用于控制臺操作的登錄密碼和用于API調用的訪問密鑰。將兩個不同的使用場景進行分離，避免員工誤操作導致服務受到影響。
建議操作：
應用程序賬號：只需要通過API訪問資源，創建訪問密鑰即可。
員工賬號：只需要通過控制臺操作資源，設置登錄密碼即可。
RAM角色
RAM角色是一種虛擬用戶，可以被授予一組權限策略。與RAM用戶不同，RAM角色沒有永久身份憑證（登錄密碼或訪問密鑰），需要被一個可信實體扮演。扮演成功后，可信實體將獲得RAM角色的臨時身份憑證，即安全令牌（STS Token），使用該安全令牌就能以RAM角色身份訪問被授權的資源。
例如：阿里云賬號 A 開放了一個 RAM 角色a_rr1，授權 OSS 產品的FullAccess，將該 RAM 角色的扮演者指定為阿里云賬號 B 的 RAM 用戶b_ru1。那么開發者可通過登錄 B 賬號的 RAM 用戶b_ru1，通過角色扮演 A 賬號的a_rr1，管理 A 賬號的 OSS 資源。
RAM角色類型
根據不同的可信實體，RAM角色分為以下三類：
可信實體為阿里云賬號的RAM角色：允許RAM用戶扮演的角色。扮演角色的RAM用戶可以屬于自己的阿里云賬號，也可以屬于其他阿里云賬號。該類角色主要用于解決跨賬號訪問和臨時授權問題。
可信實體為阿里云服務的RAM角色：允許云服務扮演的角色。分為普通服務角色和服務關聯角色兩種。該類角色主要用于解決跨服務訪問問題。
可信實體為身份提供商的RAM角色：允許可信身份提供商下的用戶所扮演的角色。該類角色主要用于實現與阿里云的單點登錄（SSO）。
應用場景
臨時授權訪問
通常情況下，建議您通過服務端調用API，盡可能保證訪問密鑰不被泄露。但是有些上傳文件的場景最好采用客戶端直傳的形式，避免服務端中轉帶來的多余開銷。此時，可以由服務端下發臨時安全令牌（STS Token），客戶端通過臨時安全令牌（STS Token）進行資源直傳。
更多信息，請參見移動應用使用臨時安全令牌訪問阿里云。
跨賬號訪問
當您擁有多個阿里云賬號，例如：賬號A和賬號B，希望實現賬號A訪問賬號B的指定資源。此時，您可以在賬號B下創建可信實體為賬號A的RAM角色，并授權允許賬號A下的某個RAM用戶或RAM角色可以扮演該角色，然后通過該角色訪問賬號B的指定資源。
更多信息，請參見跨阿里云賬號的資源授權。
跨服務訪問
在某些場景下，一個云服務為了完成自身的某個功能，需要獲取其他云服務的訪問權限。例如：配置審計（Config）服務要讀取您的云資源信息，以獲取資源列表和資源配置變更歷史，就需要獲取ECS、RDS等產品的訪問權限。此時，您可以創建可信實體為阿里云服務的RAM角色解決該問題。推薦您優先使用服務關聯角色，對于不支持服務關聯角色的云服務，請使用普通服務角色。
更多信息，請參見支持服務關聯角色的云服務。
單點登錄（角色SSO）
阿里云與企業進行角色SSO時，阿里云是服務提供商（SP），而企業自有的身份管理系統則是身份提供商（IdP）。通過角色SSO，企業可以在本地IdP中管理員工信息，無需進行阿里云和企業IdP間的用戶同步，企業員工將使用指定的RAM角色登錄阿里云。此時，您可以創建可信實體為身份提供商的RAM角色解決該問題。
更多信息，請參見SAML角色SSO概覽和OIDC角色SSO概覽。