RAM主子賬號(hào)授權(quán)
借助訪問控制RAM的RAM用戶，您可以實(shí)現(xiàn)阿里云賬號(hào)（主賬號(hào)）和RAM用戶（子賬號(hào)）權(quán)限分割，按需為RAM用戶賦予不同的權(quán)限，并避免因暴露阿里云賬號(hào)密鑰而造成安全風(fēng)險(xiǎn)。
背景信息
企業(yè)A開通了云消息隊(duì)列 Kafka 版服務(wù)，該企業(yè)需要員工操作云消息隊(duì)列 Kafka 版服務(wù)所涉及的資源，例如實(shí)例、Topic、Consumer Group。由于每個(gè)員工的工作職責(zé)不一樣，需要的權(quán)限也不一樣。企業(yè)A的需求如下：
- 出于安全或信任的考慮，不希望將云賬號(hào)密鑰直接透露給員工，而希望能給員工創(chuàng)建相應(yīng)的用戶賬號(hào)。
- 用戶賬號(hào)只能在授權(quán)的前提下操作資源，不需要對用戶賬號(hào)進(jìn)行獨(dú)立的計(jì)量計(jì)費(fèi)，所有開銷都計(jì)入企業(yè)賬號(hào)名下。
- 隨時(shí)可以撤銷用戶賬號(hào)的權(quán)限，也可以隨時(shí)刪除其創(chuàng)建的用戶賬號(hào)。
步驟一：創(chuàng)建RAM用戶
使用企業(yè)A的阿里云賬號(hào)登錄RAM控制臺(tái)并為員工創(chuàng)建RAM用戶。
操作步驟
使用阿里云賬號(hào)（主賬號(hào)）或RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在用戶頁面，單擊創(chuàng)建用戶。
在創(chuàng)建用戶頁面的用戶賬號(hào)信息區(qū)域，設(shè)置用戶基本信息。
登錄名稱：可包含英文字母、數(shù)字、半角句號(hào)（.）、短劃線（-）和下劃線（_），最多64個(gè)字符。
顯示名稱：最多包含128個(gè)字符或漢字。
標(biāo)簽：單擊
，然后輸入標(biāo)簽鍵和標(biāo)簽值。為RAM用戶綁定標(biāo)簽，便于后續(xù)基于標(biāo)簽的用戶管理。
說明單擊添加用戶，可以批量創(chuàng)建多個(gè)RAM用戶。
在訪問方式區(qū)域，選擇訪問方式，然后設(shè)置對應(yīng)參數(shù)。
為了賬號(hào)安全，建議您只選擇以下訪問方式中的一種，將人員用戶和應(yīng)用程序用戶分離，避免混用。
控制臺(tái)訪問
如果RAM用戶代表人員，建議啟用控制臺(tái)訪問，使用用戶名和登錄密碼訪問阿里云。您需要設(shè)置以下參數(shù)：
控制臺(tái)登錄密碼：選擇自動(dòng)生成密碼或者自定義密碼。自定義登錄密碼時(shí)，密碼必須滿足密碼復(fù)雜度規(guī)則。更多信息，請參見設(shè)置RAM用戶密碼強(qiáng)度。
密碼重置策略：選擇RAM用戶在下次登錄時(shí)是否需要重置密碼。
多因素認(rèn)證（MFA）策略：選擇是否為當(dāng)前RAM用戶啟用MFA。啟用MFA后，主賬號(hào)還需要為RAM用戶綁定MFA設(shè)備或RAM用戶自行綁定MFA設(shè)備。更多信息，請參見為RAM用戶綁定MFA設(shè)備。
OpenAPI調(diào)用訪問
如果RAM用戶代表應(yīng)用程序，建議啟用OpenAPI調(diào)用訪問，使用訪問密鑰（AccessKey）訪問阿里云。啟用后，系統(tǒng)會(huì)自動(dòng)為RAM用戶生成一個(gè)AccessKey ID和AccessKey Secret。更多信息，請參見創(chuàng)建AccessKey。
重要RAM用戶的AccessKey Secret只在創(chuàng)建時(shí)顯示，不支持查看，請妥善保管。
單擊確定。
根據(jù)界面提示，完成安全驗(yàn)證。
步驟二：為RAM用戶添加權(quán)限
方式一：在用戶頁面為RAM用戶授權(quán)
使用RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在用戶頁面，單擊目標(biāo)RAM用戶操作列的添加權(quán)限。
您也可以選中多個(gè)RAM用戶，單擊用戶列表下方的添加權(quán)限，為RAM用戶批量授權(quán)。
在新增授權(quán)面板，為RAM用戶添加權(quán)限。
選擇資源范圍。
賬號(hào)級(jí)別：權(quán)限在當(dāng)前阿里云賬號(hào)內(nèi)生效。
資源組級(jí)別：權(quán)限在指定的資源組內(nèi)生效。
重要指定資源組授權(quán)生效的前提是該云服務(wù)及資源類型已支持資源組，詳情請參見支持資源組的云服務(wù)。資源組授權(quán)示例，請參見使用資源組限制RAM用戶管理指定的ECS實(shí)例。
選擇授權(quán)主體。
授權(quán)主體即需要添加權(quán)限的RAM用戶。系統(tǒng)會(huì)自動(dòng)選擇當(dāng)前的RAM用戶。
選擇權(quán)限策略。
權(quán)限策略是一組訪問權(quán)限的集合，分為以下兩種。支持批量選中多條權(quán)限策略。
系統(tǒng)策略：由阿里云創(chuàng)建，策略的版本更新由阿里云維護(hù)，用戶只能使用不能修改。更多信息，請參見支持RAM的云服務(wù)。
說明系統(tǒng)會(huì)自動(dòng)標(biāo)識(shí)出高風(fēng)險(xiǎn)系統(tǒng)策略（例如：AdministratorAccess、AliyunRAMFullAccess等），授權(quán)時(shí)，盡量避免授予不必要的高風(fēng)險(xiǎn)權(quán)限策略。
自定義策略：由用戶管理，策略的版本更新由用戶維護(hù)。用戶可以自主創(chuàng)建、更新和刪除自定義策略。更多信息，請參見創(chuàng)建自定義權(quán)限策略。
單擊確認(rèn)新增授權(quán)。
單擊關(guān)閉。
方式二：在授權(quán)頁面為RAM用戶授權(quán)
使用RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在授權(quán)頁面，單擊新增授權(quán)。
在新增授權(quán)面板，為RAM用戶添加權(quán)限。
選擇資源范圍。
賬號(hào)級(jí)別：權(quán)限在當(dāng)前阿里云賬號(hào)內(nèi)生效。
資源組級(jí)別：權(quán)限在指定的資源組內(nèi)生效。
重要指定資源組授權(quán)生效的前提是該云服務(wù)及資源類型已支持資源組，詳情請參見支持資源組的云服務(wù)。資源組授權(quán)示例，請參見使用資源組限制RAM用戶管理指定的ECS實(shí)例。
選擇授權(quán)主體。
授權(quán)主體即需要添加權(quán)限的RAM用戶。支持批量選中多個(gè)RAM用戶。
選擇權(quán)限策略。
權(quán)限策略是一組訪問權(quán)限的集合，分為以下兩種。支持批量選中多條權(quán)限策略。
系統(tǒng)策略：由阿里云創(chuàng)建，策略的版本更新由阿里云維護(hù)，用戶只能使用不能修改。更多信息，請參見支持RAM的云服務(wù)。
說明系統(tǒng)會(huì)自動(dòng)標(biāo)識(shí)出高風(fēng)險(xiǎn)系統(tǒng)策略（例如：AdministratorAccess、AliyunRAMFullAccess等），授權(quán)時(shí)，盡量避免授予不必要的高風(fēng)險(xiǎn)權(quán)限策略。
自定義策略：由用戶管理，策略的版本更新由用戶維護(hù)。用戶可以自主創(chuàng)建、更新和刪除自定義策略。更多信息，請參見創(chuàng)建自定義權(quán)限策略。
單擊確認(rèn)新增授權(quán)。
單擊關(guān)閉。
后續(xù)步驟
企業(yè)A的員工的RAM用戶可以通過以下方式訪問企業(yè)A的云消息隊(duì)列 Kafka 版。
- 控制臺(tái)
- 在瀏覽器打開RAM用戶登錄入口。
- 在RAM用戶登錄頁面，輸入RAM用戶名稱，單擊下一步，輸入RAM用戶密碼，然后單擊登錄。 說明 RAM用戶登錄名稱的格式為<$username>@<$AccountAlias>或<$username>@<$AccountAlias>.onaliyun.com。<$AccountAlias>為賬號(hào)別名，如果沒有設(shè)置賬號(hào)別名，則默認(rèn)值為阿里云賬號(hào)的ID。
- API
在代碼中使用RAM用戶的AccessKey ID和AccessKey Secret調(diào)用API訪問云消息隊(duì)列 Kafka 版。