使用企業(yè)A的阿里云賬號(hào)（主賬號(hào)）創(chuàng)建RAM角色并為該角色授權(quán)，并將該角色賦予企業(yè)B，即可實(shí)現(xiàn)使用企業(yè)B的主賬號(hào)或其RAM用戶（子賬號(hào)）訪問(wèn)企業(yè)A的阿里云資源的目的。

背景信息

企業(yè)A購(gòu)買了事件總線EventBridge 服務(wù)來(lái)開(kāi)展業(yè)務(wù)，并希望將部分業(yè)務(wù)授權(quán)給企業(yè)B。

需求說(shuō)明：

  • A希望能專注于業(yè)務(wù)系統(tǒng)，僅作為資源Owner，而事件發(fā)布等任務(wù)委托或授權(quán)給企業(yè)B。
  • 企業(yè)A希望當(dāng)企業(yè)B的員工加入或離職時(shí)，無(wú)需做任何權(quán)限變更。企業(yè)B可以進(jìn)一步將A的資源訪問(wèn)權(quán)限分配給B的RAM用戶（員工或應(yīng)用），并可以精細(xì)控制其員工或應(yīng)用對(duì)資源的訪問(wèn)和操作權(quán)限。
  • 企業(yè)A希望如果雙方合同終止，企業(yè)A隨時(shí)可以撤銷對(duì)企業(yè)B的授權(quán)。

操作步驟

  1. 首先需要使用企業(yè)A的阿里云賬號(hào)（主賬號(hào)）登錄RAM控制臺(tái)并為企業(yè)B的云賬號(hào)創(chuàng)建RAM角色。
  2. 可選：企業(yè)A為剛創(chuàng)建的RAM角色創(chuàng)建自定義策略。

    具體步驟參見(jiàn)創(chuàng)建自定義權(quán)限策略。

    目前，事件總線EventBridge支持資源粒度的權(quán)限設(shè)置。詳情參見(jiàn)權(quán)限策略和示例。

  3. 新創(chuàng)建的角色沒(méi)有任何權(quán)限，因此企業(yè)A必須為該角色添加權(quán)限。可添加系統(tǒng)權(quán)限策略或自定義權(quán)限策略。
    具體步驟參見(jiàn)為RAM角色授權(quán)。
  4. 使用企業(yè)B的阿里云賬號(hào)（主賬號(hào)）登錄RAM控制臺(tái)并創(chuàng)建RAM用戶。

    具體步驟參見(jiàn)為企業(yè)B創(chuàng)建RAM用戶。

  5. 企業(yè)B為RAM用戶添加AliyunSTSAssumeRoleAccess權(quán)限。

    具體步驟參見(jiàn)為RAM用戶授權(quán)。

    企業(yè)B必須為其主賬號(hào)下的RAM用戶添加AliyunSTSAssumeRoleAccess權(quán)限，RAM用戶才能扮演企業(yè)A創(chuàng)建的RAM角色。

  6. 企業(yè)B的RAM用戶通過(guò)控制臺(tái)或API訪問(wèn)企業(yè)A的資源。
    具體步驟參見(jiàn)本文的后續(xù)步驟。

更多信息

什么是RAM

后續(xù)步驟

完成上述操作后，企業(yè)B的RAM用戶即可按照以下步驟登錄控制臺(tái)訪問(wèn)企業(yè)A的云資源或調(diào)用API。

  • 登錄控制臺(tái)訪問(wèn)企業(yè)A的云資源
    1. 在瀏覽器中打開(kāi)RAM用戶登錄入口。
    2. 在RAM用戶登錄頁(yè)面上，輸入RAM用戶登錄名稱，單擊下一步，并輸入RAM用戶密碼，然后單擊登錄。
      說(shuō)明 RAM用戶登錄名稱的格式為<$username>@<$AccountAlias>或<$username>@<$AccountAlias>.onaliyun.com。 <$AccountAlias>為賬號(hào)別名，如果沒(méi)有設(shè)置賬號(hào)別名，則默認(rèn)值為阿里云賬號(hào)（主賬號(hào)）的ID。
    3. 在阿里云控制臺(tái)頁(yè)面上，將鼠標(biāo)指針移到右上角頭像，并在浮層中單擊切換身份。
    4. 在阿里云－角色切換頁(yè)面，輸入企業(yè)A的企業(yè)別名或默認(rèn)域名，以及角色名，然后單擊切換。
    5. 對(duì)企業(yè)A的阿里云資源執(zhí)行操作。
  • 使用企業(yè)B的RAM用戶通過(guò)API訪問(wèn)企業(yè)A的云資源

    要使用企業(yè)B的RAM用戶通過(guò)API訪問(wèn)企業(yè)A的云資源，必須在代碼中提供RAM用戶的AccessKeyId、AccessKeySecret和SecurityToken（臨時(shí)安全令牌）。使用STS獲取臨時(shí)安全令牌的方法參見(jiàn)AssumeRole。