通過邏輯編排進(jìn)行工作流編排的過程中，可能需要使用各種云產(chǎn)品的OpenAPI 。對于阿里云賬號，可以通過授權(quán)RAM角色給邏輯編排調(diào)用相關(guān)的OpenAPI。但是，邏輯編排服務(wù)有權(quán)訪問這個(gè)RAM角色，并不代表執(zhí)行邏輯編排的RAM用戶，有權(quán)使用這個(gè)RAM角色。只有對應(yīng)RAM用戶和目標(biāo)RAM角色進(jìn)行PassRole鑒權(quán)通過之后，該RAM用戶才能通過邏輯編排使用目標(biāo)RAM角色，調(diào)用對應(yīng)服務(wù)。

主要的執(zhí)行流程如下所示：

重要

用戶僅需完成 1-5 步的操作，后續(xù) 6-9 步由被授權(quán)產(chǎn)品完成。

1. 創(chuàng)建RAM角色。這里可以創(chuàng)建一個(gè)名為AliyunLogicComposerDefaultRole的角色，如果您沒有創(chuàng)建過角色，創(chuàng)建方法請參見 創(chuàng)建可信實(shí)體為阿里云服務(wù)的RAM角色。

2. 為創(chuàng)建的角色添加權(quán)限。這里需要創(chuàng)建自定義權(quán)限策略。如果您沒有創(chuàng)建過自定義策略，創(chuàng)建方法請參見 創(chuàng)建自定義策略。這里具體的權(quán)限策略可參考以下示例，這里權(quán)限應(yīng)該根據(jù)實(shí)際需要進(jìn)行填寫。

{    
  "Statement": [        
    {            
      "Action": [                
        "*:TagResources",
        "oss:PutBucketTags"
      ],
      "Effect": "Allow",   
      "Resource": "*"
    }    
  ],    
  "Version": "1"
}

接著給第一步創(chuàng)建的角色添加剛剛創(chuàng)建的權(quán)限。授權(quán)方法請參見為RAM用戶授權(quán)。注意這里需要選擇自定義策略，選擇之前創(chuàng)建的權(quán)限。

3. 創(chuàng)建一個(gè)RAM用戶，如果已經(jīng)有RAM用戶可以直接跳過。關(guān)于如何創(chuàng)建RAM用戶，請參見創(chuàng)建RAM用戶。創(chuàng)建完成后，授予該RAM用戶邏輯編排的權(quán)限，請參見使用RAM授權(quán)。

4. 在第二步中我們?yōu)檫壿嬀幣艅?chuàng)建好了AliyunLogicComposerDefaultRole角色。接下來需要將該角色授予給第三步創(chuàng)建的RAM用戶，首先創(chuàng)建一條新的權(quán)限策略。方法與第二步創(chuàng)建權(quán)限方式一樣，這里權(quán)限策略可參考如下示例：

{    
  "Statement": [       
   {            
     "Action": "ram:PassRole",            
     "Resource": "acs:ram::<parent uid>:role/aliyunlogiccomposerdefaultrole",            
     "Effect": "Allow",            
     "Condition": {                
        "StringEquals": {                    
          "acs:Service": "composer.aliyuncs.com"                
        }           
      }        
    }
  ],    
  "Version": "1"
}

5. 給RAM用戶授予這個(gè)權(quán)限策略，創(chuàng)建方法請參見為RAM用戶授權(quán)。

6. 授權(quán)完畢，可以將角色名交給RAM用戶，RAM用戶此時(shí)可以前往邏輯編排進(jìn)行工作流編輯，并在調(diào)用 OpenAPI時(shí)給邏輯編排授權(quán)。

6.1 如果RAM用戶沒有RAM只讀權(quán)限，RAM用戶在授權(quán)時(shí)將該角色填入授權(quán)框內(nèi)，點(diǎn)擊“確定”完成授權(quán)操作。

6.2 如果RAM用戶有RAM只讀權(quán)限，其可以通過可視化的方式選擇合適的角色。

1. 根據(jù)授權(quán)面板提示，用戶可以選擇最合適的權(quán)限策略進(jìn)行授權(quán)。