背景信息

在工作流執(zhí)行過程中，邏輯編排會(huì)通過扮演用戶授予的服務(wù)角色，通過API去訪問對(duì)應(yīng)的資源。對(duì)于當(dāng)前阿里云賬號(hào)，只需按照邏輯編排提供的選擇服務(wù)角色流程完成相應(yīng)服務(wù)角色的綁定即可。對(duì)于RAM相關(guān)的身份，如果需要編輯工作流并需要使用阿里云相關(guān)的操作，則需要提前為該RAM身份授權(quán)，以便該RAM身份能夠在編輯過程中為邏輯編排進(jìn)行服務(wù)角色授權(quán)。RAM用戶、RAM角色等相關(guān)概念請(qǐng)參考身份管理相關(guān)概念。

對(duì)于一個(gè)確定的RAM身份，根據(jù)該身份擁有的權(quán)限，分為三種情況：

• 該RAM身份沒有RAM相關(guān)權(quán)限

• 該RAM身份有RAM只讀權(quán)限

• 該RAM身份有RAM所有權(quán)限

接下來會(huì)針對(duì)這三種情況進(jìn)行操作說明，操作過程涉及到兩種角色：

• 管理員：當(dāng)前阿里云賬號(hào)管理員或有RAM權(quán)限的RAM身份。

• 開發(fā)人員：某個(gè)RAM用戶或角色，至少擁有邏輯編排相關(guān)的權(quán)限，需要編輯工作流并使用到了阿里云相關(guān)的操作。操作過程以RAM用戶為例，RAM角色同理。

RAM用戶沒有RAM權(quán)限

管理員操作步驟

1. 登錄 阿里云 RAM 控制臺(tái)。

2. 在RAM控制臺(tái)的 角色 頁面可以查看您當(dāng)前需要使用的服務(wù)角色。如果您沒有創(chuàng)建過服務(wù)角色，請(qǐng)先創(chuàng)建服務(wù)角色，創(chuàng)建方法請(qǐng)參見 創(chuàng)建可信實(shí)體為阿里云服務(wù)的RAM角色。注意這里 受信服務(wù) 需要選擇 邏輯編排，角色名稱 可根據(jù)您的需要命名（本例以 AliyunLogicComposerDefaultRole 為角色名稱）。

3. 為第二步創(chuàng)建的角色授權(quán)，這里可以提前和開發(fā)人員溝通，確認(rèn)工作流中需要的權(quán)限，創(chuàng)建方法請(qǐng)參見 為RAM角色授權(quán)。

4. 在 RAM 控制臺(tái)的 權(quán)限策略 頁面為RAM用戶創(chuàng)建自定義策略，創(chuàng)建方法請(qǐng)參見 創(chuàng)建自定義權(quán)限策略，自定義策略中需要添加如下權(quán)限：

{    
  "Statement": [       
        {            
              "Action": "ram:PassRole",            
              "Resource": "acs:ram::<your uid>:role/<role name>",   
              "Effect": "Allow",
              "Condition": {                
                    "StringEquals": {                    
                           "acs:Service": "composer.aliyuncs.com"                
                     }            
               }        
         }    
  ],    
  "Version": "1"
}

Resource 可以通過 查看RAM角色，復(fù)制上述第2步中對(duì)應(yīng)服務(wù)角色詳情頁上 ARN 即可。

5. 在 RAM 控制臺(tái)的 RAM概覽 頁面找到開發(fā)人員對(duì)應(yīng)的RAM用戶，給RAM用戶賦予第4步創(chuàng)建的 權(quán)限策略，創(chuàng)建方法請(qǐng)參見 為RAM用戶授權(quán)。

6. 復(fù)制第二步創(chuàng)建的角色名，并告知開發(fā)人員。

開發(fā)人員操作步驟

1. 在工作流彈出的授權(quán)面板中填入管理員提供的角色名即可（本例中使用 AliyunLogicComposerDefaultRole）。

RAM用戶有RAM只讀權(quán)限

管理員操作步驟

1. 登錄阿里云RAM控制臺(tái)。

2. 在RAM控制臺(tái)的角色管理頁面可以查看您當(dāng)前需要使用的服務(wù)角色。如果您沒有創(chuàng)建過服務(wù)角色，請(qǐng)先創(chuàng)建服務(wù)角色，創(chuàng)建方法請(qǐng)參見 創(chuàng)建可信實(shí)體為阿里云服務(wù)的RAM角色。注意這里 受信服務(wù) 需要選擇 邏輯編排，角色名稱 可根據(jù)您的需要命名（本例以 AliyunLogicComposerDefaultRole 為角色名稱）。

3. 為第二步創(chuàng)建的角色授權(quán)，這里可以提前和開發(fā)人員溝通，確認(rèn)需要的權(quán)限，創(chuàng)建方法請(qǐng)參見 為RAM角色授權(quán)。

開發(fā)人員操作步驟

1. RAM用戶直接在工作流授權(quán)面板中直接選擇第二步創(chuàng)建的角色，以 AliyunLogicComposerDefaultRole 為例（注意：RAM用戶只有只讀權(quán)限的場(chǎng)景下，不能在該流程中繼續(xù)為服務(wù)角色添加權(quán)限，需有權(quán)限的RAM用戶或阿里云賬號(hào)主動(dòng)為該服務(wù)角色授權(quán)）。

RAM用戶有RAM讀寫權(quán)限

管理員操作步驟

無需操作

開發(fā)人員操作步驟

直接在工作流授權(quán)面板中按頁面提示流程進(jìn)行服務(wù)角色創(chuàng)建（或選擇已有服務(wù)角色）并進(jìn)行授權(quán)即可。