RAM支持以下两种权限策略：阿里云管理的 系统权限策略：统一由阿里云创建，用户只能使用，不能修改，策略的版本更新由阿里云维护。用户管理的 自定义权限策略：用户可以自主创建、更新和删除，策略的版本更新由用户自己维护。通过为RAM身份...
为RAM用户授予RAM的系统策略或自定义策略后，RAM用户就能以策略中对应的权限访问阿里云资源。建议您遵循最小化原则，按需授予RAM用户必要的权限。使用限制 每个RAM用户允许绑定的系统策略和自定义策略最大数量，请参见 使用限制。方式一：...
您可以创建RAM用户并为其授权，实现不同RAM用户拥有不同资源访问权限的目的。当您的企业存在多用户协同访问资源的场景时，使用RAM可以按需为用户分配最小权限，避免多用户共享阿里云账号（主账号）密码或访问密钥，从而降低企业的安全风险...
为RAM用户组授权后，RAM用户组中的所有RAM用户将拥有该RAM用户组的所有权限。建议您遵循最小化原则，按需授予RAM用户组必要的权限。方式一：在RAM用户组页面为RAM用户组授权 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 ...
RAM角色是一种虚拟用户，可以被授予一组权限策略。与RAM用户不同，RAM角色没有永久身份凭证（登录密码或访问密钥），需要被一个可信实体扮演。...通过控制台扮演RAM角色 通过调用API扮演RAM角色 可信实体通过角色身份访问被授权的云资源。
方式一：在RAM角色页面为RAM角色授权 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 角色。在 角色 页面，单击目标RAM角色 操作 列的 新增授权。您也可以选中多个RAM角色，单击角色列表下方的 新增授权，为RAM角色批量授权。...
RAM可以限制用户只能通过指定的访问方式访问企业的云资源，从而增强访问安全性。前提条件 创建自定义权限策略前，您需要先了解权限策略语言的基本结构和语法。更多信息，请参见 权限策略基本元素 和 权限策略语法和结构。背景信息 企业A...
RAM可以限制用户只能在指定的时间段访问企业的云资源，从而增强访问安全性。前提条件 创建自定义权限策略前，您需要先了解权限策略语言的基本结构和语法。更多信息，请参见 权限策略基本元素 和 权限策略语法和结构。背景信息 企业A购买了...
您可以为ECS实例绑定标签，然后创建自定义策略并为RAM用户授权，利用标签控制RAM用户对ECS实例的访问。该方式不能使用系统策略，只能在自定义策略中通过 条件（Condition）指定授权的标签，使用灵活，授权粒度细，但是，您需要掌握自定义...
RAM用户组是RAM中的一种实体身份类型，RAM用户组可以对职责相同的RAM用户进行分类并授权，从而更高效地管理RAM用户及其权限。步骤一：创建RAM用户组 操作步骤 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 用户组。在 用户组...
本文介绍如何通过RAM限制只有启用了多因素认证（MFA）的RAM用户才能访问云资源，例如：ECS。前提条件 创建自定义策略前，需要先了解权限策略语言的基本结构和语法。更多信息，请参见 权限策略基本元素 和 权限策略语法和结构。操作前，请在...
RAM中使用权限策略描述授权的具体内容，权限策略由效果（Effect）、操作（Action）、资源（Resource）、条件（Condition）和授权主体（Principal）等基本元素组成。元素名称 描述 效果（Effect）授权效果包括两种：允许（Allow）和拒绝...
本文为您介绍访问控制OpenAPI的基本信息。关于如何使用阿里云OpenAPI，请参见 使用OpenAPI。总览 访问控制的OpenAPI包括：IMS（Identity Management Service）OpenAPI、RAM（Resource Access Management）OpenAPI和STS（Security Token ...
为RAM用户授权 为RAM用户组授权 为RAM角色授权 查看RAM身份的权限 您可以查看RAM身份的权限策略，RAM身份包含RAM用户、RAM用户组、RAM角色。查看RAM用户的权限 查看RAM用户组的权限 查看RAM角色的权限 移除RAM身份权限 当RAM身份不再需要...
尤其对于数据类产品的访问，例如：OSS、SLS等，建议精细化授权，降低身份泄露导致的数据泄露风险。风险等级 高风险。最佳实践 在当前阿里云账号下，如果RAM身份绑定了数据类产品相关的操作权限，必须进行精细化授权，请勿通过通配符*进行...
以下将为您介绍RAM用户支持的多因素认证方式、使用说明和使用限制。多因素认证方式 认证方式 描述 使用场景 相关文档 虚拟MFA 基于时间的一次性密码算法（TOTP）是一种广泛采用的多因素认证协议。在手机或其他设备上，支持TOTP的应用（例如...
背景信息 RAM用户支持的多因素认证方式及使用限制，请参见 多因素认证（MFA）。您需要先在 用户安全设置 中，启用对应的 多因素认证手段，然后按照本文所述的方法绑定对应的多因素认证设备，才能使多因素认证生效。系统默认启用虚拟MFA和U2...
本文将为您介绍RAM用户支持的多因素认证方式、使用说明和使用限制。多因素认证方式 认证方式 描述 使用场景 相关文档 虚拟MFA 基于时间的一次性密码算法（TOTP）是一种广泛采用的多因素认证协议。在手机或其他设备上，支持TOTP的应用（例如...
背景信息 RAM用户支持的多因素认证方式及使用限制，请参见 多因素认证（MFA）。您需要先在 用户安全设置 中，启用对应的 多因素认证手段，然后按照本文所述的方法绑定对应的多因素认证设备，才能使多因素认证生效。系统默认启用虚拟MFA和U2...
治理建议 判断当前RAM用户（User1）有无访问控制台的需求。无：禁用控制台访问方式。具体操作，请参见 修改控制台登录设置。有：进行下一步操作。创建一个新的RAM用户（User2），启用控制台访问方式。具体操作，请参见 创建RAM用户 和 启用...
操作步骤 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 用户。在 用户 页面，单击目标RAM用户名称。在 认证管理 页签，单击 启用控制台登录 或 修改登录设置。说明 首次 启用控制台登录 时，您可以单击 启用控制台登录 为RAM...
操作步骤 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 用户。在 用户 页面，单击目标RAM用户名称。在 认证管理 页签，单击 启用控制台登录 或 修改登录设置。说明 首次 启用控制台登录 时，您可以单击 启用控制台登录 为RAM...
本文为您介绍RAM用户如何登录阿里云控制台，包括登录入口和操作步骤。登录入口 通用登录地址 直接访问 RAM用户登录 页面。在 阿里云账号登录 页面，单击 RAM用户。阿里云账号专属登录地址 阿里云账号登录 RAM控制台，在 概览 页的 账号信息...
本文为您介绍如何查看RAM用户信息，包括RAM用户基本信息、安全信息、已加入的RAM用户组、被授予的权限策略和操作审计相关事件。操作步骤 使用阿里云账号登录 RAM控制台。在左侧导航栏，选择 身份管理 用户。在 用户 页面，查看全部RAM用户...
RAM用户的闲置AccessKey是指RAM拥有AccessKey，但从未使用过或超过90天未使用过。建议您定期清理RAM用户的闲置AccessKey。风险说明 RAM用户的AccessKey具备访问阿里云OpenAPI的能力，在外部暴露的时间越长，则泄露风险越高。一旦泄露，则有...
RAM用户对资源的访问方式多种多样，资源泄露风险高。某些RAM用户离开组织时，需要收回其对资源的访问权限。解决方案 使用RAM，您可以创建、管理RAM用户，并可以控制这些RAM用户对资源的操作权限。当您的企业存在多用户协同操作资源时，使用...
企业B可以进一步将企业A的资源访问权限分配给企业B的RAM用户（员工或应用），并可以精细控制其员工或应用对资源的访问和操作权限。企业A希望如果双方合同终止，企业A随时可以撤销企业B的授权。解决方案 企业A需要授权企业B的员工对ECS进行...
当RAM用户同时启用了两个AccessKey，建议您禁用其中闲置的AccessKey，或者将使用中的一个AccessKey腾挪到新的RAM用户下，确保一个RAM用户只启用一个AccessKey，降低AccessKey泄露风险。风险说明 一个RAM用户最多可以创建两个AccessKey，...
RAM用户组是RAM的一种实体身份类型，RAM用户组可以对职责相同的RAM用户进行分类并授权，从而更高效地管理RAM用户及其权限。应用场景 在RAM用户职责发生变化时，只需将其移动到相应职责的RAM用户组下，不会对其他RAM用户产生影响。当RAM用户...
允许该RAM用户扮演所有RAM角色：为RAM用户添加系统策略 AliyunSTSAssumeRoleAccess。允许该RAM用户扮演指定RAM角色：为RAM用户添加自定义策略。更多信息，请参见 能否指定RAM用户具体可以扮演哪个RAM角色？具体操作，请参见 为RAM用户授权...
可信实体的RAM用户通过控制台或API扮演角色并获取角色的安全令牌（STS Token），然后以RAM角色身份访问对应的云资源。具体操作，请参见 扮演RAM角色。相关文档 CreateRole-创建角色 跨阿里云账号的资源授权 移动应用使用临时安全令牌访问...
步骤二：使用RAM用户登录阿里云控制台 使用新创建的RAM用户登录 阿里云控制台。说明 RAM用户登录页面与阿里云账号（主账号）登录页面不同。更多信息，请参见 RAM用户登录阿里云控制台。在 RAM用户登录 页面的 RAM用户名密码登录 页签，输入...
为RAM用户授予您程序或应用所需的访问权限。建议您遵循最小化授权原则为RAM用户授予恰好够用的权限。您可以创建自定义策略，进行精细化授权。如果您对自定义策略还不太了解，也可以先使用阿里云定义的系统策略进行粗粒度授权，并在之后基于...
通过修改RAM角色的信任策略内容，可以修改RAM角色的可信实体。本文通过示例为您介绍如何修改RAM角色的可信实体为阿里云账号、阿里云服务或身份提供商。背景信息 创建RAM角色时，您可以直接选择RAM角色的可信实体为阿里云账号、阿里云服务或...
欢迎您使用阿里云访问控制服务。访问控制服务使用条款，请参见 访问控制（Resource Access Management）服务条款。
警告 为RAM用户组移除权限后，该RAM用户组中的RAM用户将不能访问指定权限的资源，请务必确认操作是否符合预期。方式一：在RAM用户组页面移除RAM用户组权限 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 用户组。在 用户组 ...
本文介绍移动应用如何使用RAM角色的临时安全令牌（STS Token）访问阿里云资源。背景信息 企业A开发了一款移动应用（App），并购买了对象存储（OSS）服务。App需要直连OSS上传或下载数据，但是App运行在用户自己的移动设备上，这些设备不受...
操作审计可以追踪并记录阿里云账号、RAM用户或RAM角色在RAM上的操作事件，本文为您介绍如何通过操作审计查看RAM的操作事件。背景信息 操作审计追踪并记录的RAM操作事件示例如下：IMS STS RAM用户登录事件 关于操作事件字段的含义，请参见 ...
操作步骤 在浏览器页面钉钉扫码登录阿里云 在 RAM用户登录页面，单击 钉钉扫码登录 页签。打开移动端钉钉应用，使用钉钉扫码登录页签的二维码扫一扫。在移动端的钉钉应用中，点击 登录网页版阿里云RAM。在 RAM用户钉钉扫码登录 页面，查看...
操作步骤 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理 用户组。在 用户组 页面，单击 创建用户组。在 创建用户组 页面，输入 用户组名称、显示名称 和 备注。单击 确定。后续步骤 为RAM用户组添加RAM用户。具体操作，请参见...