RAM用户自定义权限最佳实践

步骤一：创建云安全中心自定义权限策略

1. 使用阿里云主账号登录RAM控制台。
2. 在左侧导航栏单击权限管理 > 权限策略管理。
3. 单击创建权限策略。
4. 输入策略名称和备注。
5. 配置模式选择脚本配置并编辑策略内容。
   常见自定义权限示例：

   • 资产中心
     • 授权RAM用户资产中心只读权限

       以下策略表示授予RAM用户（在步骤二中绑定对应的RAM账户完成授权）只读资产中心的资产列表、服务器各项统计数据、资产列表的权限，您可以通过设置yundun-sas:DescribeCloudCenterInstances、yundun-sas:DescribeFieldStatistics和yundun-sas:DescribeCriteria来进行授权。

       {
           "Version": "1",
           "Statement": [
               {
                  "Action": [
                            "yundun-sas:DescribeCloudCenterInstances",
                            "yundun-sas:DescribeFieldStatistics",
                            "yundun-sas:DescribeCriteria"
                            ],
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

     • 授予RAM用户资产中心安全检查的权限

       以下策略表示授权RAM用户（在步骤二中绑定对应的RAM账户完成授权）允许执行资产中心安全检查的权限。您可以通过设置yundun-sas:ModifyPushAllTask来进行该授权。

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": "yundun-sas:ModifyPushAllTask",
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

   • 漏洞修复
     • 授权RAM用户漏洞修复只读权限

       以下策略表示授予RAM用户（在步骤二中绑定对应的RAM账户完成授权）只读漏洞修复的漏洞列表、漏洞白名单的权限，您可以通过设置yundun-sas:DescribeVulList和yundun-sas:DescribeVulWhitelist来进行授权。

       {
           "Version": "1",
           "Statement": [
               {
                  "Action": [
                            "yundun-aegis:DescribeVulList",
                            "yundun-sas:DescribeVulWhitelist"
                            ],
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

     • 授予RAM用户修复漏洞的权限

       以下策略表示授权RAM用户（在步骤二中绑定对应的RAM账户完成授权）允许执行漏洞修复的权限。您可以通过设置yundun-aegis:OperateVul来进行该授权。

       {
           "Version": "1",
           "Statement": [
               {
                  "Action": "yundun-aegis:OperateVul",
                   "Resource": "*",
                   "Effect": "Allow"
               }
           ]
       }

6. 单击确定。

步骤二：为RAM用户授权

1. 使用阿里云账号登录RAM控制台。
2. 在左侧导航栏单击权限管理 > 授权。
3. 单击新增授权。
4. 在被授权主体区域，选择需要授权的RAM用户。
   新创建的RAM用户默认不支持任何权限。如何创建RAM用户，请参见创建RAM用户。
5. 在选择权限区域，选择自定义策略并选择在步骤一：创建云安全中心自定义权限策略中创建的云安全中心自定义策略。
6. 单击确定。
7. 单击完成。

支持自定义权限策略的操作

以下各表格介绍了云安全中心主要的功能模块支持的自定义权限策略：

相关文档

权限策略基本元素

权限策略语法和结构

通过RAM限制用户的访问IP地址

通过RAM限制用户的登录时间段