使用STS临时授权可以有效避免RAM用户密码泄露导致的安全风险，本文为您如何创建RAM用户，创建RAM角色，并进行STS临时授权。

前提条件

您已经注册了阿里云账号并完成账号实名认证。注册地址请参见阿里云官网。注册指引请参见注册阿里云账号。实名认证指引请参见个人实名认证或企业实名认证。

背景信息

RAM用户的权限是可长期使用的，易导致安全风险。建议您生成STS临时AK对，自定义过期时间，并且指定复杂的策略来对不同的RAM用户进行限制，仅提供最小的权限。

操作流程

  1. 创建用于扮演RAM角色的RAM用户，请参见创建RAM用户。
  2. 为RAM用户授予AliyunSTSAssumeRoleAccess权限（调用STS服务AssumeRole接口的权限），请参见为RAM用户授权。
  3. 创建RAM角色，请参见创建RAM角色。
  4. 为RAM角色授予AliyunVODFullAccess的权限，请参见为RAM角色授权。
  5. 使用RAM用户通过扮演RAM角色，获取并使用安全令牌（STS Token）访问视频点播，请参见通过STS授权访问视频点播。

创建RAM用户

说明
  • 下述步骤5中，建议您将登录名称设置为vod，本文后续描述都以登录名称vod为例。
  • 下述步骤6中，建议您访问方式选择OpenAPI调用访问方式。
  1. 使用阿里云账号登录RAM控制台。
  2. 在左侧导航栏，选择身份管理 > 用户。
  3. 在用户页面，单击创建用户。
  4. 在创建用户页面的用户账号信息区域，输入登录名称和显示名称。
    说明 单击添加用户，可一次性创建多个RAM用户。
  5. 在访问方式区域，选择访问方式。
    • 控制台访问：设置控制台登录密码、重置密码策略和多因素认证策略。
      说明 自定义登录密码时，密码必须满足密码复杂度规则。关于如何设置密码复杂度规则，请参见设置RAM用户密码强度。
    • OpenAPI调用访问：自动为RAM用户生成访问密钥（AccessKey），支持通过API或其他开发工具访问阿里云。
    说明 为了保障账号安全，建议仅为RAM用户选择一种登录方式，避免RAM用户离开组织后仍可以通过访问密钥访问阿里云资源。
  6. 单击确定。
重要 单击确定后会弹出安全验证窗口，完成安全验证后，会自动生成该RAM用户的登录密码和AccessKey信息（AccessKey ID和AccessKey Secret）。请务必保存好登录密码和AccessKey信息，否则后续无法查询。

为RAM用户授权

  1. 在RAM控制台的用户页面，单击目标RAM用户（上述创建的vod用户）操作列的添加权限。
  2. 在添加权限面板，为RAM用户添加权限。
    说明 为vod用户添加调用STS服务AssumeRole接口的权限策略AliyunSTSAssumeRoleAccess，可通过在系统策略的搜索输入框中输入AliyunSTSAssumeRoleAccess查找。
    选择策略
    1. 选择授权应用范围。
      • 整个云账号：权限在当前阿里云账号内生效。
      • 指定资源组：权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息，请参见支持资源组的云服务。
    2. 输入授权主体。
      授权主体即需要授权的RAM用户。
    3. 选择权限策略。
      说明 每次最多绑定5条策略，如需绑定更多策略，请分次操作。
  3. 单击确定。
  4. 单击完成。

创建RAM角色

说明 下述步骤6中，建议您将角色名称设置为voderole，本文后续描述都以角色名称voderole为例。
  1. 使用阿里云账号登录RAM控制台。
  2. 在左侧导航栏，选择身份管理 > 角色。
  3. 在角色页面，单击创建角色。
  4. 在创建角色面板，选择可信实体类型为阿里云账号，然后单击下一步。
  5. 设置角色信息。
    1. 输入角色名称。
    2. 可选：输入备注。
    3. 选择云账号。
      • 当前云账号：当您允许当前阿里云账号下的RAM用户扮演该RAM角色时，您可以选择当前云账号。
      • 其他云账号：当您允许其他阿里云账号下的RAM用户扮演该RAM角色时，您可以选择其他云账号，然后输入其他阿里云账号ID。该项主要针对跨阿里云账号的资源授权访问场景。
        说明 您可以访问安全设置页面查看阿里云账号ID。
  6. 单击完成。
  7. 单击关闭。

为RAM角色授权

  1. 在RAM控制台的角色页面，单击目标RAM角色（上述创建的voderole角色）操作列的添加权限。
  2. 在添加权限面板，为RAM角色添加权限。
    说明
    • 为控制风险，建议采用最小权限。
    • 如需voderole角色可以访问和管理视频点播的资源，则建议为voderole角色添加可以管理和操作视频点播所有资源的系统策略权限AliyunVODFullAccess，可通过在系统策略的搜索输入框中输入AliyunVODFullAccess查找，更多有关视频点播系统策略的定义及权限信息请参见系统授权策略。
    授权
    1. 选择授权应用范围。
      • 整个云账号：权限在当前阿里云账号内生效。
      • 指定资源组：权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息，请参见支持资源组的云服务。
    2. 输入授权主体。
      授权主体即需要授权的RAM角色，系统会自动填入当前的RAM角色，您也可以添加其他RAM角色。
    3. 选择权限策略。
      说明 每次最多绑定5条策略，如需绑定更多策略，请分次操作。
    完成授权后，会生成一条授权成功的记录。授权成功

通过STS授权访问视频点播

说明 本文仅介绍通过调用API扮演RAM角色获取并使用安全令牌（STS Token）访问视频点播的方法，如需了解通过控制台方式扮演RAM角色访问视频点播的方法，请参见通过控制台扮演RAM角色。

为免去自行签名等麻烦，建议集成STS SDK并通过SDK调用AssumeRole - 获取扮演角色的临时身份凭证来获取STS临时Token。各语言的代码示例如下：