RAM资源分组与授权

游戏公司A正在开发3个游戏项目，每个游戏项目都会用到多种云资源。公司A只有1个阿里云账号，该阿里云账号下有超过100个ECS实例。

公司A有如下要求：

• 项目独立管理：每个管理员各自能够独立管理项目人员及其访问权限。
• 按项目分账：财务部门希望能够根据项目进行出账，以解决财务成本分摊的问题。
• 共享底层网络：客户希望云资源的底层网络默认共享。

公司A有如下解决方案：

• 多账号方案
  • 可以满足项目独立管理：公司A注册3个阿里云账号（对应3个项目），每个阿里云账号有对应项目管理员可以独立管理成员及其访问权限。
  • 可以满足按项目分账：每个阿里云账号有默认账单，可以利用阿里云提供的多账号合并记账能力来解决统一账单和发票问题。
  • 无法满足共享底层网络：阿里云账号之间是有安全边界的，不同阿里云账号之间的资源是100%隔离的，网络之间默认不通。虽然可以通过VPC-Peering来打通跨账号的VPC网络，但会带来较高的管理成本。
• 单账号给资源打标签方案
  • 无法满足项目独立管理：给资源打标签可以模拟项目分组，但无法解决项目管理员独立管理项目成员及其访问权限的问题。
  • 可以满足按项目分账：按照项目组给资源打上对应标签，根据标签实现分账。
  • 可以满足共享底层网络：公司A只用1个阿里云账号，根据项目打不同的项目标签，结合RAM提供的基于标签的条件授权能力，可以将一组资源授权给某些RAM用户，不存在打通网络所需的额外管理成本。
• 资源组管理方案
  • 可以满足项目独立管理：每个资源组有对应的管理员，资源组管理员可以独立管理成员及其访问权限。
  • 可以满足按项目分账：账单管理功能支持按资源组进行分账，解决财务成本分摊的问题。
  • 可以满足共享底层网络：资源组属于账号内部的分组功能，同一阿里云账号下的不同资源组可以共享同一个VPC网络，节约管理成本。