本文介绍了通过RAM的权限管理功能，创建相应的权限策略，从而对专有网络VPC（Virtual Private Cloud）进行权限管理，以满足RAM用户操作VPC的多种需求。

前提条件

请确保您已经注册了阿里云账号。如还未注册，请先完成账号注册。具体操作，请参见账号注册。

基本信息

使用RAM对VPC进行权限管理前，请先了解几个常用的权限策略。
权限策略 描述
AliyunVPCFullAccess 为RAM用户授予VPC的完全管理权限。
AliyunVPCReadOnlyAccess 为RAM用户授予VPC的只读访问权限。
说明 关于VPC的权限定义，请参见RAM鉴权。

将自定义权限策略授权给RAM用户

  1. 创建自定义权限策略。
    具体操作，请参见创建自定义权限策略和VPC授权样例。
  2. 在左侧导航栏，选择权限管理>权限策略。
  3. 在权限策略页面，找到目标权限策略，单击权限策略名称。
  4. 单击引用记录页签，然后单击新增授权。
  5. 在授权主体区域，输入需要授权的RAM用户的名称或ID。
  6. 单击确定。
  7. 单击完成。
    说明 您也可以直接对用户或用户组授予创建好的权限策略，具体操作，请参见为RAM用户授权和为用户组授权。

VPC授权样例

  • 示例1：对VPC的管理授权

    假设您的阿里云账号（主账号）ID为253460731706911258，授权RAM用户（子账号）管理该账号下的所有VPC，使某个RAM用户具有操作所有VPC的权限。

    {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "vpc:*"
            ],
            "Resource": [
                "acs:vpc:*:253460731706911258:*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:*Describe*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
  • 示例2：对VPC中vSwitch的管理授权

    假设您只想授权青岛地域下的vSwitch的管理权限，使某个RAM用户可以对青岛地域下的vSwitch进行创建、删除、绑定子网路由及解绑子网路由的操作，对于其它地域的vSwitch只有查看权限。

    {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "vpc:*Describe*",
                "vpc:*VSwitch*",
                "vpc:*RouteTable*"
            ],
            "Resource": [
                "acs:vpc:cn-qingdao:*:*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:*Describe*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
  • 示例3：只允许操作特定地域下的路由表以及路由表中的路由条目

    假设您的阿里云账号（主账号）ID为283117732402483989，在多个地域创建了VPC，该权限只授予某个RAM用户（子账号）对杭州地域VPC的操作权限，且操作权限仅限于：允许新增或删除路由条目，允许创建子网路由并绑定vSwtich，对于其它地域的云产品只有查看权限。

    {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:*Describe*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {}
        },
        {
            "Effect": "Allow",
            "Action": [
                "slb:*Describe*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {}
        },
        {
            "Effect": "Allow",
            "Action": [
                "rds:*Describe*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {}
        },
        {
            "Effect": "Allow",
            "Action": [
                "vpc:*Describe*",
                "vpc:*RouteEntry*",
                "vpc:*RouteTable*"
            ],
            "Resource": [                
"acs:vpc:cn-hangzhou:283117732402483989:*/*"
            ],
            "Condition": {}
        }
    ]
}
  • 示例4：只允许修改特定路由表中的路由条目

    假设您只希望RAM用户新增或删除特定路由表中的路由条目。

    {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "vpc:*RouteEntry*"
            ],
            "Resource": [
                "acs:vpc:cn-qingdao:*:routetable/vtb-m5e64ujkb7xn5zlq0xxxx"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "vpc:*Describe*"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:*Describe*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}