为了能够用统一的账号体系来管理阿里云产品（包含EDAS）的权限，EDAS已将内置的权限管理迁移至RAM。本文介绍如何将EDAS内置的权限管理切换为RAM的权限管理，以及如何在RAM控制台为RAM用户授予EDAS的权限策略。

背景信息

权限策略语言的基本结构和语法，请参见权限策略语法和结构。
参数 描述
效力（Effect） 授权效力包括两种：允许（Allow）和拒绝（Deny）。
操作（Action） 操作是指对具体资源的操作。操作支持多值，取值为：所定义的云服务的操作名称。格式为：<service-name>:<action-name>。
  • service-name：阿里云产品名称。
  • action-name：相关的云服务的操作名称。
资源（Resource） 资源是指被授权的具体对象。格式遵循阿里云ARN（Aliyun Resource Name）的统一规范：acs:<service-name>:<region>:<account-id>:<relative-id>。
限制条件（Condition）（可选） 限制条件是指授权生效的限制条件。限制条件由一个或多个条件子句构成。一个条件子句由条件关键字（Key）、条件操作类型（Operator）和条件值组成（Value）。

步骤一：生成EDAS的权限策略

您可以参见以下三种方式来查看或生成EDAS的权限策略。

方式一：查看权限策略示例库

无论您使用了RAM权限还是EDAS内置权限，都可以在权限策略示例库中来查找您想授予的权限策略。更多信息，请参见权限策略示例库。

方式二：使用权限助手生成权限策略

本文仅介绍简单的场景下如何操作。更多信息，请参见使用EDAS权限助手生成权限策略。

  1. 登录EDAS控制台。
  2. 在左侧导航栏选择系统管理 > 权限助手。
  3. 在权限助手页面单击创建权限策略。
  4. 在创建权限策略配置向导中设置权限策略参数。
    1. 在创建自定义权限策略页签配置权限策略参数，然后单击下一步。
      参数 描述
      策略名称 自定义的策略名称。
      备注 权限策略的备注信息。
      新增权限语句
      1. 单击新增权限语句。
      2. 在加授权语句面板设置权限效力和操作与资源授权，然后单击确认。
        注意 在添加权限策略时，同时只能选择允许或拒绝中的一种权限效力。
      3. 在创建自定义权限策略页签内的权限策略列表的操作列根据需求克隆、编辑或删除权限。
    2. 在策略预览页签预览权限策略，并在权限策略文本框的右上角单击复制，然后在面板下方单击完成。
      控制台面板将会提示新增策略授权成功，单击返回列表查看可查看和管理新建的权限策略。
  5. 在授权策略区域复制生成的授权策略。

方式三：直接转换EDAS内置权限为RAM权限策略

如果您已经使用EDAS内置权限管理完成了账号授权，可以在EDAS控制台直接将配置的权限转换为RAM权限策略。

  1. 登录EDAS控制台。
  2. 在左侧导航栏选择系统管理 > 子账号。
  3. 在子账号页面选择添加了EDAS内置权限的子账号，在RAM鉴权列单击生成RAM权限策略。
  4. 在弹出的RAM权限策略对话框复制权限策略，然后单击确定。
    RAM权限策略

步骤二：创建权限策略

  1. 使用阿里云账号登录RAM控制台。
  2. 在左侧导航栏，选择权限管理 > 权限策略。
  3. 在权限策略页面，单击创建权限策略。
  4. 在创建权限策略页面，单击脚本编辑页签。
  5. 输入权限策略内容，然后单击下一步：编辑基本信息。
    新建自定义权限策略
    说明 在策略内容文本框内输入步骤一：生成EDAS的权限策略中生成的权限策略。
  6. 输入权限策略名称和备注。
  7. 检查并优化权限策略内容。
    • 基础权限策略优化

      系统会对您添加的权限策略语句自动进行基础优化。基础权限策略优化会完成以下任务：

      • 删除不必要的条件。
      • 删除不必要的数组。
    • 可选：高级权限策略优化

      您可以将鼠标悬浮在可选：高级策略优化上，单击执行，对权限策略内容进行高级优化。高级权限策略优化功能会完成以下任务：

      • 拆分不兼容操作的资源或条件。
      • 收缩资源到更小范围。
      • 去重或合并语句。
  8. 单击确定。

步骤三：创建RAM用户并添加授权

  1. 使用阿里云账号登录RAM控制台。
  2. 在左侧导航栏，选择身份管理 > 用户。
  3. 在用户页面，单击创建用户。
  4. 在创建用户页面的用户账号信息区域，输入登录名称和显示名称。
    说明 单击添加用户，可一次性创建多个RAM用户。
  5. 在访问方式区域，选择访问方式。
    • 控制台访问：设置控制台登录密码、重置密码策略和多因素认证策略。
      说明 自定义登录密码时，密码必须满足密码复杂度规则。关于如何设置密码复杂度规则，请参见设置RAM用户密码强度。
    • OpenAPI调用访问：自动为RAM用户生成访问密钥（AccessKey），支持通过API或其他开发工具访问阿里云。
    说明 为了保障账号安全，建议仅为RAM用户选择一种登录方式，避免RAM用户离开组织后仍可以通过访问密钥访问阿里云资源。
  6. 单击确定。
  7. 返回用户页面，在用户列表中目标RAM用户的操作列单击添加权限。
  8. 在添加权限面板内设置权限，然后单击确定。
    添加权限
    参数 描述
    授权范围 包含整个云账号和指定资源组。请根据实际需求选择授权范围。
    授权主体 会自动填入当前RAM用户的登录名称。
    选择权限 选择自定义策略，然后在搜索框内搜索设置的权限策略名称，在权限策略名称区域单击搜索出来的策略名称，即可选中策略。

步骤四：在EDAS控制台将授权切换为RAM授权

  1. 登录EDAS控制台。
  2. 在左侧导航栏选择系统管理 > 子账号。
  3. 在子账号页面目标子账号的RAM鉴权列单击切换到RAM。
    切换到RAM
    说明
    • 已经使用了RAM授权的子账号，操作列的按钮将会无法单击。
    • 仍使用EDAS内置授权的子账号，可以选择切换到RAM授权，切换后将无法重新使用EDAS内置授权。

    切换到RAM授权时，EDAS会预先判断该子账号是否已经在RAM控制台授予了EDAS的权限。

    • 如果已经完成了RAM授权，在弹窗中单击确定，即可成功切换为RAM鉴权。
    • 若子账号没有在RAM控制台被授予EDAS权限，将提示前往RAM控制台完成授权。