本文介绍如何通过RAM限制只有启用了多因素认证(MFA)的RAM用户才能访问云资源,例如:ECS。

前提条件

  • 创建自定义策略前,需要先了解权限策略语言的基本结构和语法。详情请参见权限策略基本元素权限策略语法和结构
  • 操作前,请在移动设备端下载并安装阿里云应用。下载方式如下:
    • iOS:在App Store中搜索阿里云
    • Android:在应用市场中搜索阿里云

步骤一:创建自定义策略

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择权限管理 > 权限策略管理
  3. 权限策略管理页面,单击创建权限策略
  4. 新建自定义权限策略页面,输入策略名称备注
  5. 选择配置模式脚本配置,然后编辑策略内容。

    策略内容示例:只有启用了MFA的RAM用户才能在控制台访问ECS资源。您可以通过设置Conditionacs:MFAPresent的值为true来实现。

    {
        "Statement": [
            {
                "Action": "ecs:*",
                "Effect": "Allow",
                "Resource": "*",
                "Condition": {
                    "Bool": {
                        "acs:MFAPresent": "true"
                    }
                }
            }
        ],
        "Version": "1"
    }
    说明 Condition(限制条件)只针对当前权限策略描述的操作有效。您可以根据实际情况修改策略内容,限制访问其他云资源。
  6. 单击确定

步骤二:创建RAM用户

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择身份管理 > 用户
  3. 用户页面,单击创建用户
  4. 创建用户页面的用户账号信息区域,输入登录名称显示名称
    说明 单击添加用户,可一次性创建多个RAM用户。
  5. 访问方式区域,选择访问方式。
    • 控制台访问:设置控制台登录密码、重置密码策略和多因素认证策略。
      说明 自定义登录密码时,密码必须满足密码复杂度规则。关于如何设置密码复杂度规则,请参见设置RAM用户密码强度
    • Open API调用访问:自动为RAM用户生成访问密钥(AccessKey),支持通过API或其他开发工具访问阿里云。
    说明 为了保障账号安全,建议仅为RAM用户选择一种登录方式,避免RAM用户离开组织后仍可以通过访问密钥访问阿里云资源。
  6. 单击确定

步骤三:为RAM用户授权

步骤一创建的自定义策略授予步骤二创建的RAM用户。

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择身份管理 > 用户
  3. 用户页面,单击目标RAM用户操作列的添加权限
  4. 添加权限面板,为RAM用户添加权限。
    1. 选择授权应用范围。
      • 整个阿里云账号:权限在当前阿里云账号内生效。
      • 指定资源组:权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息,请参见支持资源组的云服务
    2. 输入被授权主体。
      被授权主体即需要授权的RAM用户,系统会自动填入当前的RAM用户,您也可以添加其他RAM用户。
    3. 选择权限策略。
      说明 每次最多绑定5条策略,如需绑定更多策略,请分次操作。
  5. 单击确定
  6. 单击完成

步骤四:为RAM用户启用MFA

步骤二创建的RAM用户启用MFA。

  1. 阿里云账号或RAM管理员登录RAM控制台
    说明
    • 如果阿里云账号要求RAM用户启用多因素认证,那么RAM用户登录时会直接进入多因素认证绑定流程,请在启用MFA设备页面选择虚拟MFA设备,然后直接从第6步开始操作。
    • 如果阿里云账号允许RAM用户自主管理多因素认证设备,RAM用户也可以登录控制台绑定MFA。将鼠标悬停在右上角头像的位置,单击安全信息管理,在虚拟MFA页签,单击启用虚拟MFA设备
  2. 在左侧导航栏,选择身份管理 > 用户
  3. 用户登录名称/显示名称列,单击目标RAM用户名称。
  4. 单击认证管理页签,然后单击虚拟MFA页签。
  5. 单击启用虚拟MFA设备
  6. 在移动设备端,添加虚拟MFA设备。
    说明 如下以Android系统上的阿里云应用为例。
    1. 登录阿里云应用。
    2. 选择我的 > 虚拟MFA
    3. 单击+,选择合适的方式添加虚拟MFA设备。
      • 扫码添加(推荐):在移动设备端,先单击扫码添加,然后扫描从RAM控制台扫码获取页签下的二维码,最后单击确定
      • 手动添加:在移动设备端,先单击手动输入,然后填写从RAM控制台手动信息获取页签下的用户名称和密钥,最后单击确定
  7. 在RAM控制台,输入移动设备端显示的两组连续的动态验证码,单击确定启用
    说明 移动设备端的阿里云应用会显示您当前账号的动态验证码,每30秒更新一次。