使用限制

策略超限处理

当 RAM 角色绑定的策略数量达到上限，或自定义策略内容超出字符数限制时，可按以下方式处理：

• 提升配额：登录配额中心控制台，产品名称输入访问控制，搜索一个RAM 角色可以绑定的系统策略个数或一个 RAM角色可以绑定的自定义策略个数，提交配额提升申请。

  • 单个RAM角色默认可绑定系统策略为20，最高可申请提升至40。

  • 单个RAM角色默认可绑定自定义策略为10，最高可申请提升至20。

  • 自定义策略内容的字符数上限为 6144，不支持调整。

• 合并策略：在 RAM 控制台的权限策略页面，单击创建权限策略，切换到脚本编辑模式，将多个系统策略中的 Action 合并到一个自定义策略中。合并时可使用通配符（如 oss:Get*）简化 Action 列表，减少字符占用。

  当配额提升后仍不满足需求时（例如需要覆盖的只读系统策略数量超过提升后的上限），可用合并策略进一步压缩占用。例如，将 API 网关、DTS、ESS 三个服务的只读权限合并为一个自定义策略：

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "apigateway:Describe*",
          "apigateway:List*",
          "dts:Describe*",
          "dts:List*",
          "ess:Describe*",
          "ess:List*"
        ],
        "Resource": "*"
      }
    ]
  }

  该示例把 3 个服务的只读权限收敛到 1 个自定义策略，相比逐个附加 3 个只读系统策略节省 2 个策略额度。单个自定义策略能合并的服务数量由自定义策略内容 6144 字符上限决定，没有固定值，需按实际 Action 列表长度评估。

• 处理字符数限制：自定义策略内容的字符数上限为 6144 且不支持调整，合并后如果仍超出该限制，可将内容拆分为多个自定义策略，或使用通配符替代具体的 Action 名称以压缩长度。

• ReadOnlyAccess 覆盖范围：系统策略 AliyunReadOnlyAccess 通过 *:Describe*、*:List*、*:Get*、*:Read* 等通配符覆盖大部分只读操作。不符合上述命名规范的 Action（例如 hbr:BrowseFiles、alikafka:DashboardList、actiontrail:Lookup*、dm:Desc*、hbr:Search*）不会被自动覆盖，需要在自定义策略中单独添加。

• 使用单条全产品只读策略替代逐产品只读策略：若需为 RAM 用户授予全部云产品的只读权限，附加一条 AliyunReadOnlyAccess 系统策略即可，无需逐产品附加各产品的只读系统策略（如 AliyunOSSReadOnlyAccess、AliyunECSReadOnlyAccess 等）。逐产品附加会快速占用系统策略配额（一个 RAM 用户允许绑定的系统策略个数上限为 20），达到上限后附加策略将返回 LimitExceeded.User.Policy 错误；而单条 AliyunReadOnlyAccess 覆盖大部分云产品的只读操作，仅占用 1 个系统策略额度。