添加阿里云RAM角色为组织用户

一、功能概述

在 Quick BI 中，添加阿里云 RAM 角色为组织用户是一项用于权限管理和访问控制的重要功能。RAM 角色是一种虚拟用户，没有永久身份凭证（如登录密码或访问密钥），必须由可信实体（如阿里云 RAM 用户）扮演后才能使用。通过将 RAM 角色添加为 Quick BI 的组织用户，可以实现跨账号的统一权限管理与安全访问。

主要优势：

1. 统一权限管理：支持将阿里云 RAM 账号体系中的角色无缝集成至 Quick BI，便于企业统一权限分配和用户管理。

2. 安全访问机制：RAM 角色无固定凭证，需通过 STS 安全令牌临时授权访问资源，提升系统安全性。

3. 灵活角色映射：可为 RAM 角色分配 Quick BI 中的用户类型（开发者、分析师、访问者）、组织角色（组织管理员、权限管理员、普通用户）及空间角色，满足不同业务场景下的权限需求。

典型应用场景：

• 企业在多个阿里云账户之间需要统一分析权限时，可通过添加 RAM 角色实现跨账户访问 Quick BI 数据资源。

• 将特定数据访问权限授予某个部门或项目组，例如销售团队成员通过 RAM 角色仅能查看其所在区域的数据报表。

• 对于自动化任务或程序访问，RAM 角色可作为服务账号被临时授权，确保访问行为可控且具备最小权限。

二、使用限制

为了确保 RAM 角色在 Quick BI 中的正确使用，请注意以下限制：

• 操作权限限制：仅 Quick BI 的组织管理员有权将阿里云 RAM 角色添加为组织用户。

• 版本限制：该功能仅适用于 Quick BI 的高级版和专业版。

• 重复添加限制：不允许重复添加已存在的 RAM 角色或昵称相同的账号。

• 批量添加限制：

  • 每次最多支持添加 5000 条记录；

  • 所有字段顺序不可更改（除标签列外）；

  • 用户类型、用户角色等字段值必须合法且已存在；

  • 添加数量不得超过当前 Quick BI License 许可限制。

注意事项:

• 若批量导入过程中出现“用户名或昵称重复”报错，即使系统中未显示这些用户，请检查模板中的字段是否确实不存在冲突。若确认无误仍报错，可尝试手工逐个添加用户以绕过该问题。

三、操作步骤

添加单个阿里云 RAM 角色

1. 登录Quick BI 控制台。

2. 在首页点击右上角的用户头像，进入用户管理页面。

3. 在成员管理页签中，点击右上角的添加用户>手动添加。

4. 在弹出的对话框中选择账号类型为阿里云RAM角色，填写以下信息：

   参数名	是否必填	说明
   角色ID	是	输入真实存在的阿里云 RAM 角色 ID。
   昵称	是	自定义昵称，不超过 50 个字符。
   用户类型	是	可选开发者、分析师、访问者。
   组织角色	是	支持组织管理员、权限管理员、普通用户或自定义角色。
   空间角色	否	可选空间管理员、空间开发者、空间分析师、空间查看者或自定义角色。
   所属用户组	否	指定 RAM 角色归属的用户组。

5. 单击确定，完成添加。

特别提示:

• 若创建用户后无法将其加入工作空间，请检查其用户类型是否为“访问者”。目前“访问者”不支持加入任何工作空间。建议使用“分析师”或“开发者”类型。

• 若用户无法登录 Quick BI 控制台，请确认该账号是否已成功加入组织，并具有相应权限。

批量添加阿里云 RAM 角色

1. 进入 Quick BI 控制台，点击右上角用户头像，进入用户管理页面。

2. 在成员管理页签中，点击添加用户>批量添加。

3. 在弹出的对话框中选择阿里云RAM角色，点击获取批量添加用户信息的模板下载模板。

4. 根据模板要求填写以下字段信息：

   字段名称	是否必填	说明
   账号ID	是	阿里云 RAM 角色 ID。
   昵称	是	自定义昵称，不超过 50 个字符。
   用户类型	是	开发者、分析师、访问者。
   用户角色	是	组织管理员、权限管理员、普通用户或自定义角色。
   邮箱	否	注册时绑定的邮箱地址。
   电话号码	否	注册时绑定的手机号码。
   用户组	否	归属的用户组名称。
   tag_example	否	自定义标签，如 $ALL_MEMBERS$ 或具体值（如 north）。

5. 单击选择Excel文件，上传填写好的 Excel 文件。

6. 单击确定，完成批量添加。

注意事项:

• 批量更新用户邮箱地址不会生效，因绑定邮箱需验证码验证。

• 批量导入失败可能由于所选部门下成员数 + 已有成员数超过许可证限制，请提前确认许可容量。

• 若导入失败提示“用户名或昵称重复”，请先确认系统中是否存在同名用户，再尝试重新导入或手工添加。

四、常见问题 (FAQ)

Q: RAM 角色能否直接登录 Quick BI？
A: 不能。RAM 角色本身不支持直接登录 Quick BI，必须由一个可信实体（如阿里云 RAM 用户）扮演该角色后，才能以该角色身份访问 Quick BI。

Q: 如何确认 RAM 角色是否成功加入 Quick BI？
A: 完成添加后，可在 Quick BI 的用户管理 > 成员管理页面中查看是否出现对应的 RAM 角色。此外，在切换角色并访问 Quick BI 控制台时，页面右上角会显示当前登录的 RAM 角色信息。

Q: 用户类型与权限有何区别？
A: “开发者”比“分析师”多出数据源和数据集的管理权限，其他功能基本一致。建议根据实际需求选择合适类型。

Q: 如何将钉钉账号与 Quick BI 账号绑定？
A: BI 类型账号支持手动绑定钉钉。请在 Quick BI 用户管理页面进行相关操作。

Q: Quick BI 是否会自动同步钉钉账号？
A: 若启用了钉钉的自动同步功能，则系统会自动同步钉钉账号。

Q: 如何查看账号删除记录？
A: 您可以在系统审计日志中查看账号删除记录，包括操作人、时间及详情。