如何为RAM用户(子账号)授权-云数据库 MongoDB 版(MongoDB)-阿里云帮助中心

为细分账号权限，提升账号安全性，您可以通过访问控制RAM（Resource Access Management）将云数据库MongoDB的管理权限授权给RAM用户（子账号），使用RAM用户管理云数据库MongoDB实例。

前提条件

已创建RAM用户，如何创建，请参见创建RAM用户。

为RAM用户授权

控制台

RAM控制台提供两种为RAM用户授权的操作入口。两者均支持单个或批量授权，请按操作习惯选择：

从用户页面发起：在用户列表中勾选目标用户后，授权面板会自动选定授权主体。适合“以用户为中心”的视角。
从授权页面发起：需手动选择授权主体，但可看到账号下所有授权记录的总览。适合“以权限为中心”的视角。

说明

大规模批量管理建议：当需要为多名职责相同的 RAM 用户授予相同权限时，建议先将这些用户加入同一用户组，再为用户组授权（控制台路径：身份管理 > 用户组），比为每个用户单独授权更易维护。

从用户页面发起

登录RAM控制台
在左侧导航栏选择身份管理 > 用户。
在用户页面，找到已经创建好的RAM用户，单击操作列的新增授权。
您也可以选中多个RAM用户，单击用户列表下方的新增授权，为多个RAM用户新增授权。

在新增授权面板，为RAM用户添加权限。

选择资源范围：
- 账号级别：权限在当前阿里云账号内全部资源生效。适用于通用、无需按资源组隔离的场景。
- 资源组级别：权限仅在指定资源组内生效。适用于多团队共用一个账号、需按资源组隔离权限的场景。如果RAM用户被授予了资源组级别的权限，该用户登录控制台后，必须在顶部导航栏将资源范围切换到被授权的资源组，才能正常访问和管理该资源组内的资源。
  说明
  1. 系统会自动标识出高风险系统策略（例如：AdministratorAccess、AliyunRAMFullAccess等），这些策略通常包含对所有云资源的完全控制权限或对访问控制（RAM）的完全管理权限等，请谨慎授予。
  2. 资源组授权示例，请参见使用资源组限制RAM用户管理指定的ECS实例。
选择授权主体：
授权主体即需要添加权限的RAM用户。如果是从用户页面发起，系统会自动选择当前的RAM用户。如果是从授权页面发起，需要手动选择RAM用户，支持批量选中多个。

选择权限策略：

系统策略：可以直接搜索并选择。搜索技巧：您可以利用搜索框快速定位策略。支持按产品名称（如ECS、OSS）、权限级别（如ReadOnly、FullAccess）或完整的策略名称进行模糊搜索。例如，为 RAM 用户授予财务管理（费用与成本）权限时，搜索 BSS 即可找到 AliyunBSSFullAccess（管理费用与成本）等财务相关策略。

以下列出部分常见云产品对应的系统策略名称，方便快速定位：

云产品	系统策略名称	权限说明
费用与成本（财务管理）	`AliyunBSSFullAccess`	管理费用与成本
云监控	`AliyunCloudMonitorReadOnlyAccess`	只读访问云监控
智能建站	`AliyunWebsiteBuildFullAccess`	管理智能建站
云效	`AliyunYunxiaoFullAccess`	管理云效
百炼	`AliyunBailianFullAccess`	管理百炼
云解析 DNS	`AliyunDNSFullAccess`	管理云解析 DNS
SSL 证书	`AliyunYundunCertFullAccess`	管理 SSL 证书
无影云手机	`AliyunECDFullAccess`	管理无影云手机
工单支持	`AliyunSupportFullAccess`	管理工单
资源中心	`AliyunResourceCenterFullAccess`	管理资源中心
AgentBay	`AliyunAgentBayFullAccess`	管理 AgentBay
云安全中心	`AliyunYundunSASFullAccess`	管理云安全中心

如果搜索不到目标产品的系统策略，可查阅系统策略参考获取完整列表，也可以创建自定义策略以满足更精细的权限控制需求。

自定义策略：需要先创建自定义权限策略后再来授权。

跨页勾选限制：权限策略列表分页显示，全选操作仅作用于当前页。翻页后，已选策略仍保留在已选列表中，但新页面中的策略不会自动选中，需逐页勾选。
快速授予管理员权限：如需授予管理员权限，可在搜索框中输入 AdministratorAccess 搜索并直接勾选，无需逐页勾选。选中该策略时会触发高风险授权提醒。

（可选）填写备注：建议填写授权原因或场景描述，便于后续审计回溯，例如"OSS 上传任务专项授权"。
提交授权：单击确认新增授权。

确认授权绑定操作结果，单击关闭。

从授权页面发起

登录RAM控制台
在左侧导航栏，选择权限管理 > 授权。
在授权页面，单击新增授权。
在新增授权面板，为RAM用户添加权限。具体内容同上。
确认授权绑定操作结果，单击关闭。

说明

通过 RAM 控制台概览页快速开始功能创建的 RAM 用户，系统会根据所选场景自动授予对应的系统策略，无需手动授权：

超级用户：自动授予 PowerUserAccess 策略。可管理云服务和资源，但不能管理 RAM 身份及其权限、资源目录和资金账号信息。
账号管理员：自动授予 AdministratorAccess 策略。可管理所有阿里云资源，包括 RAM 身份和权限。

建议仅在确实需要超级管理员权限时使用上述选项，日常操作请遵循最小权限原则，仅授予具体业务所需的权限。

OpenAPI

授予自定义策略

调用CreatePolicy创建一个自定义策略，可以参考权限策略基本元素和权限策略示例库概览。
调用AttachPolicyToUser为RAM用户授予账号级别的权限，注意此处PolicyType选择Custom。
或者调用AttachPolicy为RAM用户授予资源组级别的权限。

授予系统策略

直接调用AttachPolicyToUser将权限策略绑定至指定RAM用户，注意此处PolicyType选择System，PolicyName详见系统策略参考。
或者调用AttachPolicy为RAM用户授予资源组级别的权限。

系统权限策略

系统权限策略针对所有云数据库MongoDB资源进行RAM授权，云数据库MongoDB提供如下两种系统权限策略。

AliyunMongoDBFullAccess：为RAM用户授予云数据库MongoDB的完全管理权限。
AliyunMongoDBReadOnlyAccess：为RAM用户授予云数据库MongoDB的只读访问权限。

自定义RAM授权策略

您可以根据业务需求自定义授权策略，仅向RAM用户授予指定实例的具体操作权限。关于自定义授权策略语法，请参见Policy结构和语法。

RAM授权MongoDB Resource的方式

目前RAM对云数据库MongoDB进行授权的资源类型仅支持dbinstance（实例）一种。在通过RAM进行授权时，可以在策略的Resource字段中进行描述，资源的描述方式如下。

资源类型	授权策略中的资源描述方式
dbinstance	acs:dds:$regionid:$accountid:dbinstance/$dbinstanceid

参数说明如下。

参数名称	说明
`$regionid`	地域ID，可以用`*`表示。
`$dbinstanceid`	实例ID，可以用`*`表示。
`$accountid`	云账号的数字ID，可以用`*`表示。

可授权的Action

在RAM中，您可以对一个云数据库MongoDB资源进行如下Action的授权。

Action	功能描述
CreateDBInstance	创建实例。
ModifyDBInstanceSpec	变更实例配置。
DeleteDBInstance	删除实例。
DescribeDBInstances	查询实例。
RestartDBInstance	重启实例。
DescribeSecurityIps	查询白名单。
ModifySecurityIps	修改白名单。
ResetAccountPassword	重置密码。
DescribeBackupPolicy	查询备份策略。
ModifyBackupPolicy	修改备份策略。
CreateBackup	创建备份。
RestoreDBInstance	恢复实例。
DescribeAccounts	查询账号信息。
DescribeDBInstancePerformance	查询实例状态。
DescribeReplicaSetRole	查询实例主从属性。
ModifyDBInstanceDescription	修改实例描述。
ModifyAccountDescription	修改账号信息。
DescribeDBInstanceAttribute	查询实例属性。
RenewDBInstance	续费实例。
ModifyDBInstanceNetworkType	修改实例网络类型。