本文介绍了通过RAM的权限管理功能，创建相应的权限策略，从而对云服务器（ECS）进行权限管理，以满足RAM用户操作ECS的多种需求。

前提条件

  • 进行操作前，请确保您已经注册了阿里云账号。如还未注册，请先完成账号注册。
  • 使用RAM对ECS进行权限管理前，请先了解以下常用的权限策略：
    • AliyunECSFullAccess：为RAM用户授予ECS的完全管理权限。
    • AliyunECSReadOnlyAccess：为RAM用户授予ECS的只读访问权限。
  • 使用RAM对ECS进行权限管理前，请先了解ECS的权限定义。详情请参见鉴权规则。

将自定义策略授权给RAM用户

  1. 根据下述ECS授权样例创建相应的自定义策略。

    关于如何创建自定义策略，请参见创建自定义策略。

  2. 找到创建好的权限策略，单击其权限策略名称。
  3. 在引用记录页签下，单击新增授权。
  4. 在被授权主体区域下，输入RAM用户名称后，单击需要授权的RAM用户。
  5. 单击确定。
    说明 更多为RAM用户或用户组授权的方式，请参见为RAM用户授权和为用户组授权。

ECS授权样例

  • 示例1：授权RAM用户管理2台指定的ECS实例。

    假设您的账号购买了多个实例，而作为RAM管理员，您希望仅授权其中的2个实例给某个RAM用户。实例ID分别为i-001、i-002。 

    {
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": [
                  "acs:ecs:*:*:instance/i-001",
                  "acs:ecs:*:*:instance/i-002"
                  ]
    },
    {
      "Action": "ecs:Describe*",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}
    说明
    • 授予该权限策略的RAM用户可以查看所有的实例及资源，但只能操作其中2个实例。
    • Describe*在权限策略中是必须的，否则用户在控制台将无法看到任何实例，但使用API、CLI或SDK直接对两个实例进行操作是可以的。
  • 示例2：授权RAM用户仅可以查看青岛的ECS实例，但不允许查看磁盘及快照信息。 
    {
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:Describe*",
      "Resource": "acs:ecs:cn-qingdao:*:instance/*"
    }
  ],
  "Version": "1"
}
    说明 查看ECS资源列表的授权粒度可以到Region+资源类型的级别。如果您想授权RAM用户查看其他地区的ECS实例，可以将Resource中的cn-qingdao替换为其他区域ID。关于区域ID，详情请参见地域和可用区。
  • 示例3：授权RAM用户创建快照。

    如果RAM用户已拥有ECS实例管理员权限， 但仍不能创建磁盘快照，再次授予RAM用户指定磁盘的权限即可正常使用。ECS实例ID为inst-01，磁盘ID为dist-01。 

    {
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": [
        "acs:ecs:*:*:instance/inst-01"
      ]
    },
    {
      "Action": "ecs:CreateSnapshot",
      "Effect": "Allow",
      "Resource": [
        "acs:ecs:*:*:disk/dist-01",
        "acs:ecs:*:*:snapshot/*"
      ]
    },
    {
      "Action": [
        "ecs:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}