管理第三方应用授权
同意授权 当用户首次访问第三方应用时，需要仔细确认授权范围（必选范围和可选范围），然后单击 授权，同意第三方应用的授权。说明 阿里云账号（主账号）或RAM管理员同意第三方应用授权后，该主账号下的所有RAM用户访问该应用时无需再次...
API概览
本产品（访问控制 身份管理/2019-08-15）的OpenAPI采用 RPC 签名风格，签名细节参见 签名机制说明。我们已经为开发者封装了常见编程语言的SDK，开发者可通过 下载SDK 直接调用本产品OpenAPI而无需关心技术细节。如果现有SDK不能满足使用...
AccessKey泄露处理方案
建议限制的高风险权限，例如：禁止该RAM用户在访问控制（RAM）中创建新的RAM用户及授权，禁止ECS、RDS、OSS、SLS资源的释放，禁止发送短信等。以下提供一个禁用高风险权限的自定义权限策略示例，请您充分评估影响，根据业务情况设置。{...
集成概览
本文为您介绍访问控制OpenAPI的基本信息。关于如何使用阿里云OpenAPI，请参见 使用OpenAPI。总览 访问控制的OpenAPI包括：IMS（Identity Management Service）OpenAPI、RAM（Resource Access Management）OpenAPI和STS（Security Token ...
身份权限治理概览
对可访问操作的范围进行收敛 授权效率 有Admin权限的RAM身份，授权范围为资源组 将有Admin权限的RAM身份的授权收敛到资源组 有服务级系统策略的RAM身份，授权范围为资源组 将有服务级系统策略的RAM身份的授权收敛到资源组
AliyunHgwFullAccess
AliyunHgwFullAccess 是阿里云管理的产品系统策略，您可以将 AliyunHgwFullAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 管理混合云存储控制台的权限。策略详情 类型：系统策略 创建时间：2021-07-06 08:17:...
AliyunHgwReadOnlyAccess
AliyunHgwReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunHgwReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读混合云存储控制台的权限。策略详情 类型：系统策略 创建时间：2021-07-06...
权限策略基本元素
Allow","Action":"ecs:*","Resource":"*","Condition":{"IpAddress":{"acs:SourceIp":["203.0.113.2"]},"Bool":{"acs:MFAPresent":["true"]} } }]} 示例2：限制只有开启了MFA的RAM用户 或 从IP地址203.0.113.2发起访问的RAM用户才能访问...
创建可信实体为阿里云账号的RAM角色
可信实体的RAM用户通过控制台或API扮演角色并获取角色的安全令牌（STS Token），然后以RAM角色身份访问对应的云资源。具体操作，请参见 扮演RAM角色。相关文档 CreateRole-创建角色 跨阿里云账号的资源授权 移动应用使用临时安全令牌访问...
创建RAM角色并授权
更多信息，请参见 创建可信实体为阿里云账号的RAM角色、创建可信实体为阿里云服务的RAM角色、创建可信实体为身份提供商的RAM角色。操作步骤 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>角色。在 角色 页面，单击 创建角色...
为RAM用户绑定钉钉账号
在左侧导航栏，选择 访问凭证管理>控制台登录。单击 钉钉账号 右侧的 去绑定。在 RAM用户与钉钉绑定 页面，使用移动端的钉钉应用扫描页面中的二维码。在移动端的钉钉应用中，点击 登录网页版阿里云RAM。在 RAM用户与钉钉绑定 页面，阅读并...
创建RAM用户并授权
步骤二：RAM用户登录阿里云控制台 使用新创建的RAM用户登录 阿里云控制台。说明 RAM用户登录页面与阿里云账号（主账号）登录页面不同。更多信息，请参见 RAM用户登录阿里云控制台。在 RAM用户登录 页面的 RAM用户名密码登录 页签，输入RAM...
RAM用户概览
为不同的RAM用户授予不同的资源访问权限。具体操作，请参见 为RAM用户授权。使用RAM用户登录控制台或使用AccessKey调用API。更多信息，请参见 RAM用户登录阿里云控制台 和 使用OpenAPI。最佳实践 当企业拥有多种云资源时，使用RAM的身份...
多因素认证（MFA）常见问题
解绑MFA设备不等于停用MFA验证，如果您想停用RAM用户登录控制台时的MFA验证，您需要修改RAM用户安全设置和控制台登录设置。使用阿里云账号（主账号）或RAM管理员修改RAM用户的安全设置。在RAM用户安全设置中，将 登录时必须使用MFA 设置为 ...
查看RAM用户的AccessKey信息
本文为您介绍如何查看RAM用户的访问密钥（AccessKey）信息，包括AccessKey ID、状态、最后使用云服务及创建时间等。AccessKey Secret只在创建时显示，不支持查看。RAM管理员查看所有RAM用户的AccessKey信息 阿里云账号（主账号）或RAM管理...
权限策略概览
新建的RAM用户默认没有任何操作权限，只有在被授权之后，才能通过控制台和RAM操作资源。资源创建者（RAM用户）默认对所创建资源没有任何权限。RAM用户被授予创建资源的权限，用户将可以创建资源。RAM用户默认对所创建资源没有任何权限，...
AliyunHDFSReadOnlyAccess
AliyunHDFSReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunHDFSReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问文件存储HDFS的权限。策略详情 类型：系统策略 创建时间：2019-04-...
创建RAM用户
新创建的RAM用户没有任何权限，您需要为RAM用户添加权限，然后该RAM用户才能访问相应的云资源。更多信息，请参见 为RAM用户授权。使用RAM用户登录阿里云控制台或使用AccessKey调用API。更多信息，请参见 RAM用户登录阿里云控制台 和 使用...
授权信息
访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。本文为您介绍 访问控制（RAM）为RAM权限策略定义...
不使用主账号AccessKey
针对超过90天未使用的主账号AccessKey 您需要确认该AccessKey是否在程序或应用中存在：如果确认不存在，建议您直接禁用该AccessKey。禁用90天后，如果没有发生与该AccessKey相关的问题，则可以直接删除该AccessKey。如果确认存在，您需要按...
AliyunOptReadOnlyAccess
AliyunOptReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunOptReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问优化求解器的权限。策略详情 类型：系统策略 创建时间：2021-12-01 ...
CreateAccessKey-创建主账号或RAM用户访问密钥
操作 访问级别 资源类型 条件关键字 关联操作 ram:CreateAccessKey Write User acs:ram:{#accountId}:user/{#UserName} 无 无 请求参数 名称 类型 必填 描述 示例值 UserPrincipalName string 否 RAM 用户的登录名称。如果为空，默认为当前...
RAM角色概览
创建可信实体为阿里云账号的RAM角色 创建可信实体为阿里云服务的RAM角色 创建可信实体为身份提供商的RAM角色 为RAM角色授权。具体操作，请参见 为RAM角色授权。可信实体通过控制台或调用API扮演角色并获取角色的安全令牌。通过控制台扮演...
DeleteAccessKey-删除用户的访问密钥
操作 访问级别 资源类型 条件关键字 关联操作 ram:DeleteAccessKey Write User acs:ram:{#accountId}:user/{#UserName} 无 无 请求参数 名称 类型 必填 描述 示例值 UserAccessKeyId string 是 需要删除的访问密钥 ID。LTAI4GFTgcR8m8...
UpdateAccessKey-修改访问密钥状态
操作 访问级别 资源类型 条件关键字 关联操作 ram:UpdateAccessKey Write User acs:ram:{#accountId}:user/{#UserName} 无 无 请求参数 名称 类型 必填 描述 示例值 UserPrincipalName string 否 RAM 用户的登录名称。如果为空，默认修改...
ListAccessKeys-查询主账号或RAM用户访问密钥列表
操作 访问级别 资源类型 条件关键字 关联操作 ram:ListAccessKeys List User acs:ram:{#accountId}:user/{#UserName} 无 无 请求参数 名称 类型 必填 描述 示例值 UserPrincipalName string 否 RAM 用户的登录名称。如果为空，默认查询当前...
清理闲置RAM用户
闲置RAM用户是指启用了控制台登录方式，但从未登录过控制台的RAM用户或超过90天未登录控制台的RAM用户，建议您定期清理闲置RAM用户。风险说明 RAM用户启用控制台登录时会设置登录密码。时间越长，密码暴露的风险就越高，一旦密码泄露，攻击...
授权信息
访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。本文为您介绍 访问控制（IMS）为RAM权限策略定义...
控制台用户和程序用户分离
治理建议 判断当前RAM用户（User1）有无访问控制台的需求。无：禁用控制台访问方式。具体操作，请参见 修改控制台登录设置。有：进行下一步操作。创建一个新的RAM用户（User2），启用控制台访问方式。具体操作，请参见 创建RAM用户 和 启用...
授权信息
访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。本文为您介绍 访问控制（RAM）为RAM权限策略定义...
为RAM用户绑定MFA设备
重要 如果您要为RAM用户更换新的MFA设备，请先前往RAM控制台解绑当前的MFA设备，再绑定新的MFA设备。具体操作，请参见 为RAM用户解绑多因素认证设备。如果RAM用户在未解绑MFA设备的状态下卸载了MFA应用（阿里云应用）或RAM用户的U2F安全...
获取身份权限治理检测报告
当您开通RAM的身份权限治理功能后，RAM会持续检测阿里云账号（主账号）及其下的RAM用户是否存在身份权限的安全风险，帮助您及时发现治理缺失，并提供友好的治理引导，帮助您完善云上身份权限治理的配置。背景信息 关于身份权限治理功能的更...
企业上云安全实践
当业务场景越来越复杂，RAM用户数量越来越多时，推荐您将相同职责的RAM用户添加到用户组，然后为用户组授权，以此降低管理的复杂性。具体操作，请参见 创建自定义权限策略 和 为用户组授权。为RAM用户配置强密码策略 您可以通过RAM控制台...
什么是STS
功能特性 使用RAM用户扮演角色时获取STS Token 有权限的RAM用户可以使用自己的访问密钥调用 AssumeRole-获取扮演角色的临时身份凭证 接口，以获取某个RAM角色的STS Token，从而使用STS Token访问阿里云资源。通常用于跨账号访问场景和临时...
创建账号管理员
步骤二：RAM用户登录阿里云控制台 使用新创建的RAM用户登录 阿里云控制台。说明 RAM用户登录页面与阿里云账号（主账号）登录页面不同。更多信息，请参见 RAM用户登录阿里云控制台。在 RAM用户登录 页面的 RAM用户名密码登录 页签，输入RAM...
RAM用户不能同时启用两个AccessKey
当RAM用户同时启用了两个AccessKey，建议您禁用其中闲置的AccessKey，或者将使用中的一个AccessKey腾挪到新的RAM用户下，确保一个RAM用户只启用一个AccessKey，降低AccessKey泄露风险。风险说明 一个RAM用户最多可以创建两个AccessKey，...
管理RAM用户登录设置
本文为您介绍如何为RAM用户启用控制台登录、查看、修改或清空控制台登录设置。启用控制台登录 您可以为RAM用户启用控制台登录，并设置登录密码等参数。使用阿里云账号或RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 ...
管理RAM用户登录设置
本文为您介绍如何为RAM用户启用控制台登录、查看、修改或清空控制台登录设置。启用控制台登录 您可以为RAM用户启用控制台登录，并设置登录密码等参数。使用阿里云账号或RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 ...
API概览
本产品（访问控制/2015-05-01）的OpenAPI采用 RPC 签名风格，签名细节参见 签名机制说明。我们已经为开发者封装了常见编程语言的SDK，开发者可通过 下载SDK 直接调用本产品OpenAPI而无需关心技术细节。如果现有SDK不能满足使用需求，可通过...
避免为过多RAM身份授予OSS、SLS高危权限
拥有 oss:Delete*或 log:Delete*相关权限的RAM身份，可以删除存储在OSS或SLS中的数据，管理不善可能会造成数据丢失。拥有 oss:PutBucketAcl、oss:PutObjectAcl、oss:PutBucketPolicy 等权限的RAM身份，可以修改OSS Bucket内文件的访问权限...
- 产品推荐
- 这些文档可能帮助您