配置 RAM 用户权限

使用控制台或 OpenAPI

登录控制台管理 Team、API Key 等资源时，使用阿里云账号或 RAM 用户；调用 Agent Sandbox极速版 OpenAPI 时，使用阿里云 AK 或 STS 临时凭证。这两种方式都通过 RAM 权限策略控制可执行的操作和可访问的资源。

使用 E2B SDK、CLI 或兼容 API

通过 E2B SDK、E2B CLI 或兼容 HTTP API 创建和访问 Sandbox 时，使用Agent Sandbox极速版 API Key，不需要配置 Agent Sandbox极速版 RAM 权限。每个 API Key 绑定一个 Team，建议不同项目和环境使用不同 Team 与 API Key，不要让测试和生产应用共用一个 API Key。创建方法参见创建 API Key。

管理账号下全部Agent Sandbox极速版资源

适用于统一管理所有 Team 和资源的平台管理员。以下策略授予账号下全部地域的 Agent Sandbox极速版 权限，不包含函数计算或其他云服务权限。如需限制到指定地域，将 Resource 改为 acs:fcsandbox:<region>:<account-id>:*：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*"
    }
  ]
}

管理指定资源组

适用于管理一个部门内所有项目的测试和生产 Team，但不能访问其他部门的管理员。以下示例将权限限制到该部门的资源组：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceGroupId": "<department-resource-group-id>"
        }
      }
    }
  ]
}

RAM 用户登录控制台后，需要切换到已授权的资源组。调用列表接口时，也应传入对应的 resourceGroupID。

管理指定 Team

适用于项目开发人员或生产运维人员。以下策略允许管理指定 Team 及其子资源，但不能创建其他 Team：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "fcsandbox:*",
      "Resource": [
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>",
        "acs:fcsandbox:<region>:<account-id>:teams/<team-id>/*"
      ]
    }
  ]
}

Team 本身和 Team 子资源使用不同的 ARN，因此需要同时配置两条 Resource。该策略不包含账号级 Team 列表权限。若用户需要通过控制台选择 Team，可以增加资源组范围的 fcsandbox:ListTeams 权限，但该用户将能看到同一资源组内的 Team 列表。需要严格限制 Team 可见范围时，建议为该项目使用独立资源组。

Action

权限策略中的 Action 用于限定 RAM 身份可以调用的Agent Sandbox极速版 OpenAPI，格式为：

fcsandbox:<action>

例如，CreateTeam 对应 fcsandbox:CreateTeam，CreateVolume 对应 fcsandbox:CreateVolume。配置策略前，请在Agent Sandbox极速版 OpenAPI 文档中找到业务需要调用的接口，并根据接口的授权信息配置 Action。

Resource ARN

acs:fcsandbox:<region>:<account-id>:<resource-path>