RAM权限策略-阿里云帮助中心

本文详细描述了在线迁移服务如何同RAM协同工作，包括用户访问控制、操作级授权和资源级授权等核心功能。

RAM用户访问

RAM用户是RAM的一种实体身份类型，具有唯一的身份ID。RAM用户通常与某个特定的人或应用程序一一对应。当RAM用户使用其身份凭证访问迁移服务时，在线迁移服务会校验该用户对相关资源的访问权限。

身份凭证在创建RAM用户时设置，只能由管理员账号进行创建操作。不同访问方式需要不同的身份凭证：

为了提高RAM用户身份凭证的安全性，建议您：

说明

管理员账号是指阿里云账号（主账号）或者拥有管理员权限的RAM用户或RAM角色。

RAM Policy包含版本号（Version）和授权语句（Statement），每条授权语句又包含授权效力（Effect）、操作（Action）、资源（Resource）以及限制条件（Condition，可选项）。有关权限策略的语法和结构的详情，请参见权限策略语法和结构。

RAM用户默认没有任何权限。创建完成后，您必须使用管理员账号为RAM用户授予权限策略才能使其拥有云资源访问或操作权限。

基于身份的权限策略分为两种类型：

系统权限策略：
- AliyunOSSImportFullAccess：管理OSS在线迁移服务的权限
- AliyunOSSImportReadOnlyAccess：只读管理OSS在线迁移服务的权限
自定义权限策略：
- 请参考为RAM用户授予自定义的权限策略

以下是RAM用户管理的关键操作步骤：

在线迁移服务支持操作级别的授权，提供精细化的权限控制能力。

在权限策略语法中，操作级别（Action）元素用于描述权限允许或拒绝的特定操作，相应的格式为 mgw:<action-name>。

迁移服务支持操作级的授权粒度，意味着您可以在权限策略中，为某一具体操作设置访问权限。这种精细化的权限控制有助于实现最小权限原则。

操作级授权通常用于使用自定义权限策略进行访问控制，适用于需要严格权限管理的企业环境。

操作级别可以分为任务级别操作、数据地址级别操作、代理级别操作以及通道级别操作。

在线迁移服务支持资源级别的授权，允许对特定资源对象进行权限控制。

在权限策略语法中，资源级别（Resource）元素用于描述权限允许或拒绝执行操作的一个或多个资源对象。资源是云服务呈现给用户与之交互的对象实体的一种抽象，包括：

Resource元素通过云服务定义的资源ARN（Aliyun Resource Name）来统一标识，具体格式为：

acs:mgw:<region>:<account-id>:<action-type>/<resource-name>

使用通配符（*）描述该操作应用于所有资源。

迁移服务支持资源级的授权粒度，意味着您可以在权限策略中指定某一具体资源对象的访问权限。资源级授权通常用于使用自定义权限策略进行访问控制。

在RAM中，Resource指代某个具体资源或者某些资源，支持通配符星号（*）。单个RAM Policy允许包含多个Resource。

分类	格式	示例
账号级别	`acs:mgw:{region}:{account_id}:*`	`acs:mgw::my_account_id:`
任务级别	`acs:mgw:{region}:{account_id}:job/{job_name}`	`acs:mgw:::job/my_job_name`
数据地址级别	`acs:mgw:{region}:{account_id}:address/{address_name}`	`acs:mgw:::address/my_address_name`
代理级别	`acs:mgw:{region}:{account_id}:agent/{agent_name}`	`acs:mgw:::agent/my_agent_name`
通道级别	`acs:mgw:{region}:{account_id}:tunnel/{tunnel_id}`	`acs:mgw:::tunnel/my_tunnel_id`

说明

region字段当前仅支持设置为通配符星号（*）