RAM用户执行云助手命令

基础权限配置

通过 RAM 自定义策略，限制 RAM 用户在调用云助手接口时只能以指定用户身份执行命令，适用于 Linux 和 Windows 实例。

1. 使用阿里云账号登录RAM 控制台，创建RAM用户。

   RAM用户信息示例如下所示：

   名称	示例
   登录名称	commandUser
   显示名称	commandUser
   访问方式	本文中提供阿里云控制台方式和OpenAPI方式使用云助手，此处选中控制台访问和使用永久 AccessKey 访问。 说明 您可以根据实际使用情况，选择对应的一种访问方式，实现权限最小化管理。
   设置密码	选择自动生成密码。
   需要重置密码	选择用户在下次登录时必须重置密码。
   MFA 多因素认证	选择不要求。

   创建完成后，保存 RAM 用户的登录信息和 AccessKey。

2. 创建自定义权限策略 commandUserPolicy。具体操作，请参见创建自定义权限策略。

   单击脚本编辑页签，在策略文档中配置 ECS 云助手相关 API 权限，Action 列表包括：

   • ecs:DescribeInstances

   • ecs:DescribeTagKeys

   • ecs:DescribeTags

   • ecs:CreateCommand

   • ecs:DescribeCommands

   • ecs:InvokeCommand

   • ecs:RunCommand

   • ecs:DeleteCommand

   • ecs:DescribeInvocations

   • ecs:DescribeInvocationResults

   • ecs:StopInvocation

   • ecs:DescribeCloudAssistantStatus

   • ecs:InstallCloudAssistant

   Resource 设置为 acs:ecs:*:*:instance/*。

   根据需求选择以下任一策略模式：

   • 白名单模式（推荐）：仅允许ECS实例普通用户 user01 和 user02 执行命令。

     如需允许其他用户，修改或增加 Condition 中的用户名。

     {
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "ecs:InvokeCommand",
                     "ecs:RunCommand"
                 ],
                 "Resource": [
                     "acs:ecs:*:*:instance/*",
                     "acs:ecs:*:*:command/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "ecs:CommandRunAs": [
                             "user01",
                             "user02"
                         ]
                     }
                 }
             }
         ],
         "Version": "1"
     }

   • 黑名单模式：禁止ECS实例的用户 root 和 system 执行命令。

     如需限制其他用户，修改或增加 Condition 中的用户名。

     {
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "ecs:InvokeCommand",
                     "ecs:RunCommand"
                 ],
                 "Resource": [
                     "acs:ecs:*:*:instance/*",
                     "acs:ecs:*:*:command/*"
                 ],
                 "Condition": {
                     "StringNotEqualsIgnoreCase": {
                         "ecs:CommandRunAs": [
                             "system",
                             "root"
                         ]
                     }
                 }
             }
         ],
         "Version": "1"
     }

3. 为 RAM 用户授权。具体操作，请参见管理RAM用户的权限。

   授予以下权限：

   • ECS 只读权限：AliyunECSReadOnlyAccess

   • 云助手权限：上一步创建的 commandUserPolicy

   如果 Windows 实例使用方案一：使用 OOS + KMS 托管密码，还需额外授予 AliyunOOSReadOnlyAccess 和自定义的 kmsPolicy 权限策略。kmsPolicy 的创建方式参见常见的授权策略示例，策略内容示例：

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:List*", "kms:Describe*",
           "kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"
         ],
         "Resource": ["*"]
       }
     ]
   }

配置 Linux 实例的普通用户执行云助手命令

Linux 实例无需托管密码，在执行命令时声明用户身份即可。

1. 使用 RAM 用户 commandUser 登录阿里云控制台，或通过其 AccessKey 调用 CLI/API。

2. 运行云助手命令并验证。

   • 控制台：创建/执行命令，将执行用户（Username）设置为 user01。

     user01用户能够正常执行云助手命令，root用户执行云助手命令报错。

   • CLI：在 RunCommand 中指定 --Username user01，user01用户能够正常执行云助手命令，以 root 用户执行命令会报错。

     shell@Alicloud:~$ aliyun ecs RunCommand --RegionId 'cn-hangzhou' \
     > --Name 'ping' \
     > --Type 'RunShellScript' \
     > --CommandContent 'ping aliyun.com' \
     > --Timeout '60' \
     > --ContentEncoding 'PlainText' \
     > --InstanceId.1 'i-bp10s90xxxxxxxxn' \
     > --Username 'user01'
     {
             "CommandId": "c-hz01ai1xxxxxxxxc",
             "InvokeId": "t-hz01ai18xxxxxxxx",
             "RequestId": "B352A46C-3CFE-4E72-9F03-BFC0C0D3C590"
     }
     shell@Alicloud:~$ aliyun ecs RunCommand --RegionId 'cn-hangzhou' \
     > --Name 'ping' \
     > --Type 'RunShellScript' \
     > --CommandContent 'ping aliyun.com' \
     > --Timeout '60' \
     > --ContentEncoding 'PlainText' \
     > --InstanceId.1 'i-bp10s90xxxxxxxxn' \
     > --Username 'root'
     ERROR: SDK.ServerError
     ErrorCode: Forbidden.RAM
     Recommend: https://error-center.aliyun.com/status/search?Keyword=Forbidden.RAM&source=PopGw
     RequestId: 9FE8BCB7-AAFD-4401-B28D-8276411703CD
     Message: User not authorized to operate on the specified resource, or this API doesn't support RAM.
     shell@Alicloud:~$

配置 Windows 实例的普通用户执行云助手命令

Windows 实例以普通用户执行命令时必须同时传递密码。根据安全需求选择以下任一方案：