通过RAM用户或者RAM角色等方式访问实时计算控制台，并执行查看、购买或者删除工作空间等操作时，需具备相应的权限。为确保操作安全，所有访问主体均需由购买Flink工作空间的阿里云账号管理员在RAM控制台上为其绑定对应的权限策略。本文将详细介绍支持的权限策略及具体的授权配置方法。
授权场景
场景 | 界面 | 说明 |
无法访问实时计算管理控制台 | 看不到任何工作空间信息，且提示如下报错。
| 说明您当前无权限访问实时计算管理控制台。请联系购买工作空间的阿里云账号管理员，按照授权操作为您的账号授予至少只读访问流计算（Stream）服务的权限（AliyunStreamReadOnlyAccess）。完成授权后，重新进入或刷新页面即可正常访问。 |
无法进行某个具体的操作 |
| 说明当前账号暂无执行该操作的权限。如需操作，请联系购买工作空间的阿里云账号管理员，根据您的具体需求调整自定义权限策略，按照授权操作完成相应授权。例如，如左图所示，您的账号需要被授予包年包月工作空间资源分配的相关权限。 |
策略类型
权限策略是用语法结构描述的一组权限的集合，可以精确地描述被授权的资源集、操作集以及授权条件。RAM控制台支持以下两种权限策略：
系统策略：统一由阿里云创建，用户只能使用不能修改，策略的版本更新由阿里云维护。Flink支持的系统策略详情如下。
权限策略
名称
说明
流计算（Stream）服务所有权限
AliyunStreamFullAccess
包括自定义权限策略中所有的权限。
只读访问流计算（Stream）服务
AliyunStreamReadOnlyAccess
包含实时计算Flink版权限策略中HasStreamDefaultRole和所有以Describe、Query、Check、List、Get及Search开头的权限。
费用中心（BSS）的查看与支付订单权限
AliyunBSSOrderAccess
在费用中心（BSS）查看订单、支付订单的权限。
费用中心（BSS）的退订操作权限
AliyunBSSRefundAccess
在费用中心（BSS）退订订单的权限。
自定义策略：您可以自主创建、更新和删除，策略的版本更新由您自己维护。Flink支持的自定义策略和创建方法详情，请参见实时计算Flink版权限策略和（可选）步骤一：创建自定义策略。
前提条件
已了解授权须知。
授权操作
（可选）步骤一：创建自定义策略
如果您计划直接使用AliyunStreamFullAccess系统策略，可跳过此步骤。
在创建自定义权限策略时，建议以只读访问流计算（Stream）服务的权限为基础，并根据实际需求设计更细粒度的权限控制点。这些权限控制点包括实时计算Flink版支持的自定义权限策略及相关产品的权限操作。以下是只读访问流计算（Stream）服务的自定义权限策略的详细内容，其权限范围等同于AliyunStreamReadOnlyAccess系统策略。
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:Describe*",
"stream:Query*",
"stream:Check*",
"stream:List*",
"stream:Get*",
"stream:Search*",
"stream:HasStreamDefaultRole"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
"Effect": "Allow"
}
]
}步骤二：为成员绑定目标策略
通过为RAM用户或RAM角色绑定权限策略，可以获得权限策略中指定的访问权限。本文为您介绍如何进行RAM用户授权。RAM角色授权操作类似，详情请参见为RAM角色授权。
使用RAM管理员登录RAM控制台。
在左侧导航栏，选择。
在用户页面，单击目标RAM用户操作列的添加权限。
您也可以选中多个RAM用户，单击用户列表下方的添加权限，为RAM用户批量授权。
在新增授权面板，为RAM用户添加权限。
参数
说明
资源范围
选择所需的应用范围：
账号级别：权限在当前阿里云账号内生效。
资源组级别：权限在指定的资源组内生效。
授权主体
被授权主体，即需要授权的RAM用户，系统会自动填入当前的RAM用户，您也可以添加其他RAM用户。
权限策略
选择您系统策略或您已经创建的自定义策略。
单击确认新增授权。
单击关闭。
步骤三：授权完成后登录使用
授权完成后，RAM用户或RAM角色即可登录或者刷新当前实时计算管理控制台登页面，即可进行相关操作。
登录类型 | 登录方式 | 如何登录 |
阿里云RAM用户 | RAM用户登录 | |
阿里云RAM角色 | 主账号A下的RAM用户扮演A的角色登录 | |
主账号B下的RAM用户扮演A的角色登录 | ||
资源目录成员 | 管理账号的RAM用户扮演成员RAM角色的方式登录 | |
通过成员的RAM用户登录 | ||
通过云账号（根用户）登录（不推荐） | ||
云SSO用户通过RAM角色登录 | ||
云SSO用户通过RAM用户登录 |
自定义权限策略示例
RAM用户开通实时计算Flink版（方案一）
RAM用户开通实时计算Flink版（方案二）
RAM用户释放包年包月的Flink工作空间
RAM用户释放按量付费的Flink工作空间
RAM用户进行项目空间资源分配
自定义权限策略
实时计算Flink版权限策略
在配置项目空间权限信息前，您需要先配置查看已创建的工作空间（DescribeVvpInstances）的权限，否则会报缺少权限的错误。
Flink工作空间
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:CreateVvpInstance",
"stream:DescribeVvpInstances",
"stream:DeleteVvpInstance",
"stream:RenewVvpInstance",
"stream:ModifyVvpPrepayInstanceSpec",
"stream:ModifyVvpInstanceSpec",
"stream:ConvertVvpInstance",
"stream:QueryCreateVvpInstance",
"stream:QueryRenewVvpInstance",
"stream:QueryModifyVvpPrepayInstanceSpec",
"stream:QueryConvertVvpInstance"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#InstanceId}",
"Effect": "Allow"
}
]
}action | 说明 |
CreateVvpInstance | 新购实时计算Flink版。 |
DescribeVvpInstances | 查看工作空间。 |
DeleteVvpInstance | 释放Flink工作空间。 |
RenewVvpInstance | 工作空间续费（包年包月）。 |
ModifyVvpPrepayInstanceSpec | 包年包月工作空间扩缩容。 |
ModifyVvpInstanceSpec | 按量付费工作空间配额上限调整。 |
ConvertVvpInstance | 变更工作空间付费模式。 |
QueryCreateVvpInstance | 查询工作空间创建价格。 |
QueryRenewVvpInstance | 查询工作空间续费价格。 |
QueryModifyVvpPrepayInstanceSpec | 查询工作空间扩缩容价格。 |
QueryConvertVvpInstance | 查询按量付费转包年包月价格。 |
对于新购实时计算Flink版和查看工作空间，您可以将Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}改为"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/*"。
Flink项目空间
{
"Version": "1",
"Statement": [
{
"Action": [
"stream:CreateVvpNamespace",
"stream:DeleteVvpNamespace",
"stream:ModifyVvpPrepayNamespaceSpec",
"stream:ModifyVvpNamespaceSpec",
"stream:DescribeVvpNamespaces"
],
"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",
"Effect": "Allow"
}
]
}action | 说明 |
CreateVvpNamespace | 创建项目空间。 |
DeleteVvpNamespace | 删除项目空间。 |
ModifyVvpPrepayNamespaceSpec | 包年包月项目空间资源变更。 |
ModifyVvpNamespaceSpec | 按量付费项目空间资源变更。 |
DescribeVvpNamespaces | 查看项目空间列表。 配置该策略后，单击目标工作空间ID左侧的 |
图标，您就能查看该工作空间下创建的项目空间列表信息。如果您还需要进入到目标项目空间开发控制台，还需要被授权对应项目空间的作业开发权限，详情请参见对于创建项目空间和查看项目空间列表，您可以将"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/{#namespace}",改为"Resource": "acs:stream:{#regionId}:{#accountId}:vvpinstance/{#instanceId}/vvpnamespace/*",。