IDaas 同步删除RAM账号失败

问题现象

在阿里云IDaaS(EIAM)中删除了某个用户,并且已开启账号同步功能,但对应的RAM账号未能同步删除。

可能原因

  1. RAM账号处于特殊状态(如绑定MFA、配置AccessKey或加入用户组)。

  2. 同步范围设置不正确(检查删除的用户组织和设置的同步范围中的组织是否相同。如果组织不同,不会触发同步删除操作)。

  3. 参数配置错误导致同步请求异常。

注意事项

  1. 备份重要信息:在删除RAM账号前,请确保该账号下没有关联的重要资源或权限配置。

  2. 影响评估:删除RAM账号后,该账号及其扮演的角色将被强制退出登录状态,且无法自动恢复。

  3. 权限管理:确保执行上述操作的管理员具备足够的权限,例如AliyunRAMFullAccess

解决方案

由于 IDaaS 无法自动同步删除处于特殊状态的 RAM 账号,建议采取以下手动操作:

步骤一:移除RAM账号的特殊状态

  1. 移除用户组

    1. 登录阿里云RAM控制台

    2. 在左侧导航栏选择身份管理 > 用户

    3. 找到目标RAM账号,点击其名称进入详情页面。

    4. 在用户组区域,将该账号从所有用户组中移除。

  2. 解绑MFA设备(如果存在):

    1. RAM控制台中,进入目标RAM账号的详情页面。

    2. 在 身份管理 > 用户 > 认证管理下的安全信息管理区域,解绑 MFA 设备。详情请参见:RAM用户解绑MFA设备

  3. 删除 AccessKey(如果存在):

    1. 在目标RAM账号的详情页面,进入AccessKey管理区域。

    2. 删除所有已配置的AccessKey。

步骤二:手动删除RAM账号

  1. 登录RAM控制台。

  2. 在左侧导航栏选择身份管理 > 用户

  3. 找到目标RAM账号,在操作列中单击删除

  4. 根据提示完成删除操作。