创建RAM用户并授权

操作步骤

1. 使用阿里云账号（主账号）或RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击创建用户。

4. 在创建用户页面的用户账号信息区域，设置用户基本信息。

   • 登录名称：可包含英文字母、数字、半角句号（.）、短划线（-）和下划线（_），最多64个字符。

   • 显示名称：最多包含128个字符或汉字。

   • 标签：单击，然后输入标签键和标签值。为RAM用户绑定标签，便于后续基于标签的用户管理。

   说明

   单击添加用户，可以批量创建多个RAM用户。

5. 访问方式选中OpenAPI 调用访问。

6. 单击确定并完成手机验证，系统会自动生成RAM用户的AccessKey。

7. 单击操作列的复制，保存用户登录名称、登录密码、AccessKey等用户信息。

   重要

   请务必保存好登录密码和AccessKey信息（AccessKey ID和AccessKey Secret），否则后续无法查询。

8. 返回用户列表页面，单击已创建RAM用户操作列的添加权限。

9. 在新增授权面板，配置授权信息。

   1. 选择授权应用范围。

      类型	说明
      整个云账号	权限在当前阿里云账号内生效。
      指定资源组	权限在指定资源组内生效。

   2. 输入授权主体。

      授权主体即需要添加权限的RAM用户。

   3. 选择权限策略。请参见权限策略说明，了解需要授权的产品及支持的权限策略。

      • 使用系统策略

        请在输入框内输入策略名称进行搜索，然后点击结果中的名称进行选择。

      • 使用自定义策略

        使用自定义策略可让您更精细化的管理账号权限，请先参见下文完成创建，再选择权限。具体操作，请参见创建自定义策略。

10. 单击确认新增授权。

权限策略说明

使用媒体处理MPS，您必须授权的产品为媒体处理MPS、对象存储OSS，可选授权的产品为轻量消息队列（原 MNS）、播放加速CDN。其中，媒体处理MPS必须使用系统策略授权，其他产品支持系统策略或创建自定义策略。

创建自定义策略

1. 使用阿里云账号登录RAM控制台。

2. 在左侧导航栏，选择权限管理 > 权限策略。

3. 单击创建权限策略，选择脚本编辑页签。

4. 设置权限策略。请填写相关参数，填写完成后单击继续编辑脚本信息。

   参数	说明
   策略内容	选择导入系统策略，或将下文中您需要的策略代码复制到代码框中。

5. 输入名称、备注等基本信息。

6. 单击确定完成自定义策略创建。

限制访问MPS的IP地址、时间段示例

• RAM用户只能通过192.0.2.0/24和203.0.113.2这两个IP地址访问MPS。

• RAM用户只能在特定时间段（北京时间2019年8月12日17：00之前）访问MPS。

{
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "mts:*",
        "mts-inner:*"
      ],
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "acs:SourceIp": [
            "192.0.2.0/24",
            "203.0.113.2"
          ]},
        "DateLessThan": {
          "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
       }
     }
  ]
}

OSS自定义策略示例

• 对指定的输入、输出Bucket有所有操作权限。

• 查看Bucket列表权限。

{    
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "oss:ListBuckets"
      ],
      "Resource": "*"
    }, {
      "Effect": "Allow",
      "Action": [
        "oss:*"
      ],
      "Resource": [
        "acs:oss:*:*:$InputBucket",
        "acs:oss:*:*:$InputBucket/*",
        "acs:oss:*:*:$OutputBucket",
        "acs:oss:*:*:$OutputBucket/*
      ]
    }
  ]
}

参数字段说明：

更多示例，请参见Bucket Policy常见示例。

RAM授权策略示例

授权可查看角色的权限策略。

{
  "Version": "1",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ram:ListPoliciesForRole"
      ],
      "Resource": "*"
    }
  ]
}

MNS自定义策略示例

• 授权可查看所有的Queue、Topic列表。

• 但仅对指定的$QueueName，$TopicName有全部读写权限。

{
  "Version": "1",
    "Statement": [{
      "Effect":"Allow",
      "Action":[
        "mns:ListQueue",
        "mns:ListTopic",
        "mns:GetQueueAttributes",
        "mns:GetTopicAttributes"
      ],
      "Resource":"acs:mns:*:*:*"
    }, {
      "Effect": "Allow",
      "Action": "mns:*",
      "Resource": [
        "acs:mns:$Region:$Uid:/queues/$QueueName", 
        "acs:mns:$Region:$Uid:/topics/$TopicName"
      ]
    }
  ]
}

参数字段说明：

更多示例，请参见授权策略和示例。

CDN授权策略示例

• 授权可查看所有的CDN加速域名。

• 但仅对指定的CDN加速域名$DomainName有全部读写权限。

{
  "Version": "1",
  "Statement": [{
        "Effect": "Allow",
        "Action": "cdn:*",
        "Resource": "acs:cdn:*:$Uid:domain/$DomainName"
        },{
        "Effect": "Allow",
        "Action": "cdn:Describe*",
        "Resource": "*"
      }
  ]
}

参数字段说明：