AI 治理中心 RAM 权限配置指南

Action（操作类型）

AI 治理中心的 Action 分为两个层面：

通用 Action——客户端访问使用：

接口级 Action——控制台操作使用（按具体 API 细粒度授权）：

Resource（资源范围）

资源通过 ARN（Alibaba Cloud Resource Name）来标识，格式如下：

acs:airegistry:*:*:instance/saas/{工作空间 ID}/{domain}/{资源类型}/{资源名称}

其中：

• 工作空间 ID：在 AI 治理中心控制台查看工作空间 ID。

• domain：当前固定填写 DEFAULT。

• 资源类型：prompt、skill、mcp、agent 等，按资源类别区分。

• 资源名称：具体资源的名称。

使用通配符 * 可匹配多个资源。

场景一：允许 RAM 用户通过客户端只读访问指定工作空间

适用于：应用运行时通过 SDK / API 拉取 Prompt 等资源，只需只读权限。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:Read",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/*"
    }
  ],
  "Version": "1"
}

场景二：允许 RAM 用户管理指定工作空间的所有资源

适用于：让团队成员拥有某个工作空间的完整管理权限（控制台 + 客户端）。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:*",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/*"
    }
  ],
  "Version": "1"
}

场景三：仅允许 RAM 用户管理 Prompt 资源

适用于：Prompt 工程师只需要操作 Prompt，不需要接触其他类型的资源。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:Read",
        "airegistry:GetPrompt",
        "airegistry:CreatePrompt",
        "airegistry:UpdatePrompt",
        "airegistry:DeletePrompt",
        "airegistry:ListPromptVersions",
        "airegistry:GetPromptVersion",
        "airegistry:GetPromptVersionDetail",
        "airegistry:CreatePromptVersion",
        "airegistry:UpdatePromptVersion",
        "airegistry:SubmitPromptVersion",
        "airegistry:DeletePromptVersion",
        "airegistry:GetPromptGovernance",
        "airegistry:InvokePromptDebugStream",
        "airegistry:InvokePromptOptimizeStream"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/prompt/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListNamespaces",
        "airegistry:ListNamespaceBySource",
        "airegistry:GetNamespace",
        "airegistry:GetSupportedModels"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/*"
    },
    {
      "Effect": "Allow",
      "Action": "airegistry:ListPrompts",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/prompt"
    }
  ],
  "Version": "1"
}

ListPrompts 是集合级操作，其 Resource 为 .../prompt（不带 /*）。

如果不需要限定到特定工作空间，也可以使用预定义策略 AliyunAIRegistryPromptFullAccess。

场景四：允许客户端只读访问，同时允许在控制台管理 Prompt

适用于：应用运行时可通过客户端拉取资源，同时允许在控制台管理 Prompt。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:Read",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:CreatePrompt",
        "airegistry:UpdatePrompt",
        "airegistry:DeletePrompt",
        "airegistry:CreatePromptVersion",
        "airegistry:UpdatePromptVersion",
        "airegistry:SubmitPromptVersion",
        "airegistry:DeletePromptVersion",
        "airegistry:InvokePromptDebugStream",
        "airegistry:InvokePromptOptimizeStream"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/prompt/*"
    }
  ],
  "Version": "1"
}

场景五：仅允许 RAM 用户管理 Skill 资源

适用于：Skill 开发者只需要操作 Skill，不需要接触其他类型的资源。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:Read",
        "airegistry:Write",
        "airegistry:UpdateSkillDraft",
        "airegistry:DeleteSkillDraft",
        "airegistry:SubmitSkillVersion",
        "airegistry:PublishSkillVersion",
        "airegistry:ForcePublishSkillVersion",
        "airegistry:UpdateSkillBizTags",
        "airegistry:UpdateSkillLabels",
        "airegistry:OnlineSkill",
        "airegistry:OfflineSkill",
        "airegistry:UpdateSkillScope",
        "airegistry:GetSkillDetail",
        "airegistry:GetSkillVersionDetail",
        "airegistry:DownloadSkillVersion",
        "airegistry:DeleteSkill",
        "airegistry:DownloadSkillVersionViaOss"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/skill/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListNamespaces",
        "airegistry:ListNamespaceBySource",
        "airegistry:GetNamespace"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "airegistry:ListSkills",
        "airegistry:CreateSkillDraft",
        "airegistry:UploadSkill",
        "airegistry:UploadSkillViaOss"
      ],
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/skill"
    }
  ],
  "Version": "1"
}

ListSkills、CreateSkillDraft、UploadSkill、UploadSkillViaOss 是集合级操作，其 Resource 为 .../skill（不带 /*）。

场景六：精确控制到某个具体资源

适用于：只允许 RAM 用户访问某一个特定的 Prompt。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "airegistry:*",
      "Resource": "acs:airegistry:*:*:instance/saas/{您的工作空间 ID}/DEFAULT/prompt/my-prompt"
    }
  ],
  "Version": "1"
}