使用RAM用户进行分权管理-可观测链路 OpenTelemetry 版-阿里云

借助访问控制RAM的RAM用户，您可以实现权限分割的目的，按需为RAM用户赋予不同权限，并避免因暴露阿里云账号密钥造成的安全风险。

背景信息

出于安全考虑，您可以为阿里云账号创建RAM用户，并根据需要为这些RAM用户赋予不同的权限，这样就能在不暴露阿里云账号密钥的情况下，实现让RAM用户各司其职的目的。在本文中，假设企业A希望让部分员工处理日常运维工作，则企业A可以创建RAM用户，并为RAM用户赋予相应权限，此后员工即可使用这些RAM用户登录控制台或调用API。

可观测链路 OpenTelemetry 版支持的系统权限策略如下所示。

权限策略	类型	说明
AliyunTracingAnalysisFullAccess	系统	可观测链路 OpenTelemetry 版的完整权限
AliyunTracingAnalysisReadOnlyAccess	系统	可观测链路 OpenTelemetry 版的只读权限

操作步骤

创建RAM用户。
为RAM用户授权。

后续步骤

使用阿里云账号创建好RAM用户后，即可将RAM用户的登录名称及密码或者AccessKey信息分发给其他用户。其他用户可以按照以下步骤使用RAM用户登录控制台或调用API。

登录控制台

RAM用户访问阿里云控制台。
在RAM用户名密码登录页签，输入RAM用户名，单击下一步。
- 方式一：使用默认域名登录。RAM用户的登录格式为<UserName>@<AccountAlias>.onaliyun.com，例如：username@company-alias.onaliyun.com。
  说明
  <UserName>为RAM用户名称，<AccountAlias>.onaliyun.com为默认域名。关于默认域名的更多信息，请参见基本概念和查看和修改默认域名。
- 方式二：使用账号别名登录。RAM用户的登录格式为<UserName>@<AccountAlias>，例如：username@company-alias。
  说明
  <UserName>为RAM用户名称，<AccountAlias>为账号别名。关于账号别名的更多信息，请参见基本概念和查看和修改默认域名。
- 方式三：如果创建了域别名，也可以使用域别名登录。RAM用户的登录格式为<UserName>@<DomainAlias>，例如：username@example.com。
  说明
  <UserName>为RAM用户名称，<DomainAlias>为域别名。关于域别名的更多信息，请参见基本概念和创建并验证域别名。
输入RAM用户的登录密码，然后单击登录。
（可选）如果您开启了多因素认证（MFA），还需要进行MFA验证。
更多信息，请参见多因素认证（MFA）和为RAM用户绑定MFA设备。

使用RAM用户的AccessKey调用API

在代码中使用RAM用户的AccessKeyId和AccessKeySecret即可。