本文解释了RAM的基本概念，帮助您正确理解和使用RAM。
身份管理相关概念
概念 | 说明 |
阿里云账号（Alibaba Cloud account） | 开始使用阿里云服务前，首先需要注册一个阿里云账号。阿里云账号是阿里云资源归属、资源使用计量计费的基本主体。阿里云账号为其名下所拥有的资源付费，并对其名下所有资源拥有完全控制权限。 默认情况下，资源只能被阿里云账号所访问，任何其他用户访问都需要获得阿里云账号的显式授权。阿里云账号就是操作系统的root或Administrator，所以我们有时称它为根账号或主账号。 为确保阿里云账号的安全，如非必要，避免使用阿里云账号登录控制台以及为其创建访问密钥（AccessKey）。推荐您在阿里云账号下创建一个RAM用户，并授予管理员权限，后续使用该RAM用户执行管理操作。 |
账号管理员 | 账号管理员具备账号下所有资源的管理权限。账号管理员可以是阿里云账号（主账号），也可以是主账号下拥有AdministratorAccess权限的RAM用户，强烈推荐您使用RAM用户充当账号管理员。更多信息，请参见创建账号管理员。 |
RAM管理员 | RAM管理员具备账号下RAM资源的管理权限。RAM管理员可以是阿里云账号（主账号），也可以是主账号下拥有AliyunRAMFullAccess权限的RAM用户，强烈推荐您使用RAM用户充当RAM管理员。 |
身份（Identity） | 访问控制（RAM）中有三种身份：RAM用户、用户组和RAM角色。其中RAM用户和用户组是RAM的一种实体身份类型，RAM角色是一种虚拟用户身份。 |
默认域名（Default domain name） | 阿里云为每个阿里云账号分配了一个默认域名，格式为 关于如何设置默认域名，请参见查看和修改默认域名。 |
账号别名（Account alias） | 账号别名也叫企业别名，账号别名的默认值为阿里云账号ID 例如：企业可以为其阿里云账号设置账号别名为：company1，该阿里云账号下的RAM用户alice可以使用alice@company1登录阿里云控制台。 关于如何设置账号别名，请参见查看和修改默认域名。 |
域别名（Domain alias） | 如果您持有公网上可以解析的域名，那么您可以使用该域名替代您的默认域名，该域名称为域别名。域别名就是指默认域名的别名。 说明 域别名必须经过域名归属验证后才能使用。验证通过后，您可以使用域别名替代默认域名，用于所有需要使用默认域名的场景。 关于如何设置域别名，请参见创建并验证域别名。 |
RAM用户（RAM user） | RAM用户也叫RAM账号，是RAM的一种实体身份类型，有确定的身份ID和身份凭证，它通常与某个确定的人或应用程序一一对应。RAM用户具备以下特点：
关于如何创建RAM用户，请参见创建RAM用户。 |
登录密码（Password） | 登录密码是登录阿里云的身份凭证，用于证明用户真实身份的凭证。 说明 登录密码不支持查询，请妥善保管并定期更换。 关于如何设置RAM用户的登录密码，请参见修改RAM用户登录密码。 |
访问密钥（AccessKey） | 访问密钥AccessKey（简称AK）是阿里云提供给用户的永久访问凭据，一组由AccessKey ID和AccessKey Secret组成的密钥对。
AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。 AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会携带AccessKey ID和AccessKey Secret加密请求内容生成的签名，进行身份验证及请求合法性校验。 关于如何创建访问密钥，请参见创建AccessKey。 |
多因素认证（MFA） | 多因素认证是一种简单有效的最佳安全实践，在用户名和密码之外再增加一层安全保护。这些要素结合起来将为您的账号提供更高的安全保护。启用多因素认证后，再次登录阿里云时，系统将要求输入两层安全要素：
关于如何设置多因素认证，请参见为阿里云账号绑定MFA设备和为RAM用户绑定MFA设备。 |
用户组（RAM user group） | 用户组是RAM的一种实体身份类型，用户组可以对职责相同的RAM用户进行分类并授权，从而更好地管理用户及其权限。 |
RAM角色（RAM role） | RAM角色是一种虚拟用户，可以被授予一组权限策略。与RAM用户不同，RAM角色没有永久身份凭证（登录密码或访问密钥），需要被一个可信实体扮演。扮演成功后，可信实体将获得RAM角色的临时身份凭证，即安全令牌（STS Token），使用该安全令牌就能以RAM角色身份访问被授权的资源。 根据不同的可信实体类型，RAM角色分为以下几种：
|
服务提供商（SP） | 利用IdP的身份管理功能，为用户提供具体服务的应用。SP会使用IdP提供的用户信息。一些非SAML协议的身份系统（例如：OpenID Connect），也把服务提供商称作IdP的信赖方。 |
身份提供商（IdP） | 一个包含有关外部身份提供商元数据的RAM实体，身份提供商可以提供身份管理服务。
|
安全断言标记语言（SAML 2.0） | 实现企业级用户身份认证的标准协议，它是SP和IdP之间实现沟通的技术实现方式之一。SAML 2.0已经是目前实现企业级SSO的一种事实标准。 |
单点登录（SSO） | 阿里云支持基于SAML 2.0和OIDC的SSO（Single Sign On，单点登录），也称为身份联合登录。阿里云提供以下两种SSO方式：
|
元数据文档（Metadata file） | 元数据文档由企业IdP提供，一般为XML格式，包含IdP的登录服务地址、用于验证签名的公钥及断言格式等信息。 |
SAML断言（SAML assertion） | SAML协议中用于描述认证请求和认证响应的核心元素。例如：用户的具体属性就包含在认证响应的断言里。 |
信赖（Trust） | 建立在SP和IdP之间的互信机制，通常由公钥和私钥来实现。SP通过可信的方式获取IdP的SAML元数据，元数据中包含IdP签发SAML断言的签名验证公钥，SP则使用公钥来验证断言的完整性。 |
阿里云OAuth 2.0服务（Alibaba Cloud OAuth 2.0 service） | 对用户进行认证，接受用户对应用的授权，生成代表用户身份的令牌并返回给被授权的应用。 |
OAuth应用（OAuth application） | 获取用户授权，并获取代表用户身份的令牌，从而可以访问阿里云。 OAuth 2.0服务目前支持的应用类型包括：
|
OAuth范围（Scope） | OAuth 2.0服务通过OAuth范围来限定应用扮演用户登录阿里云后可以访问的范围。 |
访问控制相关概念
概念 | 说明 |
权限（Permission） | 权限是指是否允许用户对某种资源执行某种操作，权限分为：允许（Allow）或拒绝（Deny）。 操作分为两大类：
|
权限策略（Policy） | 权限策略是用语法结构描述的一组权限的集合，可以精确地描述被授权的资源集、操作集以及授权条件。权限策略是描述权限集的一种简单语言规范。关于RAM支持的语言规范，请参见权限策略语法和结构。 在RAM中，权限策略是一种资源实体。RAM支持以下两种权限策略：
通过为RAM用户、用户组或RAM角色绑定权限策略，可以获得权限策略中指定的访问权限。更多信息，请参见为RAM用户授权、为RAM用户组授权和为RAM角色授权。 |
授权主体（Principal） | 获得策略中定义的权限主体，授权主体可以为RAM用户、用户组或RAM角色。 |
效果（Effect） | 权限策略基本元素之一，表示授权效果。取值为：允许（Allow）或拒绝（Deny）。 |
操作（Action） | 权限策略基本元素之一，表示对具体资源的操作。取值为：云服务所定义的API操作名称。 |
条件（Condition） | 权限策略基本元素之一，表示授权生效的条件。 |
资源（Resource） | 资源是云服务呈现给用户与之交互的对象实体的一种抽象，例如：OSS存储空间或ECS实例等。 |
ARN（Aliyun Resource Name） | ARN是阿里云为每个资源定义的全局资源名称。在RAM授权时，ARN遵循的格式为
|