通过RAM限制只有启用了MFA的RAM用户才能访问云资源

步骤一：创建自定义策略

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择权限管理 > 权限策略。

3. 在权限策略页面，单击创建权限策略。

4. 在创建权限策略页面，单击脚本编辑页签。

   页面显示 JSON 编辑器，默认策略模板包含 Version（值为 "1"）和 Statement 数组，其中每条语句包括 Effect（默认 "Allow"）、Action（待填写）、Resource（待填写）和 Condition 字段。请根据实际需求在 Action 和 Resource 中填入对应的操作和资源。

5. 输入权限策略内容。

   策略内容示例：只有启用了MFA的RAM用户才能在控制台访问ECS资源。您可以通过设置Condition下acs:MFAPresent的值为true来实现。

   {
       "Statement": [
           {
               "Action": "ecs:*",
               "Effect": "Allow",
               "Resource": "*",
               "Condition": {
                   "Bool": {
                       "acs:MFAPresent": "true"
                   }
               }
           }
       ],
       "Version": "1"
   }

   说明

   Condition（限制条件）只针对当前权限策略描述的操作有效。您可以根据实际情况修改策略内容，限制访问其他云资源。

6. 单击页面上方的优化策略，然后单击执行，对权限策略内容进行高级优化。

   高级权限策略优化功能会完成以下任务：

   • 拆分不兼容操作的资源或条件。

   • 收缩资源到更小范围。

   • 去重或合并语句。

7. 在创建权限策略页面，单击确定。

8. 在创建权限策略对话框，输入策略名称和备注，然后单击确定。

步骤二：创建RAM用户

1. 使用阿里云账号（主账号）或拥有RAM管理员权限（AliyunRAMFullAccess）的RAM用户登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击创建用户。

4. 在创建用户页面的用户账号信息区域，设置用户基本信息。

   • 登录名称（必填）：可包含英文字母、数字、半角句号（.）、短划线（-）和下划线（_），最多64个字符。

   • 显示名称（选填）：最多包含128个字符或汉字。

   • 标签（选填）：单击，然后输入标签键和标签值，便于后续基于标签的用户管理。

   • 安全手机（选填）：填写+86格式的手机号码。+86为国家/地区代码，默认已选，只需输入手机号码本体。第一次绑定后需要通过短信验证激活。

   说明

   单击添加用户，可以批量创建多个RAM用户。

5. 在访问方式区域，根据用户类型进行配置：

   重要

   • 为了账号安全，建议您只选择以下访问方式中的一种，将人员用户和应用程序用户分离，避免混用。如果RAM用户需要同时具备控制台登录和API调用能力，可以同时勾选两种访问方式；勾选使用永久AccessKey访问后，需勾选我确认必须创建AccessKey确认框才能继续创建。

   • 访问密钥（AccessKey）是一种长期有效的程序访问凭证。AccessKey泄露会威胁该账号下所有资源的安全。建议优先采用STS Token临时凭证方案，降低凭证泄露的风险。更多信息，请参见使用访问凭据访问阿里云OpenAPI最佳实践。

   给员工使用（控制台访问）

   勾选控制台访问。

   • 设置密码：您可以选择自动生成密码或者自定义密码。自定义登录密码时，密码必须满足密码复杂度规则。更多信息，请参见设置RAM用户密码策略。

   • 需要重置密码：选择RAM用户在下次登录时是否需要重置密码。

   • MFA 多因素认证：账号默认设置为强制所有用户登录时必须使用 MFA。如需修改，请参考管理RAM用户安全设置。RAM用户首次登录时需要绑定MFA设备，请参考RAM用户自行绑定MFA设备。

   给程序使用（使用永久AccessKey访问）

   勾选使用永久AccessKey访问。

   启用后，系统会自动为RAM用户生成一个AccessKey ID和AccessKey Secret。

   重要

   RAM用户的AccessKey Secret只在创建时显示，不支持后续查看，请务必立即下载或复制保存AccessKey Secret。泄露AccessKey将严重威胁您账号下所有资源的安全。更多信息详见创建AccessKey。

步骤三：为RAM用户授权

将步骤一创建的自定义策略授予步骤二创建的RAM用户。

1. 登录RAM控制台

2. 在左侧导航栏选择身份管理 > 用户。

3. 在用户页面，找到已经创建好的RAM用户，单击操作列的新增授权。

   您也可以选中多个RAM用户，单击用户列表下方的新增授权，为多个RAM用户新增授权。

4. 在新增授权面板，为RAM用户添加权限。

   • 选择资源范围：

     • 账号级别：权限在当前阿里云账号内全部资源生效。适用于通用、无需按资源组隔离的场景。

     • 资源组级别：权限仅在指定资源组内生效。适用于多团队共用一个账号、需按资源组隔离权限的场景。如果RAM用户被授予了资源组级别的权限，该用户登录控制台后，必须在顶部导航栏将资源范围切换到被授权的资源组，才能正常访问和管理该资源组内的资源。

       说明

       1. 系统会自动标识出高风险系统策略（例如：AdministratorAccess、AliyunRAMFullAccess等），这些策略通常包含对所有云资源的完全控制权限或对访问控制（RAM）的完全管理权限等，请谨慎授予。

       2. 资源组授权示例，请参见使用资源组限制RAM用户管理指定的ECS实例。

   • 选择授权主体：

     授权主体即需要添加权限的RAM用户。如果是从用户页面发起，系统会自动选择当前的RAM用户。如果是从授权页面发起，需要手动选择RAM用户，支持批量选中多个。

   • 选择权限策略：

     • 系统策略：可以直接搜索并选择。搜索技巧：您可以利用搜索框快速定位策略。支持按产品名称（如ECS、OSS）、权限级别（如ReadOnly、FullAccess）或完整的策略名称进行模糊搜索。例如，为 RAM 用户授予财务管理（费用与成本）权限时，搜索 BSS 即可找到 AliyunBSSFullAccess（管理费用与成本）等财务相关策略。

       以下列出部分常见云产品对应的系统策略名称，方便快速定位：

       云产品	系统策略名称	权限说明
       费用与成本（财务管理）	AliyunBSSFullAccess	管理费用与成本
       云监控	AliyunCloudMonitorReadOnlyAccess	只读访问云监控
       智能建站	AliyunWebsiteBuildFullAccess	管理智能建站
       云效	AliyunYunxiaoFullAccess	管理云效
       百炼	AliyunBailianFullAccess	管理百炼
       云解析 DNS	AliyunDNSFullAccess	管理云解析 DNS
       SSL 证书	AliyunYundunCertFullAccess	管理 SSL 证书
       无影云手机	AliyunECDFullAccess	管理无影云手机
       工单支持	AliyunSupportFullAccess	管理工单
       资源中心	AliyunResourceCenterFullAccess	管理资源中心
       AgentBay	AliyunAgentBayFullAccess	管理 AgentBay
       云安全中心	AliyunYundunSASFullAccess	管理云安全中心

       如果搜索不到目标产品的系统策略，可查阅系统策略参考获取完整列表，也可以创建自定义策略以满足更精细的权限控制需求。

     • 自定义策略：需要先创建自定义权限策略后再来授权。

     • 跨页勾选限制：权限策略列表分页显示，全选操作仅作用于当前页。翻页后，已选策略仍保留在已选列表中，但新页面中的策略不会自动选中，需逐页勾选。

     • 快速授予管理员权限：如需授予管理员权限，可在搜索框中输入 AdministratorAccess 搜索并直接勾选，无需逐页勾选。选中该策略时会触发高风险授权提醒。

   • （可选）填写备注：建议填写授权原因或场景描述，便于后续审计回溯，例如"OSS 上传任务专项授权"。

   • 提交授权：单击确认新增授权。

5. 确认授权绑定操作结果，单击关闭。

步骤四：为RAM用户启用MFA

为步骤二创建的RAM用户启用MFA。具体操作，请参见RAM用户自行绑定MFA设备。