企业客户将资源分组之后，分配管理员独立管理，并由管理员负责为具体操作人员分配资源组内的权限。
前提条件
您可以使用阿里云账号（主账号）或拥有管理资源组范围的授权权限的RAM身份（RAM用户或RAM角色）完成本文所述的操作。
背景信息
资源组授权和访问控制（RAM）授权之间的关系：
-
资源组授权管理由访问控制提供权限管理服务。
-
资源组授权时授予的是访问控制中管理的权限策略，包括所有系统策略和自定义策略。
-
资源组的授权实体：访问控制中创建的RAM用户、RAM用户组或RAM角色。
-
资源范围为账号级别时，权限在当前阿里云账号内生效。资源范围为资源组级别时，权限仅在对应资源组内生效。
操作步骤
您可以在资源组控制台和RAM控制台完成授权。如下以资源组控制台的操作为例。
-
登录资源组控制台。
-
在资源组页面，单击目标资源组操作列的权限管理。
-
在权限管理页签，单击新增授权。
-
在新增授权面板，设置授权主体和权限策略，然后单击确认新增授权。
-
资源范围：默认选中当前的资源组，即权限仅在该资源组内生效。
-
授权主体：选择需要授权的RAM用户、RAM角色或RAM用户组。
说明资源组范围的授权对可信实体为云服务的RAM角色（服务角色）不生效，该类角色通过STS扮演后调用API时会返回
Forbidden.RAM。该限制不影响RAM用户、RAM用户组以及可信实体为阿里云账号的RAM角色。如需为服务角色授予等效权限，请参见下文的服务角色替代方案。 -
权限策略：选择需要的系统策略或自定义策略。
-
执行结果
完成授权后，授权主体将获得当前资源组内资源的相应权限。
服务角色替代方案
可信实体为云服务的RAM角色（服务角色）无法通过资源组范围授权获得权限。此时在该RAM角色上挂载包含Condition的自定义策略，以账号级别授权替代资源组级别授权，并用条件键限定生效范围，实现等效的资源隔离：
-
使用
ecs:RequestTag限定请求中必须携带的标签，仅允许操作带指定标签的资源。 -
使用VPC相关条件键限定生效的VPC范围。
-
使用实例规格相关条件键限定可创建的实例规格。
配置后，该RAM角色通过STS扮演并调用API时鉴权可正常通过；未包含在策略中的操作仍返回Forbidden.RAM。
相关文档
在RAM控制台授权的操作方法，请参见管理RAM用户的权限、为RAM用户组授权、管理RAM角色的权限。