使用标签结合RAM实现精细化资源权限控制-资源管理-阿里云

标签（Tag）与访问控制（RAM）相结合，可以实现更加精细化的权限控制。为资源绑定标签后，您可以通过RAM的自定义权限策略指定授权的标签，以此限制RAM身份（RAM用户或RAM角色）仅能对绑定该标签的资源进行访问和操作。使用标签控制资源访问的授权方式更灵活，扩展性更好，当新增资源时，只需要编辑资源的标签，无需批量更改权限策略。本文以RAM用户为例。

支持基于标签授权的资源类型

登录标签控制台，在标签支持的资源类型页面的资源类型鉴权列，查看各资源类型是否支持基于标签的访问控制。

工作原理

基于标签限制RAM用户权限的逻辑如下图所示。

自定义权限策略中是通过条件（Condition）指定授权的标签，标签支持的Condition如下：

Condition	说明
`acs:RequestTag/<tag-key>`	请求中传递的标签信息。即用户在调用API的时候，请求参数里面必须携带的标签。`<tag-key>`为标签键，请在使用时替换为实际值。
`acs:ResourceTag/<tag-key>`	请求访问的资源上绑定的标签信息。即用户在操作某个资源的时候，资源上必须具备的标签。`<tag-key>`为标签键，请在使用时替换为实际值。

工作流程

创建并绑定标签。
在标签控制台、资源中心控制台、云服务控制台为资源创建并绑定标签。标签控制台的操作，请参见创建标签和绑定标签。
创建自定义权限策略。
在RAM控制台创建自定义权限策略，在策略的Condition元素中配置标签授权条件。具体操作，请参见创建自定义权限策略。
例如：以下权限策略表示允许对绑定了标签owner:alice和environment:production的ECS实例进行管理操作。
```
{
	"Effect": "Allow",
	"Action": "ecs:*",
	"Resource": "*",
	"Condition": {
		"StringEquals": {
			"acs:ResourceTag/owner": [
				"alice"
			],
			"acs:ResourceTag/environment": [
				"production"
			]
		}
	}
}
```
创建RAM用户并授权。
在RAM控制台创建RAM用户，然后为该RAM用户添加自定义权限策略。具体操作，请参见创建RAM用户和为RAM用户授权。

最佳实践

云服务	标签授权示例
云服务器ECS	使用标签限制RAM用户管理指定的ECS实例使用标签对ECS实例进行分组授权使用标签控制云助手的命令执行
弹性容器实例ECI	通过标签实现RAM用户鉴权
弹性伸缩ESS	通过标签鉴权精细化管理弹性伸缩
服务器迁移中心SMC	通过标签实现精细化权限管理
云数据库RDS	使用标签对RDS实例进行分组授权