RAM用户权限管理最佳实践

前提条件

已创建RAM用户。具体操作，请参见创建RAM用户。

授予RAM用户系统策略

1. 使用阿里云账号登录RAM控制台。
2. 在左侧导航栏，选择身份管理 > 用户。
3. 在用户页面，单击目标RAM用户操作列的添加权限。
4. 在添加权限面板，为RAM用户添加权限。
   1. 选择授权应用范围。
      • 整个云账号：权限在当前阿里云账号内生效。
      • 指定资源组：权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息，请参见支持资源组的云服务。
   2. 授权主体会自动填入当前RAM用户，无需手动填写。
   3. 根据使用场景选择系统策略下的指定策略，并单击确定。

      场景	系统策略
      购买、续费、退订云安全中心实例	AliyunBSSOrderAccess、AliyunBSSRefundAccess
      只读访问云安全中心	AliyunYundunSASReadOnlyAccess
      管理云安全中心	AliyunYundunSASFullAccess

5. 单击完成。

授予RAM用户自定义策略

参考以下步骤使用自定义权限对RAM用户访问和操作云安全中心进行精确的限制。

一、创建云安全中心自定义权限策略

1. 使用阿里云账号登录RAM控制台。
2. 在左侧导航栏，选择权限管理 > 权限策略。
3. 在权限策略页面，单击创建权限策略。
4. 在创建权限策略页面，单击脚本编辑页签。
   根据您的使用场景配置对应脚本。

   说明 在运维人员权限场景中，该脚本的权限策略允许RAM用户使用漏洞扫描、漏洞修复、基线检查和资产中心功能并进行相关操作。添加该策略后，RAM用户具体可以执行的操作，请参见支持自定义权限策略的操作表格中的Action及其说明。

   使用场景	脚本配置
   资产中心只读	{ "Version": "1", "Statement": [ { "Action": [ "yundun-sas:DescribeCloudCenterInstances", "yundun-sas:DescribeFieldStatistics", "yundun-sas:DescribeCriteria" ], "Resource": "*", "Effect": "Allow" } ] }
   资产中心安全检查	{ "Version": "1", "Statement": [ { "Action": "yundun-sas:ModifyPushAllTask", "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理只读	{ "Version": "1", "Statement": [ { "Action": [ "yundun-aegis:DescribeVulList", "yundun-sas:DescribeVulWhitelist" ], "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理	{ "Version": "1", "Statement": [ { "Action": "yundun-aegis:OperateVul", "Resource": "*", "Effect": "Allow" } ] }
   运维人员权限	{ "Version": "1", "Statement": [{ "Action": [ "yundun-aegis:OperateVul", "yundun-aegis:ModifyStartVulScan" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "yundun-aegis:FixCheckWarnings", "yundun-aegis:IgnoreHcCheckWarnings", "yundun-aegis:ValidateHcWarnings" ], "Resource": "*", "Effect": "Allow" }, { "Action": "ecs:RebootInstance", "Effect": "Allow", "Resource": "*", "Condition": { "Bool": { "acs:MFAPresent": "true" } } }, { "Action": "ecs:*", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*" ] }, { "Action": "ecs:CreateSnapshot", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*", "acs:ecs:*:*:snapshot/*" ] }, { "Action": [ "ecs:Describe*" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "yundun-sas:ModifyPushAllTask", "yundun-sas:DeleteTagWithUuid", "yundun-sas:ModifyTagWithUuid", "yundun-sas:CreateOrUpdateAssetGroup", "yundun-sas:DeleteGroup", "yundun-sas:ModifyAssetImportant", "yundun-sas:RefreshAssets" ], "Resource": "*", "Effect": "Allow" } ] }

5. 单击下一步：编辑基本信息，然后输入权限策略的名称和备注。
6. 单击确定。

二、为RAM用户授权

1. 使用阿里云账号登录RAM控制台。
2. 在左侧导航栏，选择权限管理 > 授权。
3. 在授权页面，单击新增授权。
4. 在新增授权面板，为RAM用户添加权限。
   新创建的RAM用户默认不支持任何权限。
   1. 选择授权应用范围。
      • 整个云账号：权限在当前阿里云账号内生效。
      • 指定资源组：权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息，请参见支持资源组的云服务。
   2. 输入授权主体。
      授权主体即需要添加权限的RAM用户。
   3. 在系统策略页签下，搜索并选择AliyunYundunSASReadOnlyAccess策略。
      该系统策略可以授予运维人员只读访问云安全中心服务的权限。
   4. 单击自定义策略页签，选择一、创建云安全中心自定义权限策略中创建的自定义策略。
5. 单击确定。

相关文档

权限策略基本元素

权限策略语法和结构

通过RAM管控多运维人员的权限

通过访问控制服务限制RAM用户访问云资源的IP地址

通过访问控制服务限制RAM用户访问云资源的时间段