配置阿里云 CLI 工具-全域智能运维平台 STAROps(STAROps)-阿里云帮助中心

本文介绍如何为数字员工配置阿里云 CLI 工具，使数字员工能够通过 aliyun 命令调用阿里云产品 API，以及如何验证配置是否生效。

前提条件

配置阿里云 CLI 工具需要满足以下权限要求：

RAM 用户权限

当前登录账号需具备读取 RAM 角色策略的权限，否则进入工具执行页面时会提示"RAM 权限校验失败，无法操作配置"，阿里云 CLI 配置将变为只读状态。请联系主账号添加以下权限：

ram:GetRole
ram:ListPoliciesForRole
ram:GetPolicyVersion

RAM 角色权限

配置阿里云 CLI 工具前，请确认数字员工关联的 RAM 角色已授予对应产品的 API 权限。只有 RAM 角色中已存在的 Action 权限，才会在工具配置界面中显示可选。

重要

阿里云 CLI 工具的配置基于 RAM 权限体系，而非直接对应 API 工具名称。当您需要为某个工具授权时，不能简单地将工具名作为 RAM Action 使用。

请通过以下步骤查找正确的 RAM Action：

识别目标工具：确定需要授权的 CLI 工具名称（如 aliyun elasticsearch ListAllNode）。
查阅 OpenAPI 文档：访问阿里云 OpenAPI 门户，搜索对应的 API 名称（如 ListAllNode）。
获取真实 RAM Action：在 API 文档页面的"授权信息"章节，表格中“操作”列的值就是RAM Action。
在 RAM 中授权：使用查到的真实 RAM Action 在 RAM 角色策略中进行授权。

示例

假设您需要授权 aliyun elasticsearch ListAllNode 工具：

错误做法：直接授予 elasticsearch:ListAllNode 权限 → 授权失败，因为该 RAM Action 不存在。
正确做法：查阅 Elasticsearch 的 OpenAPI 文档，发现 ListAllNode 接口实际需要的 RAM Action 是 elasticsearch:DescribeInstance，在 RAM 角色策略中授予该权限后，工具即可正常使用。

配置方式

阿里云 CLI 工具可在创建数字员工时配置，也可在已有数字员工的设置页面中配置，两种入口的配置方式完全一致。

入口一：创建数字员工时配置

在创建数字员工的流程中，进入工具执行步骤，找到阿里云 CLI 并开启开关。

开启后，进入工具规则配置。支持以下两种编辑方式：

可视化编辑

选择可视化编辑模式。
单击添加规则。
在规则配置中，选择目标产品（如 Ess - 弹性伸缩）。
在 RAM Action 区域，选择授权范围：
- 全部 API：允许数字员工调用该产品所有已授权的 API。
- 指定 RAM Action：单击选择 Action 勾选特定操作，或单击从 RAM 导入自动导入 RAM 角色中该产品的已有权限。
设置执行方式：
- 自动执行：数字员工判断需要调用时直接执行，无需用户逐次确认。
- 每次询问：每次调用前向用户确认，适用于写操作或敏感操作。
单击确定完成规则创建。

脚本编辑

选择脚本编辑模式，直接编写 JSON 格式的工具配置。

配置结构示例：

{
  "enable": true,
  "statements": [
    {
      "decision": "user_ack",
      "product": "Domain",
      "apiVersion": "2018-01-29",
      "actions": [
        "domain:QueryDomain",
        "domain:QueryCommonInfo"
      ]
    }
  ]
}

字段	说明
`enable`	是否启用阿里云 CLI，`true` 为启用
`decision`	执行方式：`allow` 为自动执行，`user_ack` 为每次询问
`product`	产品名称（RAM Code 对应的产品标识，如 `Ess`）
`apiVersion`	产品 API 版本号
`actions`	允许调用的 RAM Action 列表，格式为 `<RAM Code>:<ActionName>`

配置完成后，设置执行方式（自动执行 / 每次询问）。
单击确定完成配置。

入口二：已有数字员工配置

进入目标数字员工的详情页。
单击设置 Tab 页。
选择左侧工具执行。
按照上述可视化编辑或脚本编辑的方式完成配置。

验证配置

配置完成后，通过以下方式验证阿里云 CLI 是否正常触发：

方式一：通过 Skill 触发

在 Skill 的 SKILL.md 文件中，显式指定使用 aliyun 命令执行查询或操作。数字员工在执行 Skill 时会自动调用对应的 CLI 工具。

示例 Skill 描述片段：

**Verify instance exists and get basic information:**

```bash
aliyun ecs describe-instances \
  --biz-region-id <REGION_ID> \
  --region <REGION_ID> \
  --instance-ids '["<INSTANCE_ID>"]'
```

方式二：在对话框中直接测试

在与数字员工的对话框中，直接输入 aliyun 命令进行测试：

aliyun ecs DescribeInstances --RegionId cn-hangzhou

建议测试阶段建议将待测命令对应的工具规则设置为每次询问模式，方便观察工具是否被正确触发，确认无误后再切换为自动执行。