权限配置

使用自定义数字员工时配置 PassRole

ram:PassRole 授予使用者，控制使用者能否把某个数字员工 RAM Role 传递给 STAROps 服务使用。

当用户创建、更新或使用绑定数字员工 RAM Role 的自定义数字员工时，需要同时满足：

• 使用者具备相应数字员工或长期任务的操作权限。

• 使用者对目标数字员工 RAM Role 具备 ram:PassRole 权限。

• 目标数字员工 RAM Role 的信任策略允许 STAROps 相关服务扮演该角色。

• 目标数字员工 RAM Role 的权限策略允许访问任务所需的数据和资源。

ram:PassRole 不授予数字员工数据访问权限。它用于判断使用者是否有权把指定数字员工 RAM Role 交给 STAROps 使用。数字员工能访问哪些数据，仍由数字员工 RAM Role 的权限策略决定。

建议将 ram:PassRole 的 Resource 收敛到 STAROps 专用数字员工 RAM Role，不建议长期使用 Resource: "*"。

以下示例允许用户将服务角色 AliyunServiceRoleForCloudMonitor 传递给 STAROps。若使用自定义角色，请将 Resource 替换为对应 RoleArn。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/aliyunserviceroleforcloudmonitor",
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "operation-platform.aliyuncs.com",
            "cloudmonitor.aliyuncs.com"
          ]
        }
      }
    }
  ]
}

给使用者配置数据查看权限

数字员工访问数据和使用者在控制台查看数据是两条不同链路。

系统内置员工继承调用者账号权限，因此使用者需要具备对应数据或资源权限。

自定义数字员工运行时使用数字员工 RAM Role 权限；使用者在 SLS、CMS、ARMS 等控制台核验结果时，仍需要自己的数据查看权限。

建议为使用者按需配置目标数据源的只读权限，便于核验数字员工返回的日志、指标或资源分析结果。

使用系统内置员工

适用于快速体验、受限问答和轻量查询。

需要配置：

• 给 RAM 用户授予 STAROps 使用权限，例如查看数字员工、发起会话、查看会话记录。

• 按需给 RAM 用户授予目标数据源的只读查看权限，便于控制台核验。

• 不需要为系统内置员工配置独立数字员工 RAM Role 或 ram:PassRole。

创建并使用自定义数字员工

适用于按业务线创建专属运维专家，或需要配置 Skill、MCP、AliyunCLI 等扩展能力的场景。

创建长期任务

适用于周期性巡检、告警分析、报告生成和持续守护等场景。

1. 给 RAM 用户授予长期任务创建、查看、更新、删除等 Mission 操作权限。

2. 给 RAM 用户授予查看任务产物和报告的权限。

3. 确认长期任务选择的数字员工具备运行时所需的数据访问权限。

4. 如果长期任务使用自定义数字员工，确认用户具备对应数字员工 RAM Role 的 ram:PassRole 权限。

详细步骤请参见《长期任务权限配置》。

配置最小权限策略

适用于多人协作、安全合规和业务线隔离。

建议先按职责拆分用户，再选择策略模板：

• STAROps 管理员。

• 数字员工配置管理员。

• 普通运维使用者。

• 长期任务运营人员。

• 只读审计人员。

详细模板请参见STAROps 自定义权限策略最佳实践。

给数字员工 RAM Role 授权后，是否可以直接使用该数字员工

不能仅凭数字员工 RAM Role 权限判断。数字员工 RAM Role 只决定数字员工运行时能访问哪些数据和资源。用户还需要具备该数字员工的使用权限；如果使用的是自定义数字员工，还需要对目标数字员工 RAM Role 具备 ram:PassRole 权限。

用户能在控制台看到数据，数字员工为什么仍可能无法访问

用户在控制台查看数据时使用的是用户自身权限。自定义数字员工运行时使用的是绑定的数字员工 RAM Role 权限。两者是不同身份，需要分别授权。请检查数字员工 RAM Role 是否具备目标数据源或云资源的访问权限。

数字员工能访问数据，用户为什么仍可能无法在控制台核验

自定义数字员工访问数据时使用数字员工 RAM Role。用户在 SLS、CMS、ARMS 控制台查看数据时使用自己的 RAM 用户权限。若用户需要核验数字员工返回结果，请为该用户配置必要的数据源只读权限。

选择 ServiceRoleForCloudMonitor 后，数字员工是否可以执行云产品更新操作

不可以。ServiceRoleForCloudMonitor 对应的 AliyunServiceRoleForCloudMonitor 主要用于云监控 2.0 场景的数据读取，适合查询、诊断、巡检和报告生成。它不包含修改云产品配置、变更资源状态等权限。需要执行更新类运维动作时，请使用自定义角色并单独授权。

PassRole 和 AssumeRole 有什么区别

ram:PassRole 控制 RAM 用户是否可以把某个数字员工 RAM Role 传递给 STAROps 服务。sts:AssumeRole 是服务在运行时扮演该角色的动作。角色信任策略允许服务扮演角色，不代表任意 RAM 用户都可以把该角色交给服务使用。

创建长期任务时为什么还需要检查数字员工权限

Mission 权限只控制用户能否创建和管理长期任务。长期任务执行时仍由数字员工完成，因此需要确认所选数字员工具备运行时数据访问权限；如果使用自定义数字员工，还需要确认用户具备对应数字员工 RAM Role 的 ram:PassRole 权限。