快速完成 STAROps 权限配置

快速跑通：STAROps 全量操作权限

快速验证或开发测试环境中，可以先给 RAM 用户授予 STAROps 全量操作权限，再完成 ram:PassRole 配置。该策略只用于快速跑通，不建议作为生产环境的长期策略。生产环境请按《STAROps 自定义权限策略最佳实践》拆分为管理、对话、只读、长期任务等精细化策略。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "starops:*",
      "Resource": "*"
    }
  ]
}

配置目标

配置后，RAM 用户可以：

• 查看可用的系统内置员工。

• 发起智能会话。

• 查看自己的会话记录和结果。

• 按需在数据源控制台核验数据。

配置步骤

1. 使用主账号或 RAM 管理员登录 RAM 控制台。

2. 为目标 RAM 用户创建或选择一条 STAROps 使用策略。快速验证时可使用上文"STAROps 全量操作权限"；生产环境建议按使用场景精细化授权。

3. 授予以下类型权限：

   • 查看数字员工：例如 GetDigitalEmployee、ListDigitalEmployees。

   • 发起和查看会话：例如 CreateChat、CreateThread、GetThread、GetThreadData、ListThreads。

   • 查看产物：例如 GetArtifact、ListArtifacts。

4. 如果希望用户能在控制台自行核验数据，为该 RAM 用户授予目标数据源的只读权限，例如 SLS 查询权限、CMS/ARMS 只读权限等。

5. 使用该 RAM 用户登录 STAROps，选择系统内置员工发起会话。

注意事项

• 使用系统内置员工通常不需要为员工单独配置 RAM Role。

• 使用系统内置员工通常不需要给 RAM 用户配置 ram:PassRole。

• 系统内置员工能力受限，不适合作为可配置 MCP、AliyunCLI 或复杂企业集成的专属员工。

配置目标

配置后，RAM 用户可以：

• 创建或更新自定义数字员工。

• 将服务角色 ServiceRoleForCloudMonitor 绑定到数字员工。

• 与该数字员工发起会话。

• 让数字员工读取授权范围内的日志、指标、应用监控等数据。

配置步骤

1. 确认账号中可以选择服务角色。

   • 在创建数字员工页面，RAM 角色类型选择"服务角色"。

   • RAM 角色 ARN 选择 ServiceRoleForCloudMonitor。

   • 该角色对应 RAM 角色 AliyunServiceRoleForCloudMonitor。

2. 给 RAM 用户授予数字员工操作权限。

   • 创建、查看、更新、删除数字员工。

   • 发起和查看会话。

   • 管理 Skill、MCP、工具配置，按职责选择是否授权。

3. 给 RAM 用户授予 ram:PassRole。

   • Resource 指定到服务角色 AliyunServiceRoleForCloudMonitor。

   • Condition 建议通过 acs:Service 限定只能传递给 STAROps 相关服务。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "ram:PassRole",
         "Resource": "acs:ram::*:role/aliyunserviceroleforcloudmonitor",
         "Condition": {
           "StringEquals": {
             "acs:Service": [
               "operation-platform.aliyuncs.com",
               "cloudmonitor.aliyuncs.com"
             ]
           }
         }
       }
     ]
   }

4. 创建数字员工并绑定服务角色。

   • 在 STAROps 控制台进入数字员工管理页面。

   • 创建数字员工，填写 ID、显示名称、RAM 角色类型和 RAM 角色 ARN。

   • 按需配置默认规则、Skill、MCP 服务或工具策略。

5. 发起会话验证。

   • 让数字员工查询目标工作空间、日志或云资源。

   • 同时使用 RAM 用户在对应控制台核验结果。

注意事项

• ram:PassRole 只控制用户能否把服务角色交给 STAROps 使用，不决定数字员工能访问什么数据。

• 服务角色 ServiceRoleForCloudMonitor 主要提供云监控 2.0 场景的数据读取权限，适合查询、诊断、巡检和报告生成。

• 该服务角色不包含修改云产品配置、变更资源状态等权限。

• 如果数字员工需要执行云产品更新或资源变更，请改用自定义角色，并按云产品、资源范围和 Action 配置最小权限。

• Role 信任策略允许 STAROps 服务扮演角色，不代表所有 RAM 用户都能传递这个角色。

配置目标

配置后，RAM 用户可以：

• 创建和管理长期任务。

• 查看任务状态、任务明细和产物报告。

• 让长期任务使用指定数字员工持续执行。

配置步骤

1. 给 RAM 用户授予 Mission 操作权限。

   • 创建长期任务。

   • 查看长期任务列表和详情。

   • 更新或删除长期任务。

   • 查看任务明细和执行状态。

2. 给 RAM 用户授予产物查看权限。

   • 查看报告、会话、任务输出等 STAROps 资源。

3. 确认所选数字员工具备运行时权限。

   • 使用系统内置员工时，确认用户自身权限和产品能力边界满足任务需要。

   • 使用自定义数字员工时，确认绑定 RAM Role 已具备所需数据和资源权限。

   • 如使用自定义数字员工，确认 RAM 用户具备目标 RAM Role 的 ram:PassRole 权限。

4. 创建长期任务并执行一次验证。

注意事项

• Mission 权限只控制用户能否创建和管理长期任务。

• 长期任务执行时仍由数字员工完成，运行权限来自所选数字员工。

• 如果长期任务提示权限不足，请优先检查数字员工 RAM Role，而不是只检查 RAM 用户的 Mission 权限。

配置目标

配置后，RAM 用户可以：

• 查看数字员工列表和详情。

• 查看会话记录和会话数据。

• 查看长期任务列表、详情、执行状态。

• 查看报告和产物。

配置后，RAM 用户不能：

• 创建、修改、删除数字员工或长期任务。

• 发起会话。

• 传递 RAM Role。

配置要点

• 授予数字员工只读权限。

• 授予会话只读权限。

• 授予长期任务只读权限。

• 授予报告和产物只读权限。

• 不授予 Create、Update、Delete 类 Action。

• 不授予 ram:PassRole。