阿里云机器学习平台PAI子账号(RAM用户)使用过程中相关权限授予

1.工作空间相关权限授予

工作空间（WorkSpace）:工作空间是PAI的顶层概念，为企业和团队提供统一的计算资源管理及人员权限管理能力，为AI开发者提供支持团队协作的全流程开发工具及AI资产管理能力。PAI工作空间和DataWorks工作空间在概念和实现上互通。

常见问题一：子账号进入工作空间列表提示当前账号没有创建工作空间的权限

• 由于PAI的工作空间与DataWorks的工作空间在底层是打通的，因此操作创建PAI工作空间的账号需拥有AliyunDataWorksFullAccess才能成功创建工作空间。详情请参考文档：

1.1为子账号授予AliyunDataWorksFullAccess过程简单演示

• 操作流程

  1. 主账号登录RAM控制台
  2. 在左侧导航栏，选择身份管理 > 用户
  3. 在用户页面，单击目标RAM用户操作列的添加权限
  4. 在添加权限面板，为RAM用户添加权限
  5. 单击确定，单击完成
  6. 登录子账号PAI创建工作空间
• 主账号登录RAM控制台选择用户

• 在添加权限面板，为相应RAM用户添加权限

• 登录子账号创建工作空间

常见问题二：子账号进入工作空间列表无法查看和使用主账号及其他RAM账号已创建的工作空间

• 主账号空间列表下

• 子账号空间列表下

• 这是由于主账号或其他RAM账号在起初创建工作空间时，没有将其账号添加为工作空间的成员并为其配置角色权限所导致的。同一个AI工作空间可以添加多个成员，且为其授予特定的角色，从而拥有不同的执行权限。

2.1在主账号工作空间为子账号添加角色过程简单演示

• 操作流程

  1. 主账号登录PAI控制台
  2. 在左侧导航栏，单击工作空间列表，然后在工作空间列表页面，单击目标工作空间的名称。
  3. 在工作空间详情页面，单击工作空间成员后面的编辑，即可进入成员管理面板。
  4. 在成员管理面板，单击添加成员。在添加成员对话框，根据实际需要进行选择成员角色。
  5. 单击确定
  6. 具体操作流程可参考官网文档：管理成员
• 主账号工作空间页

• 没添加角色前工作空间详情

• 为工作空间添加角色

• 将子账号添加为运维角色后工作空间详情

• 登录子账号工作空间查看

2.交相互建模（DSW）相关权限授予

常见问题：子账号进入主账号工作空间在交相互建模（DSW）创建实例为灰色

• 新版的工作空间下的DSW已经和RAM授权没有关系了，权限不再是RAM账号设置。可以使用工作空间创建者在工作空间内，为用户添加相应角色即可解决。添加用户为算法运维（可以创建或者删除实例）；算法开发（不能创建和删除，只能打开启动和停止实例）。如果要RAM账号自己创建，建议添加为算法运维，算法开发只能使用没有创建的权限，这是为了满足主账号的预算控制的需求。
• 相应角色可以在PAI控制台左侧导航栏，单击角色与权限列表，查看各角色与权限点的映射关系
• 主账号空间下为子账号添加算法运维角色，具体流程参考上文：在主账号工作空间为子账号添加角色过程简单演示

• 登录子账号点击交互式建模（DSW）列表查看
  

3.云原生训练（DLC）相关权限授予

常见问题：子账号进入任务点击主账号创建的DLC任务查看详情及删除无权限

• 查看任务详情无权限

• 由于控制台版本更新，需要在工作空间把子账号设置为工作空间管理员或算法运维角色才能查看其他账号创建的任务。具体各角色与权限点的映射关系，查看角色与权限列表
• 主账号工作空间下设置为算法运维角色

• 在子账号任务处再次查看主账号创建任务详情

4.智能标注（iTAG）相关权限授予

常见问题：子账号进入控制台点击智能标注列表提示当前没有管理员权限，暂时不能访问管理员工作台

• 子账号智能标注（iTAG）工作台

• 在智能标注（iTAG）中，新版PAI控制台人员管理包括管理员、标注组长及标注员三种角色，子账号如果想正常使用也是需要主账号为其授予特定的角色。智能标注（iTAG）各角色的权限参考官网文档：智能标注（iTAG）概述

4.1 为子账号授予智能标注（iTAG）管理员过程简单演示

• 主账号在工作空间中将子账号编辑为标注管理员角色

• 在主账号的智能标注（iTAG）列表下进入iTAG人员管理页面，将该RAM用户账号设置为管理员

• 进入子账号选择对应空间再次点击智能标注（iTAG）查看

更多参考

准备工作
AI工作空间（新版）
智能标注（iTAG）概述
云产品依赖与授权：Designer
云产品依赖与授权：DSW