OSS如何投递到RAM授权进阶？
本文是作为
快捷授权的补充，介绍细粒度Policy设置、父子账号Role授权等功能。
授权 Role 管理
通过快捷授权，OSS 用户主账号 B 默认创建的 AliyunLogDefaultRole 角色描述如下：
如日志服务用户主账号 A 与 OSS 用户主账号 B 相同，保持默认角色描述即可，log.aliyuncs.com 等价于
B_ALIYUN_ID@log.aliyuncs.com。
否则，请登录
账号管理->安全设置 查看 A 账号 ID 并修改角色描述，添加
A_ALIYUN_ID@log.aliyuncs.com（支持添加多个），假设 A 的主账号 ID 为1654218965343050：
该角色描述 A 有权限通过日志服务获取临时 Token 来操作 B 的资源（细节请参考
权限控制 STS）。
授权 Policy 管理
通过快捷授权，角色 AliyunLogDefaultRole 默认被授予 AliyunLogRolePolicy，具有写用户 B 所有 OSS Bucket 的权限。
AliyunLogRolePolicy 的授权描述如下：
若希望更精细的访问控制粒度，请解除角色 AliyunLogDefaultRole 的 AliyunLogRolePolicy 授权，并参考
OSS 授权 创建更细粒度的 Policy，授权给角色 AliyunLogDefaultRole。
主子账号 Role 授权
默认情况下，OSS 用户主账号 B 为日志服务主账号 A 创建角色、授权后，由 A 使用角色在日志服务创建 OSS 投递配置。
如果 A 的子账号 a_1 需要使用该角色创建日志投递数据到 OSS 规则，那么，主账号 A 需要为子账号 a_1 授予 PassRole 权限。
进入阿里云“访问控制”控制台，主账号 A 可以为子账号 a_1 授予 AliyunRAMFullAccess 权限。如此，a1 将具备 RAM 所有权限，可以使用 B 为 A 创建的角色来配置日志服务投递 OSS 规则。
AliyunRAMFullAccess 权限较大，如果 A 需要控制 a_1 的权限范围，只授予投递 OSS 的必须权限，可以修改授权策略的 Action、Resource，如下示例（其中45643 只是示例uid，请以实际uid为准）：
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
细粒度权限管理与角色授权说明
授权 Role 管理
- 场景描述：当日志服务用户主账号 A 与 OSS 用户主账号 B 相同时，A 账号默认创建的 AliyunLogDefaultRole 角色已足够，无需修改角色描述。否则，需登录账号管理->安全设置，查看并修改 A 账号的角色描述，添加 A 的主账号 ID（如 A_ALIYUN_ID@log.aliyuncs.com），确保 A 能通过日志服务获取临时 Token 操作 B 的资源。
授权 Policy 管理
- 默认策略：通过快捷授权，AliyunLogDefaultRole 角色被赋予 AliyunLogRolePolicy，拥有写入 B 所有 OSS Bucket 的权限。
- 细粒度控制：若需更精细的访问控制，应解除 AliyunLogRolePolicy，并在 OSS 授权中创建自定义 Policy，以实现对 AliyunLogDefaultRole 更细致的权限分配。
主子账号 Role 授权
- 基本流程：OSS 用户主账号 B 为日志服务主账号 A 创建角色并授权后，A 的子账号 a_1 若要使用该角色配置日志投递至 OSS，A 需要给 a_1 授予 PassRole 权限。
- 权限授予方式：主账号 A 可直接在阿里云“访问控制”控制台为 a_1 授予 AliyunRAMFullAccess，让 a_1 具备所有 RAM 权限来配置投递规则。但此操作权限较大，推荐根据实际需求调整授权策略，仅授予必要的投递 OSS 权限，例如限制 Action 和 Resource，以遵循最小权限原则。
实施步骤简述
- 检查与修改角色描述：确认或更新角色 AliyunLogDefaultRole 的描述，确保包含正确的账号ID以便跨账号访问。
- 调整Policy权限：对于需要更细粒度控制的场景，撤销原有广泛权限的Policy（如AliyunLogRolePolicy），并基于具体需求定制新的Policy，精确到特定Bucket或操作。
- 子账号权限授予：为主账号A下的子账号a_1精准授权，避免使用过于宽泛的AliyunRAMFullAccess，而是依据实际需求设计自定义策略，限定可执行的操作和资源范围。
通过上述步骤，可以实现细粒度的权限管理和灵活的角色授权配置，确保各账号间协作的同时，也维护了权限的安全性和合理性。
注释：以上信息参考自提供的知识库资料。
