访问控制应用场景
RAM 的典型应用场景包括：企业子账号管理与分权、不同企业之间的资源操作与授权管理，和针对不可信客户端 app 的临时授权管理。
企业子账号管理与分权
企业 A 购买了多种云资源（如 ECS 实例/ RDS 实例/ SLB 实例/ OSS 存储桶/…），A 的员工需要操作这些云资源，比如有的负责购买，有的负责运维，还有的负责线上应用。由于每个员工的工作职责不一样，需要的权限也不一样。
[backcolor=transparent]需求说明：
- 出于安全或信任的考虑，A 不希望将云账号密钥直接透露给员工，而希望能给员工创建相应的用户账号。
- 用户账号只能在授权的前提下操作资源，不需要对用户账号进行独立的计量计费，所有开销都算在 A 的头上。
- A 随时可以撤销用户账号身上的权限，也可以随时删除其创建的用户账号。
不同企业之间的资源操作与授权管理
A 和 B 代表不同的企业。A 购买了多种云资源（如 ECS 实例/ RDS 实例/ SLB 实例/ OSS 存储桶/…）来开展业务。
[backcolor=transparent]需求说明：
- A 希望能专注于业务系统，而将云资源运维监控管理等任务委托或授权给企业 B。
- 企业 B 可以进一步将代运维任务分配给 B 的员工，B 可以精细控制其员工对 A 的云资源操作权限。
- 如果 A 和 B 的这种代运维合同终止，A 随时可以撤销对 B 的授权。
针对不可信客户端 app 的临时授权管理
企业 A 开发了一款移动 app，并购买了 OSS 服务。移动 app 需要上传数据到 OSS（或从 OSS 下载数据）。
[backcolor=transparent]需求说明：
- A 不希望所有 app 都通过 appServer 来进行数据中转，而希望让 app 能直连 OSS 上传/下载数据。
- 由于移动 app 运行在用户自己的终端设备上，这些设备并不受 A 的控制。出于安全考虑，A 不能将访问密钥保存到移动 app 中。
- A 希望将安全风险控制到最小，比如，每个移动 app 直连 OSS 时都必须使用最小权限的访问令牌，而且访问时效也要很短（比如 30 分钟）。
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
阿里云 AI 助理回答
阿里云的资源访问管理（Resource Access Management，RAM）服务正是为了解决上述场景中的权限管理和授权问题而设计的。下面是如何使用RAM来满足这些典型应用场景的需求：
-
企业子账号管理与分权
- 创建子账号：在阿里云控制台上，A可以通过RAM创建多个子账号，每个子账号对应一个具体的员工或角色。
- 分配策略与权限：利用RAM的策略系统，A可以创建精细的访问控制策略，比如允许某个运维子账号仅能对ECS实例进行重启、配置修改等操作，而财务子账号只能查看费用和账单信息。
- 权限变更与撤销：当员工职责变化时，A可以随时调整子账号的策略，增加、减少或撤销权限。如果员工离职，可以直接删除对应的子账号，确保公司资源的安全。
-
不同企业之间的资源操作与授权管理
- 跨账号授权：A可以通过RAM的跨账号访问功能，向B的企业主账号授予所需的访问权限。这包括但不限于读取ECS实例状态、管理RDS实例等。
- 委托与精细化控制：B接收到A的授权后，可以在自己的RAM体系内进一步细化权限分配给其员工，确保每个员工只拥有完成任务所必需的最小权限。
- 权限撤销：合作结束后，A可以轻松撤销对B的授权，即时切断B及其员工对A资源的访问，保障数据安全。
-
针对不可信客户端app的临时授权管理
- STS临时凭证：对于移动app直连OSS的需求，A可以使用RAM的Security Token Service (STS) 功能生成临时的访问密钥（AccessKey ID、AccessKey Secret）和安全令牌（Security Token），这些凭证具有有限的有效期和指定的权限范围。
- 最小权限原则：通过STS生成的凭证遵循最小权限原则，即每个app请求时获得的凭证仅具备上传/下载特定OSS存储桶中数据的权限，且有效时间可设置得很短，如30分钟，从而降低泄露风险。
- 无密钥集成：App无需硬编码长期有效的AccessKey和Secret，而是每次请求前通过STS服务获取临时凭证，提高了安全性。
综上所述，RAM服务通过灵活的用户管理、细粒度的权限控制以及安全的临时凭证机制，有效地支持了企业内部及跨企业的资源访问控制需求，同时也为不可信环境下的应用提供了安全的授权解决方案。您也可以通过ECS一键诊断全面排查并修复ECS问题。
有帮助
无帮助
AI 助理回答生成答案可能存在不准确，仅供参考
相关问答