访问控制RAM
如果您购买了多台云服务器 ECS 实例，您的组织里有多个用户需要使用这些实例。如果这些用户共享使用您的云账号密钥，那么存在以下问题：
您的密钥由多人共享，泄密风险高；
您无法限制用户的访问权限，容易出现误操作导致安全风险。
访问控制 RAM (Resource Access Management) 是阿里云提供的资源访问控制服务。通过 RAM，您可以集中管理您的用户（比如员工、系统或应用程序），以及控制用户可以访问您名下哪些资源的权限。
访问控制 RAM 将帮助您管理用户对资源的访问权限控制。例如，为了加强网络安全控制，您可以给某个群组附加一个授权策略，该策略规定：如果用户的原始 IP 地址不是来自企业网络，则拒绝此类用户请求访问您名下的 ECS 资源。
您可以给不同群组设置不同权限，例如：
SysAdmins：该群组需要创建和管理 ECS 镜像、实例、快照、安全组等权限。您给 SysAdmins 组附加了一个授权策略，该策略授予组成员执行所有 ECS 操作的权限。
Developers：该群组只需要使用实例的权限。您可以给 Developers 组附加一个授权策略，该策略授予组成员调用 DescribeInstances、StartInstance、StopInstance、CreateInstance 和 DeleteInstance 的权限。
如果某开发人员的工作职责发生转变，成为一名系统管理人员，您可以方便的将其从Developpers 群组移到 SysAdmins 群组。
更多关于访问控制 RAM的介绍，请参考
RAM 的产品文档 。
原文链接：
访问控制RAM
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
当您的组织拥有多个用户需要共享访问多台云服务器ECS实例时，直接使用主账号密钥存在以下风险：
- 密钥共享导致高泄密风险：多人知晓同一密钥，增加了因意外或恶意行为导致密钥泄露的可能。
- 权限无法精细化控制：缺乏对不同用户的具体操作限制，容易因误操作引发安全事件。
为解决这些问题，阿里云提供了访问控制RAM (Resource Access Management) 服务，它允许您：
- 集中管理用户与权限：创建RAM用户并分配给实际需要访问资源的员工、系统或应用程序，避免密钥的广泛分发。
- 实施细粒度权限控制：通过自定义权限策略，精确控制每个RAM用户或用户组能访问哪些资源及执行哪些操作。
- 使用资源组进行分级管理：将资源按用途、权限、归属等维度分组，进一步细化访问控制，例如将生产环境和测试环境的ECS实例分别置于不同资源组，并为不同群组设置相应的访问权限。
具体实践案例包括：
-
SysAdmins群组：具有全面的ECS资源管理权限，如创建和管理镜像、实例、快照、安全组等。这要求为其配置一个广泛的ECS系统权限策略。
-
Developers群组：仅需使用ECS实例进行开发测试，因此被授予有限的权限，如查看实例（DescribeInstances）、启动/停止实例（StartInstance/StopInstance）、创建/删除实例（CreateInstance/DeleteInstance）。
-
灵活调整权限：随着团队成员职责变化，可轻松调整其所属群组，从而改变其权限范围，比如从Developers群组调整至SysAdmins群组以适应新角色。
此外，RAM还支持MFA多因素认证，进一步增强账户安全性，以及通过IP源地址限制（acs:SourceIp）来限定特定公网IP网段访问权限，确保只有来自企业网络的用户请求才能访问ECS资源。
综上所述，访问控制RAM是实现高效且安全的多用户资源访问管理的关键工具，能够显著降低密钥泄露风险，同时提供灵活且精细的权限控制机制。
参考文献： - 身份与访问控制您也可以通过ECS一键诊断全面排查并修复ECS问题。
