钉钉账号登录阿里云
在浏览器页面钉钉扫码登录阿里云 在 RAM用户登录页面，单击 钉钉扫码登录 页签。说明 您也可以直接使用 钉钉扫码登录链接 登录。使用移动端的钉钉应用扫描页面中的二维码。在移动端的钉钉应用中，点击 登录网页版阿里云RAM。在 RAM用户钉钉...
为RAM用户绑定多因素认证设备
绑定U2F安全密钥 绑定方式 请根据实际情况，选择合适的方式绑定U2F安全密钥：使用阿里云账号或RAM管理员在RAM控制台绑定U2F安全密钥。如下操作将以此为例进行介绍。如果阿里云账号要求RAM用户启用多因素认证，那么RAM用户登录时会直接进入...
为RAM用户解绑MFA设备
如果RAM用户不再需要MFA验证，或者想更换MFA设备、更换MFA认证方式时，您可以解绑当前的MFA设备。警告 为RAM用户解绑MFA设备后，该RAM用户将不能通过该MFA设备进行二次身份核验，会降低账号的安全性。解绑虚拟MFA 阿里云账号（主账号）或...
为阿里云账号绑定MFA设备
卸载MFA应用（阿里云应用）或在MFA应用中删除已绑定的虚拟MFA设备前，请先前往阿里云控制台解绑该虚拟MFA设备，否则将导致您无法正常登录阿里云。具体操作，请参见 为阿里云账号解绑MFA设备。相关文档 什么是MFA 多因素认证（MFA）常见问题
SSO概览
企业用户登录后，使用SAML断言中指定的RAM角色访问阿里云资源。请参见 SAML角色SSO概览。OIDC角色SSO：企业用户通过IdP签发的OIDC令牌（OIDC Token），调用阿里云API扮演指定角色并换取角色临时身份凭证（STS Token），然后使用STS Token...
创建RAM用户并授权
步骤二：RAM用户登录阿里云控制台 使用新创建的RAM用户登录 阿里云控制台。说明 RAM用户登录页面与阿里云账号（主账号）登录页面不同。更多信息，请参见 RAM用户登录阿里云控制台。在 RAM用户登录 页面的 RAM用户名密码登录 页签，输入RAM...
不使用主账号登录
风险说明 主账号权限极大，无法进行条件限制（例如：访问来源IP地址、访问时间等），多人共用时无法在审计日志中区分出具体使用人，一旦泄露风险极大。风险等级 高风险。最佳实践 不使用主账号的用户名和密码登录阿里云控制台进行日常操作...
什么是STS
功能特性 使用RAM用户扮演角色时获取STS Token 有权限的RAM用户可以使用自己的访问密钥调用 AssumeRole-获取扮演角色的临时身份凭证 接口，以获取某个RAM角色的STS Token，从而使用STS Token访问阿里云资源。通常用于跨账号访问场景和临时...
创建并验证域别名
域别名是指默认域名的别名。创建并验证域别名成功后，RAM用户登录控制台时可以使用该域别名...更多信息，请参见 RAM用户登录阿里云控制台。另外，使用域别名可以简化SAML SSO的配置流程。更多信息，请参见 进行用户SSO时阿里云SP的SAML配置。
创建RAM用户
控制台访问 如果RAM用户代表人员，建议启用控制台访问，使用用户名和登录密码访问阿里云。您需要设置以下参数：控制台登录密码：选择自动生成密码或者自定义密码。自定义登录密码时，密码必须满足密码复杂度规则。更多信息，请参见 设置RAM...
RAM用户概览
RAM用户类型 按照RAM用户的创建途径，RAM用户分为以下几种：手动创建：在RAM中创建的RAM用户。更多信息，请参见 创建RAM用户。SCIM同步：通过SCIM协议从身份提供商（IdP）同步到RAM中创建的用户，不支持手动删除。更多信息，请参见 通过...
为RAM用户移除权限
方式一：在RAM用户页面移除RAM用户的权限 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 用户 页面，单击目标RAM用户名称。单击 权限管理 页签，然后单击目标权限策略 操作 列的 解除授权。在 解除授权 对话框，单击...
创建可信实体为阿里云账号的RAM角色
可信实体的RAM用户通过控制台或API扮演角色并获取角色的安全令牌（STS Token），然后以RAM角色身份访问对应的云资源。具体操作，请参见 扮演RAM角色。相关文档 CreateRole-创建角色 跨阿里云账号的资源授权 移动应用使用临时安全令牌访问...
为RAM用户解绑钉钉账号
RAM用户登录 阿里云控制台。将鼠标悬浮在页面右上角的头像图标上，单击 安全信息管理。在左侧导航栏，选择 访问凭证管理>控制台登录。单击 钉钉账号 右侧的 解绑。在 钉钉解绑 对话框，阅读并确认解绑产生的影响，然后单击 解绑。解绑成功...
为RAM用户绑定钉钉账号
RAM用户登录 阿里云控制台。将鼠标悬浮在页面右上角的头像图标上，单击 安全信息管理。在左侧导航栏，选择 访问凭证管理>控制台登录。单击 钉钉账号 右侧的 去绑定。在 RAM用户与钉钉绑定 页面，使用移动端的钉钉应用扫描页面中的二维码。...
使用Azure AD进行用户SSO的示例
如果未指定 中继状态 或超出允许范围，则系统会访问以下阿里云控制台首页。从Azure AD侧发起登录 获取用户访问URL 管理员用户登录 Azure门户。在主页左上角，单击 图标。在左侧导航栏，选择 Azure Active Directory>企业应用程序>所有应用...
AliyunUEMFullAccess
AliyunUEMFullAccess 是阿里云管理的产品系统策略，您可以将 AliyunUEMFullAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 管理终端访问控制系统（UEM）的权限。策略详情 类型：系统策略 创建时间：2020-04-14 ...
创建AccessKey
AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会...
创建AccessKey
AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会...
删除自定义权限策略
前提条件 删除权限策略前，应保证当前权限策略未被引用（即未授予RAM用户、用户组或RAM角色）。若该权限策略已被引用，您需要在该权限策略的引用记录中移除授权。更多信息，请参见 管理权限策略引用记录。操作步骤 使用阿里云账号登录 RAM...
AliyunUEMReadOnlyAccess
AliyunUEMReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunUEMReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问终端访问控制系统（UEM）的权限。策略详情 类型：系统策略 创建时间...
OAuth应用概览
NativeApp：指操作系统中运行的本地应用，主要为运行在桌面操作系统或移动操作系统中的应用。ServerApp：指直接访问阿里云服务，而无需依赖用户登录的应用。目前仅支持基于SCIM协议的用户同步应用。按照应用的归属，可以将应用分为以下几种...
跨阿里云账号的资源授权
RAM角色创建成功后，在角色基本信息页面中可以查看到该RAM角色的ARN和信任策略。RAM角色的ARN为 acs:ram:123456789012*:role/ecs-admin。RAM角色的信任策略如下：说明 以下策略表示允许阿里云账号B下的RAM用户来扮演该RAM角色。{"Statement...
为RAM用户组移除RAM用户
方式一：在RAM用户页面将RAM用户从RAM用户组中移除 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 用户 页面，单击目标RAM用户名称。单击 加入的组 页签，然后单击目标RAM用户组 操作 列的 移出该组。单击 确定。...
使用Okta进行用户SSO的示例
本文提供一个以Okta与阿里云进行用户SSO的示例，帮助您理解企业IdP与阿里云进行SSO的端到端配置流程。步骤一：在阿里云获取SAML服务提供商元数据 使用阿里云账号登录 RAM控制台。在左侧导航栏，选择 集成管理>SSO管理。在 SSO管理 页面，...
RAM角色概览
本文为您介绍RAM角色的定义、分类、应用场景、基本概念、使用流程和使用限制。...通过控制台扮演RAM角色 通过调用API扮演RAM角色 可信实体通过角色身份访问被授权的云资源。使用限制 关于RAM角色的使用限制，请参见 使用限制。
授权信息
访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。本文为您介绍 访问控制（RAM）为RAM权限策略定义...
查看权限策略基本信息
操作步骤 使用阿里云账号登录 RAM控制台。在左侧导航栏，选择 权限管理>权限策略。在 权限策略 页面，从 策略类型 列表中，选择策略类型。在搜索框中，输入目标权限策略名称或备注进行模糊搜索，然后单击目标权限策略名称。在 基本信息 ...
管理OIDC身份提供商
在创建OIDC身份提供商时配置该客户端ID，然后在使用OIDC令牌换取STS Token时，阿里云会校验OIDC令牌中 aud 字段所携带的客户端ID与OIDC身份提供商中配置的客户端ID是否一致。只有一致时，才允许扮演角色。如果您有多个应用需要访问阿里云，...
使用Google Workspace进行用户SSO的示例
本文提供一个以Google Workspace与阿里云进行用户SSO的示例，帮助您理解企业IdP与阿里云进行SSO的端到端配置流程。步骤一：在阿里云获取SAML服务提供商元数据 使用阿里云账号登录 RAM控制台。在左侧导航栏，选择 集成管理>SSO管理。在 SSO...
使用Azure AD进行角色SSO的示例
如果未指定 中继状态 或超出允许范围，则系统会访问阿里云控制台首页。（可选）配置Azure AD与多个阿里云账号的角色SSO 假设您有两个阿里云账号（Account1和Account2），您希望经过配置，使得企业员工用户（u2）在登录Azure AD后，通过角色...
控制台用户和程序用户分离
治理建议 判断当前RAM用户（User1）有无访问控制台的需求。无：禁用控制台访问方式。具体操作，请参见 修改控制台登录设置。有：进行下一步操作。创建一个新的RAM用户（User2），启用控制台访问方式。具体操作，请参见 创建RAM用户 和 启用...
AliyunUEMUninstallClientAccess
AliyunUEMUninstallClientAccess 是阿里云管理的产品系统策略，您可以将 AliyunUEMUninstallClientAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 具备终端访问控制系统（UEM）的客户端卸载管理权限，其他权限...
AliyunUEMAccountDeviceAccess
AliyunUEMAccountDeviceAccess 是阿里云管理的产品系统策略，您可以将 AliyunUEMAccountDeviceAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 具备终端访问控制系统UEM用户账号以及用户设备的读写管理权限，...
基本概念
身份（Identity）访问控制（RAM）中有三种身份：RAM用户、用户组和RAM角色。其中RAM用户和用户组是RAM的一种实体身份类型，RAM角色是一种虚拟用户身份。默认域名（Default domain name）阿里云为每个阿里云账号分配了一个 默认域名，格式为...
扮演RAM角色
例如：外部IdP中的用户tom@example.local通过RAM角色test-saml-role1登录到控制台，这时当前身份为test-saml-role1/tom@example.local，然后再次使用角色alice-testrole切换身份，此次当前身份为alice-testrole/tom@example.local，其中...
通过RAM限制用户的访问方式
RAM可以限制用户只能通过指定的访问方式访问企业的云资源，从而增强访问安全性。前提条件 创建自定义权限策略前，您需要先了解权限策略语言的基本结构和语法。更多信息，请参见 权限策略基本元素 和 权限策略语法和结构。背景信息 企业A...
如何调整登录会话时长或临时访问凭证有效期？
RAM角色扮演 控制台切换身份 登录会话时长限制 在控制台上通过切换角色方式扮演RAM角色时，切换到RAM角色身份后，登录会话时长受以下配置的限制：RAM用户安全策略中的 登录会话的过期时间。更多信息，请参见 管理RAM用户安全设置。被扮演...
指定RAM用户自主管理访问密钥
本文为您提供指定RAM用户自主管理访问密钥（AccessKey）的参考...如果允许阿里云账号下所有RAM用户都自主管理AccessKey，请登录RAM控制台，修改RAM用户安全设置，将 自主管理AccessKey 设置为 允许。具体操作，请参见 管理RAM用户安全设置。
为RAM用户绑定MFA设备
重要 如果您要为RAM用户更换新的MFA设备，请先前往RAM控制台解绑当前的MFA设备，再绑定新的MFA设备。具体操作，请参见 为RAM用户解绑多因素认证设备。如果RAM用户在未解绑MFA设备的状态下卸载了MFA应用（阿里云应用）或RAM用户的U2F安全...
- 产品推荐
- 这些文档可能帮助您