多因素认证（MFA）常见问题
在RAM用户控制台登录设置中，将 MFA多因素认证 设置为 需要开启MFA认证。具体操作，请参见 创建RAM用户 或 管理RAM用户登录设置。经过以上设置后，RAM用户登录控制台时会先要求绑定MFA设备，绑定成功后，后续登录时会要求输入MFA安全码。...
AliyunDataQReadOnlyAccess
AliyunDataQReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunDataQReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问DataQ管理控制台。策略详情 类型：系统策略 创建时间：2024-04-...
创建RAM角色并授权
RAM角色是一种虚拟用户，可以被授予一组权限策略。...扮演成功后，可信实体将获得RAM角色的临时身份凭证，即安全令牌（STS Token），使用该安全令牌就...通过控制台扮演RAM角色 通过调用API扮演RAM角色 可信实体通过角色身份访问被授权的云资源。
指定RAM用户自主管理访问密钥
本文为您提供指定RAM用户自主管理访问密钥（AccessKey）的参考...如果允许阿里云账号下所有RAM用户都自主管理AccessKey，请登录RAM控制台，修改RAM用户安全设置，将 自主管理AccessKey 设置为 允许。具体操作，请参见 管理RAM用户安全设置。
创建AccessKey
AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会...
创建AccessKey
AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会...
使用限制
限制项 最大值 RAM用户 一个阿里云账号中的RAM用户个数 5000 RAM用户名称的字符数 64 一个RAM用户允许加入的用户组个数 10 一个RAM用户允许创建的访问密钥个数 2 一个RAM用户允许绑定的多因素认证设备个数 1 一个RAM用户允许绑定的系统策略...
为RAM用户移除权限
方式一：在RAM用户页面移除RAM用户的权限 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 用户 页面，单击目标RAM用户名称。单击 权限管理 页签，然后单击目标权限策略 操作 列的 解除授权。在 解除授权 对话框，单击...
管理第三方应用授权
查看授权 第三方应用授权完成后，用户可以在RAM控制台查看已授权的第三方应用名称、应用ID、授权时间和授权范围信息。用户登录 RAM控制台。在左侧导航栏，选择 集成管理>OAuth应用（公测）。在 第三方应用 页签，查看用户已授权的第三方...
为RAM用户组移除RAM用户
方式一：在RAM用户页面将RAM用户从RAM用户组中移除 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>用户。在 用户 页面，单击目标RAM用户名称。单击 加入的组 页签，然后单击目标RAM用户组 操作 列的 移出该组。单击 确定。...
创建可信实体为阿里云服务的RAM角色
可信实体为阿里云服务的RAM角色主要用于解决跨云服务授权访问的问题。该RAM角色允许可信的阿里云服务扮演。服务角色分类 普通服务角色：您需要自定义角色名称，选择受信服务，并自定义权限策略。服务关联角色：您只需选择可信的云服务，...
查看RAM用户的AccessKey信息
本文为您介绍如何查看RAM用户的访问密钥（AccessKey）信息，包括AccessKey ID、状态、最后使用云服务及创建时间等。AccessKey Secret只在创建时显示，不支持查看。RAM管理员查看所有RAM用户的AccessKey信息 阿里云账号（主账号）或RAM管理...
创建可信实体为阿里云账号的RAM角色
可信实体的RAM用户通过控制台或API扮演角色并获取角色的安全令牌（STS Token），然后以RAM角色身份访问对应的云资源。具体操作，请参见 扮演RAM角色。相关文档 CreateRole-创建角色 跨阿里云账号的资源授权 移动应用使用临时安全令牌访问...
AliyunARMSPrometheusAccessAuth
AliyunARMSPrometheusAccessAuth 是阿里云管理的产品系统策略，您可以将 AliyunARMSPrometheusAccessAuth 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 访问Prometheus监控服务控制台的权限。策略详情 类型：系统...
清理闲置RAM用户
闲置RAM用户是指启用了控制台登录方式，但从未登录过控制台的RAM用户或超过90天未登录控制台的RAM用户，建议您定期清理闲置RAM用户。风险说明 RAM用户启用控制台登录时会设置登录密码。时间越长，密码暴露的风险就越高，一旦密码泄露，攻击...
集成概览
本文为您介绍访问控制OpenAPI的基本信息。关于如何使用阿里云OpenAPI，请参见 使用OpenAPI。总览 访问控制的OpenAPI包括：IMS（Identity Management Service）OpenAPI、RAM（Resource Access Management）OpenAPI和STS（Security Token ...
RAM Python SDK调用示例
登录 RAM访问控制，创建一个RAM用户。具体操作，请参见 创建RAM用户。凭证 进入到对应的 RAM用户 详情页，在 认证管理 页签下的 用户AccessKey 区域，单击 创建AccessKey，创建一个新的AccessKey。具体操作，请参见 创建AccessKey。重要 ...
AliyunCloudControlAPIReadOnlyAccess
AliyunCloudControlAPIReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunCloudControlAPIReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问云控制API（CloudControlAPI）的权限。...
IMS Python SDK调用示例
登录 RAM访问控制，创建一个RAM用户。具体操作，请参见 创建RAM用户。凭证 进入到对应的 RAM用户 详情页，在 认证管理 页签下的 用户AccessKey 区域，单击 创建AccessKey，创建一个新的AccessKey。具体操作，请参见 创建AccessKey。重要 ...
AccessKey泄露处理方案
建议限制的高风险权限，例如：禁止该RAM用户在访问控制（RAM）中创建新的RAM用户及授权，禁止ECS、RDS、OSS、SLS资源的释放，禁止发送短信等。以下提供一个禁用高风险权限的自定义权限策略示例，请您充分评估影响，根据业务情况设置。{...
控制台用户和程序用户分离
治理建议 判断当前RAM用户（User1）有无访问控制台的需求。无：禁用控制台访问方式。具体操作，请参见 修改控制台登录设置。有：进行下一步操作。创建一个新的RAM用户（User2），启用控制台访问方式。具体操作，请参见 创建RAM用户 和 启用...
创建RAM用户
RAM用户即RAM账号，是RAM的一种实体身份类型。...在左侧导航栏，选择 身份管理>用户。在 用户 页面，单击 创建用户。...更多信息，请参见 RAM用户登录阿里云控制台 和 使用OpenAPI。相关文档 CreateUser-创建RAM用户 通过RAM管控多运维人员的权限
AliyunDataWorksReadOnlyAccess
AliyunDataWorksReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunDataWorksReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问阿里云DataWorks管理控制台。策略详情 类型：系统策略 ...
在指定的时间段访问阿里云
本文为您提供限制RAM用户登录时间段的参考示例。下述策略表示：被授予此策略的RAM用户只能在特定时间段（北京时间2019年8月12日17：00之前）访问ECS。您可以通过设置 Condition 下 acs:CurrentTime 的值为 2019-08-12T17:00:00+08:00 来...
AliyunCENReadOnlyAccess
AliyunCENReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunCENReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问云企业网（CEN）的权限。策略详情 类型：系统策略 创建时间：2018-03...
为RAM用户解绑钉钉账号
还有可能影响该RAM用户在其他依赖钉钉绑定的阿里...在左侧导航栏，选择 访问凭证管理>控制台登录。单击 钉钉账号 右侧的 解绑。在 钉钉解绑 对话框，阅读并确认解绑产生的影响，然后单击 解绑。解绑成功后，钉钉账号 的状态显示为 未绑定。
RAM用户概览
RAM用户类型 按照RAM用户的创建途径，RAM用户分为以下几种：手动创建：在RAM中创建的RAM用户。更多信息，请参见 创建RAM用户。SCIM同步：通过SCIM协议从身份提供商（IdP）同步到RAM中创建的用户，不支持手动删除。更多信息，请参见 通过...
用户SSO概览
阿里云与企业进行用户SSO时，阿里云是服务提供商（SP），而企业自有的身份管理系统则是身份提供商（IdP）。通过用户SSO，企业员工在登录后，将以RAM用户访问阿里云。基本流程 当管理员在完成用户SSO的相关配置后，企业员工Alice可以通过如...
设置RAM角色最大会话时间
您可以通过控制台或API设置RAM角色的最大会话时间。RAM角色最大会话时间设置成功后，当您使用RAM角色完成一些耗时较长的任务时，可以获得较长的登录会话时间；当您使用STS API扮演RAM角色时，可以获取较长的STS Token有效期。使用限制 RAM...
如何调整登录会话时长或临时访问凭证有效期？
RAM角色扮演 控制台切换身份 登录会话时长限制 在控制台上通过切换角色方式扮演RAM角色时，切换到RAM角色身份后，登录会话时长受以下配置的限制：RAM用户安全策略中的 登录会话的过期时间。更多信息，请参见 管理RAM用户安全设置。被扮演...
AliyunPrivatelinkEndpointReadOnlyAccess
AliyunPrivatelinkEndpointReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunPrivatelinkEndpointReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问私网连接终端节点（PrivateLink ...
AliyunPrivatelinkEndpointServiceReadOnlyAccess
AliyunPrivatelinkEndpointServiceReadOnlyAccess 是阿里云管理的产品系统策略，您可以将 AliyunPrivatelinkEndpointServiceReadOnlyAccess 授权给 RAM 身份（RAM 用户、RAM 用户组和 RAM 角色），本策略定义了 只读访问私网连接终端节点...
通过RAM限制只有启用了MFA的RAM用户才能访问云资源
本文介绍如何通过RAM限制只有启用了多因素认证（MFA）的RAM用户才能访问云资源，例如：ECS。前提条件 创建自定义策略前，需要先了解权限策略语言的基本结构和语法。更多信息，请参见 权限策略基本元素 和 权限策略语法和结构。操作前，请在...
企业上云安全实践
背景信息 某些企业使用RAM初期，对RAM的优势不够了解，也对资源的安全管理要求不高。然而，当初创企业成长为大型企业或大型企业客户迁移上云后，组织结构更加复杂，对资源的安全管理需求也更加强烈，需要建立安全、完善的资源控制体系。...
创建RAM用户并授权
您可以创建RAM用户并为其授权，实现不同RAM用户拥有不同资源访问权限的目的。当您的企业存在多用户协同访问资源的场景时，使用RAM可以按需为用户分配最小权限，避免多用户共享阿里云账号（主账号）密码或访问密钥，从而降低企业的安全风险...
SAML角色SSO概览
基本流程 企业员工可以通过控制台或程序访问阿里云。通过控制台访问阿里云 当管理员在完成角色SSO的相关配置后，企业员工Alice可以通过如下图所示的方法登录到阿里云。操作步骤：Alice使用浏览器在IdP的登录页面中选择阿里云作为目标服务。...
什么是访问控制
访问控制RAM（Resource Access Management）是阿里云提供的管理用户身份与资源访问权限的服务。功能特性 统一管理访问身份及权限 集中式访问控制 集中管理RAM用户：管理每个RAM用户及其登录密码或访问密钥，为RAM用户绑定多因素认证MFA...
为RAM用户绑定钉钉账号
在左侧导航栏，选择 访问凭证管理>控制台登录。单击 钉钉账号 右侧的 去绑定。在 RAM用户与钉钉绑定 页面，使用移动端的钉钉应用扫描页面中的二维码。在移动端的钉钉应用中，点击 登录网页版阿里云RAM。在 RAM用户与钉钉绑定 页面，阅读并...
钉钉账号登录阿里云
在浏览器页面钉钉扫码登录阿里云 在 RAM用户登录页面，单击 钉钉扫码登录 页签。说明 您也可以直接使用 钉钉扫码登录链接 登录。使用移动端的钉钉应用扫描页面中的二维码。在移动端的钉钉应用中，点击 登录网页版阿里云RAM。在 RAM用户钉钉...
权限策略模型
资源组内授权模型 资源组 内授权：在某个资源组内对一个RAM身份主体添加权限策略时，该策略的可授权范围仅仅是该资源组内的资源。管理员：在资源组内拥有 ...资源组管理员可以在资源组的成员管理中添加其他的RAM用户，并在资源组内进行授权。
- 产品推荐
- 这些文档可能帮助您