對(duì) RAM 賬號(hào)進(jìn)行組件級(jí)別的訪問控制
本文介紹了如何對(duì) RAM 用戶進(jìn)行組件級(jí)別的訪問控制。組件級(jí)別的訪問控制分為以下四種：
授權(quán)某一組件，并包含創(chuàng)建 workspace、創(chuàng)建應(yīng)用以及刪除應(yīng)用的權(quán)限
授權(quán)某一組件，不包含創(chuàng)建 workspace、創(chuàng)建應(yīng)用以及刪除應(yīng)用的權(quán)限
前提條件
已經(jīng)注冊(cè)了阿里云賬號(hào)。如還未注冊(cè)，請(qǐng)先完成 賬號(hào)注冊(cè)。
已經(jīng)創(chuàng)建了 RAM 用戶。如還未創(chuàng)建，請(qǐng)先完成 創(chuàng)建 RAM 用戶。
授權(quán)所有組件
使用阿里云賬號(hào)登錄 RAM 控制臺(tái)。
在左側(cè)導(dǎo)航欄的 身份管理 菜單下，單擊 用戶。
選擇需要登錄 mPaaS 控制臺(tái)的 RAM 賬戶，單擊 添加權(quán)限。
在添加權(quán)限頁面，搜索
AliyunMPAASFullAccess權(quán)限，單擊權(quán)限確認(rèn)選擇后，單擊 確定。至此，您已完成為 RAM 用戶添加 mPaaS 控制臺(tái)訪問權(quán)限，該 RAM 用戶能夠訪問主賬號(hào)創(chuàng)建的所有應(yīng)用，并能夠使用所有組件。
授權(quán)所有組件，但指定可用的應(yīng)用
使用阿里云賬號(hào)登錄 RAM 控制臺(tái)。
在左側(cè)導(dǎo)航欄的權(quán)限管理菜單下，單擊 權(quán)限策略。
單擊 創(chuàng)建權(quán)限策略。
配置模式選擇 腳本配置。
編輯策略內(nèi)容。您可以參考以下示例。在使用訪問指定應(yīng)用的 RAM 規(guī)則時(shí)，您需要將規(guī)則中的 App ID 替換為待指定應(yīng)用的 App ID。需要指定多個(gè)應(yīng)用時(shí)，應(yīng)用的 App ID 以（,）分隔。
{ "Version": "1", "Statement": [ { "Action": [ "mpaas:GetOnexMethod" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "mpaas:*" ], "Resource": "*", "Effect": "Allow", "Condition": { "StringEquals": { "mpaas:AppId": [ "ONEXCBAD96A290957", "..." ] } } } ] }單擊 下一步：編輯基本信息，輸入策略名稱和備注，然后單擊 確定。
在左側(cè)導(dǎo)航欄的 身份管理 菜單下，單擊 用戶。
選擇需要登錄 mPaaS 控制臺(tái)的 RAM 賬號(hào)，單擊 添加權(quán)限。
在添加權(quán)限頁面，搜索剛添加的自定義策略權(quán)限，單擊權(quán)限確認(rèn)選擇后，單擊 確定。
說明mPaaS 目前不支持可視化配置模式。
授權(quán)某一組件，并包含創(chuàng)建 workspace、創(chuàng)建應(yīng)用以及刪除應(yīng)用的權(quán)限
使用阿里云賬號(hào)登錄 RAM 控制臺(tái)。
在左側(cè)導(dǎo)航欄的權(quán)限管理菜單下，單擊 權(quán)限策略。
單擊 創(chuàng)建權(quán)限策略。
配置模式選擇 腳本配置。
編輯策略內(nèi)容。您可以參考以下示例。
{ "Version":"1", "Statement":[ { "Action": [ "mpaas:GetOnexMethod" ], "Resource": "*", "Effect": "Allow" }, { "Action":[ "mpaas:*" ], "Resource":"*", "Effect":"Allow", "Condition":{ "StringEquals":{ "mpaas:ComponentId":[ "mAppCenter", "mds" ], "mpaas:AppId":[ "ONEXCBAD96A290957", "13FF079171113", "..." ] } } } ] }說明mpaas:ComponentId中的mAppCenter是一個(gè)值，必須填寫；后面的值是要授權(quán)的組件。mpaas:ComponentId中的值和各個(gè)組件的對(duì)應(yīng)關(guān)系如下。mpaas:ComponentId
對(duì)應(yīng)組件
mas
移動(dòng)分析
mcdp
智能投放
mds
實(shí)時(shí)發(fā)布
mgs
移動(dòng)網(wǎng)關(guān)
mps
消息推送
mss
數(shù)據(jù)同步
msa
應(yīng)用安全加固
mrtc
音視頻通話
單擊 下一步：編輯基本信息，輸入策略名稱和備注，然后單擊 確定。
在左側(cè)導(dǎo)航欄的 身份管理 菜單下，單擊 用戶。
選擇需要登錄 mPaaS 控制臺(tái)的 RAM 賬號(hào)，單擊 添加權(quán)限。
在添加權(quán)限頁面，搜索剛添加的自定義策略權(quán)限，單擊權(quán)限確認(rèn)選擇后，單擊 確定。至此，您已完成為 RAM 用戶添加資源隔離策略。
由于 RAM 權(quán)限中通過 mpaas:AppId App，所以即使 RAM 用戶能夠創(chuàng)建新的 App，在沒有為該用戶分配 App 之前，該用戶也無法看到自己創(chuàng)建的 App。
授權(quán)某一組件，不包含創(chuàng)建 workspace、創(chuàng)建應(yīng)用以及刪除應(yīng)用的權(quán)限
只有在不包含創(chuàng)建 workspace、創(chuàng)建 App 以及刪除 App 的權(quán)限時(shí)，才可以同時(shí)對(duì) RAM 用戶分配權(quán)限生效的 workspace 和 App。
使用阿里云賬號(hào)登錄 RAM 控制臺(tái)。
在左側(cè)導(dǎo)航欄的權(quán)限管理菜單下，單擊 權(quán)限策略。
單擊 創(chuàng)建權(quán)限策略。
配置模式選擇 腳本配置。
編輯策略內(nèi)容。您可以參考以下示例。
{ "Version": "1", "Statement": [ { "Action": [ "mpaas:GetOnexMethod" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "mpaas:*" ], "Resource": [ "acs:mpaas:*:*:component/workspace/test/app/ONEXPRE40DB571051148", "acs:mpaas:*:*:component/workspace/default/app/ONEXPRE40DB571051148" ], "Effect": "Allow", "Condition": { "StringEquals": { "mpaas:ComponentId": [ "mAppCenter", "mds" ] } } } ] }說明在
FilterWorkspace這個(gè) action 中，Resource 的格式是acs:mpaas:*:*:component/workspace/${workspaceId},${workspaceId}是待分配給 RAM 賬號(hào)的workspace 的 ID。在
mpaas:*這個(gè) action 中，Resource 的格式是acs:mpaas:*:*:component/workspace/${workspaceId}/app/${appId}。${workspaceId}是待分配給 RAM 賬戶的 workspace 的 ID；${appId}是待分配給 RAM 賬戶的 App 的 ID，如果想對(duì)所有 App 生效，可以賦值*。
單擊 下一步：編輯基本信息，輸入策略名稱和備注，然后單擊 確定。
在左側(cè)導(dǎo)航欄的 身份管理 菜單下，單擊 用戶。
選擇需要登錄 mPaaS 控制臺(tái)的 RAM 賬號(hào)，單擊 添加權(quán)限。
在添加權(quán)限頁面，搜索剛添加的自定義策略權(quán)限，單擊權(quán)限確認(rèn)選擇后，單擊 確定。至此，您已完成為 RAM 用戶添加資源隔離策略。