應用場景

企業A購買了云消息隊列 RocketMQ 版服務，企業A的員工需要操作這些服務所涉及的資源，例如實例、Topic或Group資源，有的員工負責創建資源，有的負責發布消息，還有的負責訂閱消息。由于每個員工的工作職責不一樣，需要的權限也不一樣。

具體場景說明如下：

• 出于安全或信任的考慮，企業A不希望將云賬號密鑰直接透露給員工，而希望能給員工創建相應的用戶賬號。
• 用戶賬號只能在授權的前提下操作資源，不需要對用戶賬號單獨計量計費，所有開銷都計入企業A云賬號名下。
• 企業A隨時可以撤銷用戶賬號的權限，也可以隨時刪除其創建的用戶賬號。

此種場景下，A的云賬號可以將需要員工進行操作的資源進行細粒度的權限分隔。

操作步驟

1. 企業A云賬號創建RAM用戶。
   具體步驟參見創建RAM用戶。
2. 可選：企業A云賬號可根據需求為剛創建的RAM用戶創建自定義的策略。

   具體步驟參見創建自定義權限策略。

   目前，云消息隊列 RocketMQ 版支持實例、Topic和Group粒度的權限設置。詳情參見云消息隊列 RocketMQ 版自定義權限策略。

3. 企業A云賬號為RAM用戶授權。
   具體步驟參見為RAM用戶授權。

后續步驟

使用阿里云賬號（主賬號）創建好RAM用戶后，即可將RAM用戶的登錄名稱及密碼或者AccessKey信息分發給其他用戶。其他用戶可以按照以下步驟使用RAM用戶登錄控制臺或調用API。

• 登錄控制臺。
  1. 在瀏覽器中打開RAM用戶登錄入口。
  2. 在RAM用戶登錄頁面上，輸入RAM用戶登錄名稱，單擊下一步，并輸入RAM用戶密碼，然后單擊登錄。
     說明 RAM用戶登錄名稱的格式為<$username>@<$AccountAlias>或<$username>@<$AccountAlias>.onaliyun.com。<$AccountAlias>為賬號別名，如果沒有設置賬號別名，則默認值為阿里云賬號（主賬號）的ID。
  3. 在阿里云控制臺首頁頂部，找到搜索文本框輸入并單擊消息隊列for Apache RocketMQ，即可訪問云消息隊列 RocketMQ 版的控制臺。
• 使用RAM用戶的AccessKey調用API。

  在代碼中使用RAM用戶的AccessKey ID和AccessKey Secret即可，獲取方式，請參見創建AccessKey。

更多信息

• 通過RAM角色實現跨云賬號授權
• 云消息隊列 RocketMQ 版自定義權限策略
• 什么是RAM