本文中含有需要您注意的重要提示信息，忽略該信息可能對您的業務造成影響，請務必仔細閱讀。
視頻直播會對每一次發起操作請求的用戶身份進行驗證，通過AccessKey驗證該賬號是否擁有相應的權限。視頻直播支持主賬號AK和RAM用戶AK，本文為您介紹這兩種方式和對比，以及阿里云提供的系統授權策略和自定義授權策略。
簡介
您可以使用視頻直播服務提供的API接口或SDK訪問視頻直播服務。視頻直播會針對每一次發起的請求，根據當前的操作驗證用戶身份，驗證該賬號是否擁有相應的權限，驗證用戶身份都需要使用AccessKey。
通過阿里云訪問控制服務（RAM），可為RAM用戶授予相關權限，以達到RAM用戶在授權范圍使用視頻直播控制臺的目的。
訪問控制基本概念
訪問控制（RAM）
RAM（Resource Access Management）是阿里云提供的用戶身份管理與資源訪問控制服務。更多信息，請參見什么是訪問控制。
說明RAM服務提供的權限的分割和管理，而并非資源本身的隔離，也就是RAM用戶從屬于主賬號，并且這些RAM用戶下不能擁有實際的任何資源，所有資源都屬于主賬號。
阿里云賬號（主賬號）
阿里云賬號（主賬號）是阿里云資源歸屬、資源使用計量計費的基本主體。阿里云賬號為其名下所擁有的資源付費，并對其名下所有資源擁有完全控制權限。
RAM用戶
根據阿里云的主賬號創建的RAM用戶，每個RAM用戶擁有自己AccessKey，可以和阿里云主賬號一樣正常的完成有權限的操作。一般來說，這里的RAM用戶可以理解為具有某種權限的用戶，可以被認為是一個具有某些權限的操作發起者。
授權策略（RAM Policy）
授權策略使用語法結構描述一組權限，它可以精確地描述被授權的資源集、操作集以及授權條件。通過設置權限策略，并給用戶或用戶組附加授權，就可以精確控制用戶訪問您名下哪些資源或服務的權限，比如限制您的用戶只擁有上傳、播放或審核權限。
訪問密鑰（AccessKey）
AccessKey（簡稱AK），包括訪問身份驗證中用到的AccessKey ID和AccessKey Secret。視頻直播通過使用AccessKey ID和AccessKey Secret對稱加密的方法，來驗證某個請求的發送者身份。
AccessKey ID：用于標識用戶。
AccessKey Secret：用戶用于加密簽名字符串，以及視頻直播用來驗證簽名字符串的密鑰，AccessKey Secret必須保密。
說明AccessKey Secret只在創建時顯示，不支持查詢，請妥善保管。
AK對：指AccessKey ID和AccessKey Secret。
更多關于訪問控制的概念，請參見訪問控制基本概念。
不同驗證方式及對比
目前訪問視頻直播使用的AK有如下2種類型：
主賬號AK
主賬號AK特指視頻直播開通者（即阿里云網站注冊的賬號）的AK，每個阿里云主賬號提供的AK對擁有的資源有完全的權限。每個阿里云主賬號能夠同時擁有不超過5個啟用或者禁用 AK對。您可以登錄RAM訪問控制臺，申請新增或刪除AK對。每個AK對都有啟用和禁用兩種狀態，只有啟用的AK對才能在身份驗證時使用。
警告由于主賬號AK有完全的權限，一旦泄露風險巨大，不建議使用其訪問視頻直播服務。
RAM用戶AK
RAM是阿里云提供的資源訪問控制服務。RAM用戶AK指的是通過RAM被授權的AK。這組AK只能按照RAM定義的規則去訪問視頻直播的資源。通過RAM，您可以集中管理您的用戶（比如員工、系統或應用程序），以及控制用戶可以訪問您名下哪些資源的權限。比如能夠限制您的用戶只擁有視頻播放權限。RAM用戶從屬于主賬號，并且這些賬號下不能擁有實際的任何資源，所有資源都屬于主賬號。
您可以登錄RAM訪問控制臺創建RAM用戶，獲取AK，并授予相應權限。具體操作，請參見創建RAM用戶并授權。
不同驗證方式的對比
驗證方式 | 風險 | 權限 | 時效 | 適用場景 |
主賬號AK | 極大 | 管理和操作視頻直播所有資源的權限 | 啟用后一直有效 | 超級管理員進行操作。不建議在程序里使用，尤其不要放到客戶端。 |
RAM用戶AK | 較小 | 根據授權策略獲得相應的權限 | 啟用后一直有效 | 授權進行具體的管理等操作?？蓽蕚涠鄠€RAM用戶，如遇AK泄露（人員離職等）需要更換；建議在服務端使用。 |
授權策略
使用授權策略，可對RAM用戶進行方便、精確的授權。阿里云提供了系統授權策略和自定義授權策略兩種方式。
系統授權策略
使用視頻直播涉及到如下三種系統授權策略。
策略名稱
說明
操作權限
AliyunLiveFullAccess
管理視頻直播（Live）的權限
視頻直播所有控制臺操作和API
AliyunLiveReadOnlyAccess
只讀訪問視頻直播的權限
視頻直播所有讀取類操作和API，如以Describe開頭的接口
AliyunMTSFullAccess
管理媒體轉碼服務（MTS）的權限
媒體轉碼服務所有控制臺操作和API
自定義授權策略
如果系統策略無法滿足您的需求，您可以通過創建自定義策略實現精細化權限管理，更多信息和具體操作，請參見自定義授權。
常用授權
此處介紹一些視頻直播常用的授權操作。
若創建的RAM賬號需要使用直播服務，需要授權系統內置AliyunLiveFullAccess授權策略或進行自定義授權。
若要將視頻直播的錄制文件和截圖文件保存到用戶OSS的Bucket中，需要對直播服務Live授權訪問OSS，使用的是AliyunMTSDefaultRole角色。去授權。
說明正常情況下，開通直播服務時，您已自動授權“允許直播服務寫入用戶OSS”，因此直播錄制寫入您指定的bucket時不存在權限問題。如果該權限意外被刪除，可以再次進行授權操作。
需要通過視頻直播API或控制臺刪除存儲在OSS中的截圖文件時，需要創建服務角色AliyunMTSVideoLifecycleRole，并精確授權AliyunMTSVideoLifecycleRolePolicy系統策略。具體操作，可參見在視頻直播控制臺刪除截圖。
需要通過視頻直播API或控制臺刪除存儲在OSS中的錄制文件時，需要創建服務角色AliyunMTSVideoLifecycleRole，并精確授權AliyunMTSVideoLifecycleRolePolicy系統策略。具體操作，可參見在視頻直播控制臺刪除錄制文件。