身份
身份是指用戶在系統(tǒng)中的唯一標識符，通過身份，系統(tǒng)可以識別用戶的身份，確定其操作權限。阿里云的身份類型主要有：阿里云賬號，RAM用戶，RAM角色。
阿里云賬號
阿里云賬號（主賬號）是阿里云資源歸屬、資源使用計量計費的基本主體。阿里云賬號為其名下所擁有的資源付費，并對其名下所有資源擁有完全控制權限。除了一些要求必須使用阿里云賬號的場景外，我們建議您使用RAM用戶或RAM角色身份訪問控制臺和調用OpenAPI。
RAM 用戶
RAM用戶是RAM的一種實體身份類型，有確定的身份ID和身份憑證，它通常與某個確定的人或應用程序一一對應。RAM用戶具備以下特點：
- RAM用戶由阿里云賬號（主賬號）或具有管理員權限的其他RAM用戶、RAM角色創(chuàng)建，創(chuàng)建成功后，歸屬于該阿里云賬號，它不是獨立的阿里云賬號。
- RAM用戶不擁有資源，不能獨立計量計費，由所屬的阿里云賬號統(tǒng)一付費。
- RAM用戶必須在獲得授權后，才能登錄控制臺或使用API訪問阿里云賬號下的資源。
- RAM用戶擁有獨立的登錄密碼或訪問密鑰。
- 一個阿里云賬號下可以創(chuàng)建多個RAM用戶，對應企業(yè)內的員工、系統(tǒng)或應用程序。
更多詳情請參見RAM用戶概覽。
使用建議
創(chuàng)建獨立的 RAM 用戶
您可按照地域、產(chǎn)品、開發(fā)環(huán)境、組織等維度為不同的開發(fā)者創(chuàng)建多個獨立的 RAM 用戶。分權操作的好處是不同的 RAM 用戶有明確的業(yè)務歸屬，容易區(qū)分和操作分析。
多個用戶共享一個 RAM 用戶的壞處：
一旦出現(xiàn)異常操作，只能確定是該 RAM 用戶執(zhí)行，但由于多個組織共享該 RAM 用戶，還是很難定位到具體的組織或人。
一旦 RAM 用戶的 AK 泄漏，需要立即禁用 AK，很多業(yè)務可能都硬編碼了該 AK 信息，導致短時間內無法立即禁用 AK，只能等業(yè)務改造完畢后才能禁用，增大系統(tǒng)風險。
將控制臺用戶與API用戶分離
不建議為一個RAM用戶同時創(chuàng)建用于控制臺操作的登錄密碼和用于API調用的訪問密鑰。將兩個不同的使用場景進行分離，避免員工誤操作導致服務受到影響。
建議操作：
應用程序賬號：只需要通過API訪問資源，創(chuàng)建訪問密鑰即可。
員工賬號：只需要通過控制臺操作資源，設置登錄密碼即可。
RAM角色
RAM角色是一種虛擬用戶，可以被授予一組權限策略。與RAM用戶不同，RAM角色沒有永久身份憑證（登錄密碼或訪問密鑰），需要被一個可信實體扮演。扮演成功后，可信實體將獲得RAM角色的臨時身份憑證，即安全令牌（STS Token），使用該安全令牌就能以RAM角色身份訪問被授權的資源。
例如：阿里云賬號 A 開放了一個 RAM 角色a_rr1，授權 OSS 產(chǎn)品的FullAccess，將該 RAM 角色的扮演者指定為阿里云賬號 B 的 RAM 用戶b_ru1。那么開發(fā)者可通過登錄 B 賬號的 RAM 用戶b_ru1，通過角色扮演 A 賬號的a_rr1，管理 A 賬號的 OSS 資源。
RAM角色類型
根據(jù)不同的可信實體，RAM角色分為以下三類：
可信實體為阿里云賬號的RAM角色：允許RAM用戶扮演的角色。扮演角色的RAM用戶可以屬于自己的阿里云賬號，也可以屬于其他阿里云賬號。該類角色主要用于解決跨賬號訪問和臨時授權問題。
可信實體為阿里云服務的RAM角色：允許云服務扮演的角色。分為普通服務角色和服務關聯(lián)角色兩種。該類角色主要用于解決跨服務訪問問題。
可信實體為身份提供商的RAM角色：允許可信身份提供商下的用戶所扮演的角色。該類角色主要用于實現(xiàn)與阿里云的單點登錄（SSO）。
應用場景
臨時授權訪問
通常情況下，建議您通過服務端調用API，盡可能保證訪問密鑰不被泄露。但是有些上傳文件的場景最好采用客戶端直傳的形式，避免服務端中轉帶來的多余開銷。此時，可以由服務端下發(fā)臨時安全令牌（STS Token），客戶端通過臨時安全令牌（STS Token）進行資源直傳。
更多信息，請參見移動應用使用臨時安全令牌訪問阿里云。
跨賬號訪問
當您擁有多個阿里云賬號，例如：賬號A和賬號B，希望實現(xiàn)賬號A訪問賬號B的指定資源。此時，您可以在賬號B下創(chuàng)建可信實體為賬號A的RAM角色，并授權允許賬號A下的某個RAM用戶或RAM角色可以扮演該角色，然后通過該角色訪問賬號B的指定資源。
更多信息，請參見跨阿里云賬號的資源授權。
跨服務訪問
在某些場景下，一個云服務為了完成自身的某個功能，需要獲取其他云服務的訪問權限。例如：配置審計（Config）服務要讀取您的云資源信息，以獲取資源列表和資源配置變更歷史，就需要獲取ECS、RDS等產(chǎn)品的訪問權限。此時，您可以創(chuàng)建可信實體為阿里云服務的RAM角色解決該問題。推薦您優(yōu)先使用服務關聯(lián)角色，對于不支持服務關聯(lián)角色的云服務，請使用普通服務角色。
更多信息，請參見支持服務關聯(lián)角色的云服務。
單點登錄（角色SSO）
阿里云與企業(yè)進行角色SSO時，阿里云是服務提供商（SP），而企業(yè)自有的身份管理系統(tǒng)則是身份提供商（IdP）。通過角色SSO，企業(yè)可以在本地IdP中管理員工信息，無需進行阿里云和企業(yè)IdP間的用戶同步，企業(yè)員工將使用指定的RAM角色登錄阿里云。此時，您可以創(chuàng)建可信實體為身份提供商的RAM角色解決該問題。
更多信息，請參見SAML角色SSO概覽和OIDC角色SSO概覽。