基本概念
本文解釋了RAM的基本概念，幫助您正確理解和使用RAM。
身份管理相關(guān)概念
概念 | 說(shuō)明 |
阿里云賬號(hào)（Alibaba Cloud account） | 開(kāi)始使用阿里云服務(wù)前，首先需要注冊(cè)一個(gè)阿里云賬號(hào)。阿里云賬號(hào)是阿里云資源歸屬、資源使用計(jì)量計(jì)費(fèi)的基本主體。阿里云賬號(hào)為其名下所擁有的資源付費(fèi)，并對(duì)其名下所有資源擁有完全控制權(quán)限。 默認(rèn)情況下，資源只能被阿里云賬號(hào)所訪問(wèn)，任何其他用戶訪問(wèn)都需要獲得阿里云賬號(hào)的顯式授權(quán)。阿里云賬號(hào)就是操作系統(tǒng)的root或Administrator，所以我們有時(shí)稱它為根賬號(hào)或主賬號(hào)。 為確保阿里云賬號(hào)的安全，如非必要，避免使用阿里云賬號(hào)登錄控制臺(tái)以及為其創(chuàng)建訪問(wèn)密鑰（AccessKey）。推薦您在阿里云賬號(hào)下創(chuàng)建一個(gè)RAM用戶，并授予管理員權(quán)限，后續(xù)使用該RAM用戶執(zhí)行管理操作。 |
賬號(hào)管理員 | 賬號(hào)管理員具備賬號(hào)下所有資源的管理權(quán)限。賬號(hào)管理員可以是阿里云賬號(hào)（主賬號(hào)），也可以是主賬號(hào)下?lián)碛蠥dministratorAccess權(quán)限的RAM用戶，強(qiáng)烈推薦您使用RAM用戶充當(dāng)賬號(hào)管理員。更多信息，請(qǐng)參見(jiàn)創(chuàng)建賬號(hào)管理員。 |
RAM管理員 | RAM管理員具備賬號(hào)下RAM資源的管理權(quán)限。RAM管理員可以是阿里云賬號(hào)（主賬號(hào)），也可以是主賬號(hào)下?lián)碛蠥liyunRAMFullAccess權(quán)限的RAM用戶，強(qiáng)烈推薦您使用RAM用戶充當(dāng)RAM管理員。 |
身份（Identity） | 訪問(wèn)控制（RAM）中有三種身份：RAM用戶、用戶組和RAM角色。其中RAM用戶和用戶組是RAM的一種實(shí)體身份類(lèi)型，RAM角色是一種虛擬用戶身份。 |
默認(rèn)域名（Default domain name） | 阿里云為每個(gè)阿里云賬號(hào)分配了一個(gè)默認(rèn)域名，格式為 關(guān)于如何設(shè)置默認(rèn)域名，請(qǐng)參見(jiàn)查看和修改默認(rèn)域名。 |
賬號(hào)別名（Account alias） | 賬號(hào)別名也叫企業(yè)別名，賬號(hào)別名的默認(rèn)值為阿里云賬號(hào)ID 例如：企業(yè)可以為其阿里云賬號(hào)設(shè)置賬號(hào)別名為：company1，該阿里云賬號(hào)下的RAM用戶alice可以使用alice@company1登錄阿里云控制臺(tái)。 關(guān)于如何設(shè)置賬號(hào)別名，請(qǐng)參見(jiàn)查看和修改默認(rèn)域名。 |
域別名（Domain alias） | 如果您持有公網(wǎng)上可以解析的域名，那么您可以使用該域名替代您的默認(rèn)域名，該域名稱為域別名。域別名就是指默認(rèn)域名的別名。 說(shuō)明 域別名必須經(jīng)過(guò)域名歸屬驗(yàn)證后才能使用。驗(yàn)證通過(guò)后，您可以使用域別名替代默認(rèn)域名，用于所有需要使用默認(rèn)域名的場(chǎng)景。 關(guān)于如何設(shè)置域別名，請(qǐng)參見(jiàn)創(chuàng)建并驗(yàn)證域別名。 |
RAM用戶（RAM user） | RAM用戶也叫RAM賬號(hào)，是RAM的一種實(shí)體身份類(lèi)型，有確定的身份ID和身份憑證，它通常與某個(gè)確定的人或應(yīng)用程序一一對(duì)應(yīng)。RAM用戶具備以下特點(diǎn)：
關(guān)于如何創(chuàng)建RAM用戶，請(qǐng)參見(jiàn)創(chuàng)建RAM用戶。 |
登錄密碼（Password） | 登錄密碼是登錄阿里云的身份憑證，用于證明用戶真實(shí)身份的憑證。 說(shuō)明 登錄密碼不支持查詢，請(qǐng)妥善保管并定期更換。 關(guān)于如何設(shè)置RAM用戶的登錄密碼，請(qǐng)參見(jiàn)修改RAM用戶登錄密碼。 |
訪問(wèn)密鑰（AccessKey） | 訪問(wèn)密鑰AccessKey（簡(jiǎn)稱AK）是阿里云提供給用戶的永久訪問(wèn)憑據(jù)，一組由AccessKey ID和AccessKey Secret組成的密鑰對(duì)。
AccessKey ID和AccessKey Secret根據(jù)算法由訪問(wèn)控制（RAM）生成，阿里云對(duì)AccessKey ID和AccessKey Secret的存儲(chǔ)及傳輸均進(jìn)行加密。 AccessKey不用于控制臺(tái)登錄，用于通過(guò)開(kāi)發(fā)工具（API、CLI、SDK、Terraform等）訪問(wèn)阿里云時(shí)，發(fā)起的請(qǐng)求會(huì)攜帶AccessKey ID和AccessKey Secret加密請(qǐng)求內(nèi)容生成的簽名，進(jìn)行身份驗(yàn)證及請(qǐng)求合法性校驗(yàn)。 關(guān)于如何創(chuàng)建訪問(wèn)密鑰，請(qǐng)參見(jiàn)創(chuàng)建AccessKey。 |
多因素認(rèn)證（MFA） | 多因素認(rèn)證是一種簡(jiǎn)單有效的最佳安全實(shí)踐，在用戶名和密碼之外再增加一層安全保護(hù)。這些要素結(jié)合起來(lái)將為您的賬號(hào)提供更高的安全保護(hù)。啟用多因素認(rèn)證后，再次登錄阿里云時(shí)，系統(tǒng)將要求輸入兩層安全要素：
關(guān)于如何設(shè)置多因素認(rèn)證，請(qǐng)參見(jiàn)為阿里云賬號(hào)綁定MFA設(shè)備和為RAM用戶綁定MFA設(shè)備。 |
用戶組（RAM user group） | 用戶組是RAM的一種實(shí)體身份類(lèi)型，用戶組可以對(duì)職責(zé)相同的RAM用戶進(jìn)行分類(lèi)并授權(quán)，從而更好地管理用戶及其權(quán)限。
|
RAM角色（RAM role） | RAM角色是一種虛擬用戶，可以被授予一組權(quán)限策略。與RAM用戶不同，RAM角色沒(méi)有永久身份憑證（登錄密碼或訪問(wèn)密鑰），需要被一個(gè)可信實(shí)體扮演。扮演成功后，可信實(shí)體將獲得RAM角色的臨時(shí)身份憑證，即安全令牌（STS Token），使用該安全令牌就能以RAM角色身份訪問(wèn)被授權(quán)的資源。 根據(jù)不同的可信實(shí)體類(lèi)型，RAM角色分為以下幾種：
|
服務(wù)提供商（SP） | 利用IdP的身份管理功能，為用戶提供具體服務(wù)的應(yīng)用。SP會(huì)使用IdP提供的用戶信息。一些非SAML協(xié)議的身份系統(tǒng)（例如：OpenID Connect），也把服務(wù)提供商稱作IdP的信賴方。 |
身份提供商（IdP） | 一個(gè)包含有關(guān)外部身份提供商元數(shù)據(jù)的RAM實(shí)體，身份提供商可以提供身份管理服務(wù)。
|
安全斷言標(biāo)記語(yǔ)言（SAML 2.0） | 實(shí)現(xiàn)企業(yè)級(jí)用戶身份認(rèn)證的標(biāo)準(zhǔn)協(xié)議，它是SP和IdP之間實(shí)現(xiàn)溝通的技術(shù)實(shí)現(xiàn)方式之一。SAML 2.0已經(jīng)是目前實(shí)現(xiàn)企業(yè)級(jí)SSO的一種事實(shí)標(biāo)準(zhǔn)。 |
單點(diǎn)登錄（SSO） | 阿里云支持基于SAML 2.0和OIDC的SSO（Single Sign On，單點(diǎn)登錄），也稱為身份聯(lián)合登錄。阿里云提供以下兩種SSO方式：
|
元數(shù)據(jù)文檔（Metadata file） | 元數(shù)據(jù)文檔由企業(yè)IdP提供，一般為XML格式，包含IdP的登錄服務(wù)地址、用于驗(yàn)證簽名的公鑰及斷言格式等信息。 |
SAML斷言（SAML assertion） | SAML協(xié)議中用于描述認(rèn)證請(qǐng)求和認(rèn)證響應(yīng)的核心元素。例如：用戶的具體屬性就包含在認(rèn)證響應(yīng)的斷言里。 |
信賴（Trust） | 建立在SP和IdP之間的互信機(jī)制，通常由公鑰和私鑰來(lái)實(shí)現(xiàn)。SP通過(guò)可信的方式獲取IdP的SAML元數(shù)據(jù)，元數(shù)據(jù)中包含IdP簽發(fā)SAML斷言的簽名驗(yàn)證公鑰，SP則使用公鑰來(lái)驗(yàn)證斷言的完整性。 |
阿里云OAuth 2.0服務(wù)（Alibaba Cloud OAuth 2.0 service） | 對(duì)用戶進(jìn)行認(rèn)證，接受用戶對(duì)應(yīng)用的授權(quán)，生成代表用戶身份的令牌并返回給被授權(quán)的應(yīng)用。 |
OAuth應(yīng)用（OAuth application） | 獲取用戶授權(quán)，并獲取代表用戶身份的令牌，從而可以訪問(wèn)阿里云。 OAuth 2.0服務(wù)目前支持的應(yīng)用類(lèi)型包括：
|
OAuth范圍（Scope） | OAuth 2.0服務(wù)通過(guò)OAuth范圍來(lái)限定應(yīng)用扮演用戶登錄阿里云后可以訪問(wèn)的范圍。 |
訪問(wèn)控制相關(guān)概念
概念 | 說(shuō)明 |
權(quán)限（Permission） | 權(quán)限是指是否允許用戶對(duì)某種資源執(zhí)行某種操作，權(quán)限分為：允許（Allow）或拒絕（Deny）。 操作分為兩大類(lèi)：
|
權(quán)限策略（Policy） | 權(quán)限策略是用語(yǔ)法結(jié)構(gòu)描述的一組權(quán)限的集合，可以精確地描述被授權(quán)的資源集、操作集以及授權(quán)條件。權(quán)限策略是描述權(quán)限集的一種簡(jiǎn)單語(yǔ)言規(guī)范。關(guān)于RAM支持的語(yǔ)言規(guī)范，請(qǐng)參見(jiàn)權(quán)限策略語(yǔ)法和結(jié)構(gòu)。 在RAM中，權(quán)限策略是一種資源實(shí)體。RAM支持以下兩種權(quán)限策略：
通過(guò)為RAM用戶、用戶組或RAM角色綁定權(quán)限策略，可以獲得權(quán)限策略中指定的訪問(wèn)權(quán)限。更多信息，請(qǐng)參見(jiàn)為RAM用戶授權(quán)、為RAM用戶組授權(quán)和為RAM角色授權(quán)。 |
授權(quán)主體（Principal） | 獲得策略中定義的權(quán)限主體，授權(quán)主體可以為RAM用戶、用戶組或RAM角色。 |
效果（Effect） | 權(quán)限策略基本元素之一，表示授權(quán)效果。取值為：允許（Allow）或拒絕（Deny）。 |
操作（Action） | 權(quán)限策略基本元素之一，表示對(duì)具體資源的操作。取值為：云服務(wù)所定義的API操作名稱。 |
條件（Condition） | 權(quán)限策略基本元素之一，表示授權(quán)生效的條件。 |
資源（Resource） | 資源是云服務(wù)呈現(xiàn)給用戶與之交互的對(duì)象實(shí)體的一種抽象，例如：OSS存儲(chǔ)空間或ECS實(shí)例等。 |
ARN（Aliyun Resource Name） | ARN是阿里云為每個(gè)資源定義的全局資源名稱。在RAM授權(quán)時(shí)，ARN遵循的格式為
|