應用場景

描述

用戶管理與分權(quán)

企業(yè)A的某個項目（Project-X）上云，購買了多種阿里云資源，例如：ECS實例、RDS實例、SLB實例和OSS存儲空間等。項目里有多個員工需要操作這些云資源，由于每個員工的工作職責不同，所需權(quán)限也不同。

企業(yè)A希望能夠達到以下要求：

• 企業(yè)A不希望多員工共享同一個云賬號，共享云賬號可能導致密碼或訪問密鑰泄露。

• 企業(yè)A希望能給員工創(chuàng)建獨立賬號（操作員賬號）并獨立分配權(quán)限，做到責權(quán)一致。

• 企業(yè)A希望用戶賬號只能在授權(quán)的前提下操作資源，所有用戶賬號的所有操作行為可審計。

• 企業(yè)A希望隨時可以撤銷用戶賬號身上的權(quán)限，也可以隨時刪除其創(chuàng)建的用戶賬號。

• 企業(yè)A不需要對用戶賬號進行獨立的計量計費，所有發(fā)生的費用統(tǒng)一計入云賬號賬單。

移動應用使用臨時安全令牌訪問阿里云

企業(yè)A開發(fā)了一款移動應用（App），并購買了對象存儲（OSS）服務。App需要直連OSS上傳或下載數(shù)據(jù)，但是App運行在用戶自己的移動設備上，這些設備不受企業(yè)A的控制。

企業(yè)A有如下要求：

• 直傳數(shù)據(jù)：企業(yè)A不希望所有App都通過企業(yè)的服務端應用服務器（Application Server）來進行數(shù)據(jù)中轉(zhuǎn)，而希望能夠直連OSS上傳或下載數(shù)據(jù)。

• 安全管控：企業(yè)A不希望將訪問密鑰（AccessKey）保存到移動設備中，因為移動設備是歸屬于用戶控制，屬于不可信的運行環(huán)境。

• 風險控制：企業(yè)A希望將風險控制到最小，每個App直連OSS時都必須擁有最小的訪問權(quán)限且訪問時效需要很短。

跨阿里云賬號的資源授權(quán)

企業(yè)A購買了多種阿里云資源來開展業(yè)務，例如：ECS實例、RDS實例、SLB實例和OSS存儲空間等。企業(yè)A希望將部分業(yè)務授權(quán)給企業(yè)B。

企業(yè)A有如下要求：

• 企業(yè)A希望能專注于業(yè)務系統(tǒng)，僅作為資源Owner。企業(yè)A希望可以授權(quán)賬號B來操作部分業(yè)務，例如：云資源運維、監(jiān)控以及管理等。

• 企業(yè)A希望當企業(yè)B的員工加入或離職時，無需做任何權(quán)限變更。企業(yè)B可以進一步將企業(yè)A的資源訪問權(quán)限分配給企業(yè)B的RAM用戶（員工或應用），并可以精細控制其員工或應用對資源的訪問和操作權(quán)限。

• 企業(yè)A希望如果雙方合同終止，企業(yè)A隨時可以撤銷企業(yè)B的授權(quán)。

對云上應用進行動態(tài)身份管理與授權(quán)

企業(yè)A購買了ECS實例，并計劃在ECS中部署企業(yè)的應用程序。這些應用程序需要使用訪問密鑰（AccessKey）訪問其它云服務API。

資源分組和授權(quán)

游戲公司A正在開發(fā)3個游戲項目，每個游戲項目都會用到多種云資源。公司A只有1個阿里云賬號，該阿里云賬號下有超過100個ECS實例。

公司A有如下要求：

• 項目獨立管理：每個管理員各自能夠獨立管理項目人員及其訪問權(quán)限。

• 按項目分賬：財務部門希望能夠根據(jù)項目進行出賬，以解決財務成本分攤的問題。

• 共享底層網(wǎng)絡：客戶希望云資源的底層網(wǎng)絡默認共享。