通過(guò)RAM限制用戶的訪問(wèn)方式
RAM可以限制用戶只能通過(guò)指定的訪問(wèn)方式訪問(wèn)企業(yè)的云資源，從而增強(qiáng)訪問(wèn)安全性。
應(yīng)用場(chǎng)景
企業(yè)A購(gòu)買(mǎi)了很多阿里云資源來(lái)開(kāi)展業(yè)務(wù)，例如：ECS實(shí)例、RDS實(shí)例、SLB實(shí)例和OSS存儲(chǔ)空間等。為了確保其業(yè)務(wù)和數(shù)據(jù)安全，企業(yè)希望RAM用戶只能通過(guò)HTTPS方式訪問(wèn)阿里云。
您可以根據(jù)需要?jiǎng)?chuàng)建自定義權(quán)限策略，然后創(chuàng)建RAM用戶并為RAM用戶授予對(duì)應(yīng)的權(quán)限，從而保證RAM用戶只能通過(guò)HTTPS方式訪問(wèn)阿里云。
步驟一：創(chuàng)建自定義權(quán)限策略
使用RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在權(quán)限策略頁(yè)面，單擊創(chuàng)建權(quán)限策略。
在創(chuàng)建權(quán)限策略頁(yè)面，單擊腳本編輯頁(yè)簽。
輸入權(quán)限策略?xún)?nèi)容。
策略?xún)?nèi)容示例：RAM用戶只能通過(guò)HTTPS方式訪問(wèn)ECS。您可以通過(guò)設(shè)置
Condition下acs:SecureTransport的值為true來(lái)實(shí)現(xiàn)。{ "Statement": [ { "Action": "ecs:*", "Effect": "Allow", "Resource": "*", "Condition": { "Bool": { "acs:SecureTransport": "true" } } } ], "Version": "1" }說(shuō)明Condition（限制條件）只針對(duì)當(dāng)前權(quán)限策略描述的操作有效。您可以修改acs:SecureTransport為true或false。單擊頁(yè)面上方的可選：高級(jí)策略?xún)?yōu)化，然后單擊執(zhí)行，對(duì)權(quán)限策略?xún)?nèi)容進(jìn)行高級(jí)優(yōu)化。
高級(jí)權(quán)限策略?xún)?yōu)化功能會(huì)完成以下任務(wù)：
拆分不兼容操作的資源或條件。
收縮資源到更小范圍。
去重或合并語(yǔ)句。
在創(chuàng)建權(quán)限策略頁(yè)面，單擊確定。
在創(chuàng)建權(quán)限策略對(duì)話框，輸入權(quán)限策略名稱(chēng)和備注，然后單擊確定。
步驟二：創(chuàng)建RAM用戶
使用阿里云賬號(hào)（主賬號(hào)）或RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在用戶頁(yè)面，單擊創(chuàng)建用戶。
在創(chuàng)建用戶頁(yè)面的用戶賬號(hào)信息區(qū)域，設(shè)置用戶基本信息。
登錄名稱(chēng)：可包含英文字母、數(shù)字、半角句號(hào)（.）、短劃線（-）和下劃線（_），最多64個(gè)字符。
顯示名稱(chēng)：最多包含128個(gè)字符或漢字。
標(biāo)簽：?jiǎn)螕?img data-tag="image" id="image-zp2-kjk-32s" src="https://help-static-aliyun-doc.aliyuncs.com/assets/img/zh-CN/0914701761/p535440.jpg" alt="edit" placement="inline" class="image inline">，然后輸入標(biāo)簽鍵和標(biāo)簽值。為RAM用戶綁定標(biāo)簽，便于后續(xù)基于標(biāo)簽的用戶管理。
說(shuō)明單擊添加用戶，可以批量創(chuàng)建多個(gè)RAM用戶。
在訪問(wèn)方式區(qū)域，選擇訪問(wèn)方式，然后設(shè)置對(duì)應(yīng)參數(shù)。
為了賬號(hào)安全，建議您只選擇以下訪問(wèn)方式中的一種，將人員用戶和應(yīng)用程序用戶分離，避免混用。
控制臺(tái)訪問(wèn)
如果RAM用戶代表人員，建議啟用控制臺(tái)訪問(wèn)，使用用戶名和登錄密碼訪問(wèn)阿里云。您需要設(shè)置以下參數(shù)：
控制臺(tái)登錄密碼：選擇自動(dòng)生成密碼或者自定義密碼。自定義登錄密碼時(shí)，密碼必須滿足密碼復(fù)雜度規(guī)則。更多信息，請(qǐng)參見(jiàn)設(shè)置RAM用戶密碼強(qiáng)度。
密碼重置策略：選擇RAM用戶在下次登錄時(shí)是否需要重置密碼。
多因素認(rèn)證（MFA）策略：選擇是否為當(dāng)前RAM用戶啟用MFA。啟用MFA后，還需要綁定MFA設(shè)備。更多信息，請(qǐng)參見(jiàn)為RAM用戶綁定MFA設(shè)備。
使用永久AccessKey訪問(wèn)
如果RAM用戶代表應(yīng)用程序，您可以使用永久訪問(wèn)密鑰（AccessKey）訪問(wèn)阿里云。啟用后，系統(tǒng)會(huì)自動(dòng)為RAM用戶生成一個(gè)AccessKey ID和AccessKey Secret。更多信息，請(qǐng)參見(jiàn)創(chuàng)建AccessKey。
重要RAM用戶的AccessKey Secret只在創(chuàng)建時(shí)顯示，不支持查看，請(qǐng)妥善保管。
訪問(wèn)密鑰（AccessKey）是一種長(zhǎng)期有效的程序訪問(wèn)憑證。AccessKey泄露會(huì)威脅該賬號(hào)下所有資源的安全。建議優(yōu)先采用STS Token臨時(shí)憑證方案，降低憑證泄露的風(fēng)險(xiǎn)。更多信息，請(qǐng)參見(jiàn)使用訪問(wèn)憑據(jù)訪問(wèn)阿里云OpenAPI最佳實(shí)踐。
單擊確定。
根據(jù)界面提示，完成安全驗(yàn)證。
步驟三：為RAM用戶授權(quán)
將步驟一創(chuàng)建的自定義權(quán)限策略授予步驟二創(chuàng)建的RAM用戶。
使用RAM管理員登錄RAM控制臺(tái)。
在左側(cè)導(dǎo)航欄，選擇。
在用戶頁(yè)面，單擊目標(biāo)RAM用戶操作列的添加權(quán)限。
您也可以選中多個(gè)RAM用戶，單擊用戶列表下方的添加權(quán)限，為RAM用戶批量授權(quán)。
在新增授權(quán)面板，為RAM用戶添加權(quán)限。
選擇資源范圍。
賬號(hào)級(jí)別：權(quán)限在當(dāng)前阿里云賬號(hào)內(nèi)生效。
資源組級(jí)別：權(quán)限在指定的資源組內(nèi)生效。
重要指定資源組授權(quán)生效的前提是該云服務(wù)及資源類(lèi)型已支持資源組，詳情請(qǐng)參見(jiàn)支持資源組的云服務(wù)。資源組授權(quán)示例，請(qǐng)參見(jiàn)使用資源組限制RAM用戶管理指定的ECS實(shí)例。
選擇授權(quán)主體。
授權(quán)主體即需要添加權(quán)限的RAM用戶。系統(tǒng)會(huì)自動(dòng)選擇當(dāng)前的RAM用戶。
選擇權(quán)限策略。
權(quán)限策略是一組訪問(wèn)權(quán)限的集合，分為以下兩種。支持批量選中多條權(quán)限策略。
系統(tǒng)策略：由阿里云創(chuàng)建，策略的版本更新由阿里云維護(hù)，用戶只能使用不能修改。更多信息，請(qǐng)參見(jiàn)支持RAM的云服務(wù)。
說(shuō)明系統(tǒng)會(huì)自動(dòng)標(biāo)識(shí)出高風(fēng)險(xiǎn)系統(tǒng)策略（例如：AdministratorAccess、AliyunRAMFullAccess等），授權(quán)時(shí)，盡量避免授予不必要的高風(fēng)險(xiǎn)權(quán)限策略。
自定義策略：由用戶管理，策略的版本更新由用戶維護(hù)。用戶可以自主創(chuàng)建、更新和刪除自定義策略。更多信息，請(qǐng)參見(jiàn)創(chuàng)建自定義權(quán)限策略。
單擊確認(rèn)新增授權(quán)。
單擊關(guān)閉。