借助訪問控制RAM的RAM用戶，您可以實現阿里云賬號和RAM用戶權限分割，按需為RAM用戶授予最小權限，避免暴露阿里云賬號密鑰，從而降低企業的信息安全風險。本文介紹如何為阿里云賬號創建RAM用戶并按需為其授權。
應用場景
假設企業A希望讓部分員工處理日常運維工作，則企業A可以創建RAM用戶，并為RAM用戶賦予相應權限，此后員工可以用RAM用戶的身份登錄SAE控制臺。SAE支持借助RAM用戶實現分權分賬，為該賬號開啟控制臺登錄權限。應用場景如下：
出于安全考慮，企業A不希望將阿里云賬號的密鑰直接透露給員工，而希望能給員工創建相應的RAM用戶賬號。
RAM用戶賬號只能在被授權的前提下操作資源，不需要對其單獨計量計費，所有開銷都計入企業A的阿里云賬號名下。
企業A隨時可以撤銷RAM用戶賬號的權限，也可以隨時刪除其創建的RAM用戶賬號。
步驟一：創建RAM用戶
使用阿里云賬號（主賬號）或RAM管理員登錄RAM控制臺。
在左側導航欄，選擇。
在用戶頁面，單擊創建用戶。
在創建用戶頁面的用戶賬號信息區域，設置用戶基本信息。
登錄名稱：可包含英文字母、數字、半角句號（.）、短劃線（-）和下劃線（_），最多64個字符。
顯示名稱：最多包含128個字符或漢字。
標簽：單擊
，然后輸入標簽鍵和標簽值。為RAM用戶綁定標簽，便于后續基于標簽的用戶管理。
說明單擊添加用戶，可以批量創建多個RAM用戶。
在訪問方式區域，選擇訪問方式，然后設置對應參數。
為了賬號安全，建議您只選擇以下訪問方式中的一種，將人員用戶和應用程序用戶分離，避免混用。
控制臺訪問
如果RAM用戶代表人員，建議啟用控制臺訪問，使用用戶名和登錄密碼訪問阿里云。您需要設置以下參數：
控制臺登錄密碼：選擇自動生成密碼或者自定義密碼。自定義登錄密碼時，密碼必須滿足密碼復雜度規則。更多信息，請參見設置RAM用戶密碼強度。
密碼重置策略：選擇RAM用戶在下次登錄時是否需要重置密碼。
多因素認證（MFA）策略：選擇是否為當前RAM用戶啟用MFA。啟用MFA后，主賬號還需要為RAM用戶綁定MFA設備或RAM用戶自行綁定MFA設備。更多信息，請參見為RAM用戶綁定MFA設備。
OpenAPI調用訪問
如果RAM用戶代表應用程序，建議啟用OpenAPI調用訪問，使用訪問密鑰（AccessKey）訪問阿里云。啟用后，系統會自動為RAM用戶生成一個AccessKey ID和AccessKey Secret。更多信息，請參見創建AccessKey。
重要RAM用戶的AccessKey Secret只在創建時顯示，不支持查看，請妥善保管。
單擊確定。
步驟二：為RAM用戶添加權限
為RAM用戶授權后，RAM用戶可以訪問相應的阿里云資源。本文以在用戶頁面為RAM用戶授權的方式為例，操作步驟如下所示。更多方式，請參見為RAM用戶授權。
使用阿里云賬號（主賬號）或RAM管理員登錄RAM控制臺。
在左側導航欄，選擇。
在用戶頁面，單擊目標RAM用戶操作列的添加權限。
在添加權限面板，為RAM用戶添加權限。
選擇授權應用范圍。
整個云賬號：權限在當前阿里云賬號內生效。
指定資源組：權限在指定的資源組內生效。
說明指定資源組授權生效的前提是該云服務已支持資源組，詳情請參見支持資源組的云服務。資源組授權示例，請參見使用資源組管理指定的ECS實例。
指定授權主體。
授權主體即需要添加權限的RAM用戶。
選擇權限策略。
通過關鍵字搜索需要添加的權限策略 ，并單擊權限策略將其添加至右側的已選擇列表中。
系統策略：統一由阿里云創建，您只能使用不能修改，策略的版本更新由阿里云維護，適用于粗粒度地把控RAM用戶權限。
自定義策略：您可以自主創建、更新和刪除，策略的版本更新由您自己維護，適用于細粒度地把控RAM用戶權限。
如果系統策略無法滿足您的需求，您可以通過SAE提供的權限助手功能，簡化SAE相關的RAM權限策略配置。具體操作，請參見SAE權限助手。
說明每次最多綁定5條策略，如需綁定更多策略，請分多次操作。
單擊確定。
單擊完成。
后續步驟
企業A的員工可以通過以下方式，以RAM用戶的身份訪問SAE。
方式一：控制臺。
在RAM用戶登錄頁面，輸入RAM用戶的用戶名，單擊下一步，并輸入用戶密碼，然后單擊登錄。
說明RAM用戶的登錄賬號格式為
<$username>@<$AccountAlias>或<$username>@<$AccountAlias>.onaliyun.com，<$AccountAlias>為賬號別名。如果沒有設置賬號別名，則默認值為阿里云賬號的ID。更多信息，請參見RAM用戶登錄阿里云控制臺。在阿里云控制臺頂部的搜索文本框，輸入并單擊Serverless 應用引擎（SAE），即可訪問SAE控制臺。
方式二：調用API。
在代碼中使用RAM用戶的AccessKey ID和AccessKey Secret調用API訪問SAE。