前提條件

已創建RAM用戶。具體操作，請參見創建RAM用戶。

授予RAM用戶系統策略

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇身份管理 > 用戶。

3. 在用戶頁面，單擊目標RAM用戶操作列的添加權限。

   

   您也可以選中多個RAM用戶，單擊用戶列表下方的添加權限，為RAM用戶批量授權。

4. 在添加權限面板中，為RAM用戶添加權限。

   1. 選擇資源范圍。

      • 賬號級別：權限在當前阿里云賬號內生效。

      • 資源組級別：權限在指定的資源組內生效。

        重要

        指定資源組授權生效的前提是該云服務及資源類型已支持資源組，詳情請參見支持資源組的云服務。資源組授權示例，請參見使用資源組限制RAM用戶管理指定的ECS實例。

   2. 選擇授權主體。

      授權主體即需要添加權限的RAM用戶。系統會自動選擇當前的RAM用戶。

   3. 根據使用場景選擇系統策略下的指定策略，并單擊確認新增授權。

      場景	系統策略
      購買、續費、退訂云安全中心實例	AliyunBSSOrderAccess、AliyunBSSRefundAccess
      只讀訪問云安全中心	AliyunYundunSASReadOnlyAccess
      管理云安全中心	AliyunYundunSASFullAccess

5. 單擊關閉。

授予RAM用戶自定義策略

參考以下步驟使用自定義權限對RAM用戶訪問和操作云安全中心進行精確的限制。

步驟一：創建云安全中心自定義權限策略

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇權限管理 > 權限策略。

3. 在權限策略頁面，單擊創建權限策略。

4. 在創建權限策略頁面，單擊腳本編輯頁簽。

   根據您的使用場景配置對應腳本。

   說明

   在運維人員權限場景中，該腳本的權限策略允許RAM用戶使用漏洞掃描、漏洞修復、基線檢查和資產中心功能并進行相關操作。添加該策略后，RAM用戶具體可以執行的操作，請參見本文支持自定義權限策略的操作表格中的Action及其說明。

   使用場景	腳本配置
   自動續費的詢價（bssapi:QueryAvailableInstances）和設置（bssapi:SetRenewal）	{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }
   修改自動續費（bss:ModifyPrepaidInstanceAutoRenew）
   續費和變配的訂單支付（bss:PayOrder）
   折扣價格顯示（bss:QueryPrice）
   申請退款（bss:RefundBatchRemainRefund）
   資產中心只讀	{ "Version": "1", "Statement": [ { "Action": [ "yundun-sas:DescribeCloudCenterInstances", "yundun-sas:DescribeFieldStatistics", "yundun-sas:DescribeCriteria" ], "Resource": "*", "Effect": "Allow" } ] }
   資產中心安全檢查	{ "Version": "1", "Statement": [ { "Action": "yundun-sas:ModifyPushAllTask", "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理只讀	{ "Version": "1", "Statement": [ { "Action": [ "yundun-sas:DescribeVulList", "yundun-sas:DescribeVulWhitelist" ], "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理	{ "Version": "1", "Statement": [ { "Action": "yundun-sas:OperateVul", "Resource": "*", "Effect": "Allow" } ] }
   運維人員權限	{ "Version": "1", "Statement": [{ "Action": [ "yundun-sas:OperateVul", "yundun-sas:ModifyStartVulScan" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "yundun-sas:FixCheckWarnings", "yundun-sas:IgnoreHcCheckWarnings", "yundun-sas:ValidateHcWarnings" ], "Resource": "*", "Effect": "Allow" }, { "Action": "ecs:RebootInstance", "Effect": "Allow", "Resource": "*", "Condition": { "Bool": { "acs:MFAPresent": "true" } } }, { "Action": "ecs:*", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*" ] }, { "Action": "ecs:CreateSnapshot", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*", "acs:ecs:*:*:snapshot/*" ] }, { "Action": [ "ecs:Describe*" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "yundun-sas:ModifyPushAllTask", "yundun-sas:DeleteTagWithUuid", "yundun-sas:ModifyTagWithUuid", "yundun-sas:CreateOrUpdateAssetGroup", "yundun-sas:DeleteGroup", "yundun-sas:ModifyAssetImportant", "yundun-sas:RefreshAssets" ], "Resource": "*", "Effect": "Allow" } ] }

5. 單擊繼續編輯基本信息，然后輸入權限策略的名稱和備注。

6. 單擊確定。

步驟二：為RAM用戶授權

1. 使用RAM管理員登錄RAM控制臺。

2. 在左側導航欄，選擇權限管理 > 授權。

3. 在授權頁面，單擊新增授權。

   

4. 在新增授權面板，為RAM用戶添加權限。

   新創建的RAM用戶默認不支持任何權限。

   1. 選擇資源范圍。

      • 賬號級別：權限在當前阿里云賬號內生效。

      • 資源組級別：權限在指定的資源組內生效。

        重要

        指定資源組授權生效的前提是該云服務及資源類型已支持資源組，詳情請參見支持資源組的云服務。資源組授權示例，請參見使用資源組限制RAM用戶管理指定的ECS實例。

   2. 選擇授權主體。

      授權主體即需要添加權限的RAM用戶。支持批量選中多個RAM用戶。

   3. 選擇權限策略。

      • 搜索并選擇AliyunYundunSASReadOnlyAccess策略。該系統策略可以授予運維人員只讀訪問云安全中心服務的權限。

      • 搜索并選擇步驟一：創建云安全中心自定義權限策略中創建的自定義策略。

5. 單擊確認新增授權。

相關文檔

權限策略基本元素：RAM中使用權限策略描述授權的具體內容，權限策略由效果（Effect）、操作（Action）、資源（Resource）、條件（Condition）和授權主體（Principal）等基本元素組成。

權限策略語法和結構：正確理解權限策略的語法和結構，以完成創建或更新權限策略。

通過RAM管控多運維人員的權限：當您的企業涉及多種運維需求時，通過RAM控制每種運維人員的權限，便于管理和控制。

通過訪問控制服務限制RAM用戶訪問云資源的IP地址：RAM可以限制用戶只能通過指定的IP地址訪問企業的云資源，從而增強訪問安全性。

通過訪問控制服務限制RAM用戶訪問云資源的時間段：RAM可以限制用戶只能在指定的時間段訪問企業的云資源，從而增強訪問安全性。