阿里云服务器基于RAM实现权限控制-[云淘科技_教程]

您可以授予RAM用户不同的RAM策略，从而提升或降低RAM用户的权限级别，实现更安全可控的访问，并有效降低阿里云账号AccessKey密钥被泄露的风险。本文介绍了授权步骤，并给出了云助手相关的RAM策略示例。

背景信息

权限策略分为您自行创建的自定义策略和阿里云提供的系统策略。具体到云助手，除系统策略外，您可以从地域、ECS实例、云助手命令、托管实例激活码等维度设计自定义策略，并授权给RAM用户使用，从而灵活控制RAM用户使用云助手的权限。

操作步骤

使用阿里云账号（主账号）创建一个RAM用户。

具体操作，请参见创建RAM用户。

使用阿里云账号创建一个自定义策略。具体操作，请参见创建自定义权限策略。

常见云助手功能涉及的自定义策略如下表所示：

云助手功能	自定义策略示例
云助手	云助手管理员权限（可读可写）云助手查看权限（只读）设置云助手的地域限制
云助手Agent	查询云助手Agent安装状态安装云助手Agent
云助手命令	查看云助手命令删除云助手命令创建云助手命令修改云助手命令执行命令立即执行命令查询命令执行结果停止执行任务
发送文件	上传本地文件查询文件上传结果
运维任务执行记录投递	查询和修改运维任务执行记录投递功能的配置查询运维任务执行记录投递功能的配置设置运维任务执行记录投递功能的地域限制查询和修改会话操作记录投递功能的配置查询会话操作记录投递功能的配置设置会话操作记录投递功能的地域限制查询OSS存储空间查询SLS项目与日志库
托管实例	注销托管实例查询托管实例创建托管实例激活码禁用托管实例激活码查询托管实例激活码删除托管实例激活码

使用阿里云账号为已创建的RAM用户授予权限。

具体操作，请参见为RAM用户授权。
- 指定您自行创建的自定义策略
- 指定阿里云提供的系统策略
  - AliyunECSAssistantFullAccess：允许RAM用户管理ECS云助手服务的权限。
  - AliyunECSAssistantReadonlyAccess：允许RAM用户只读访问ECS云助手服务的权限。
  您可以在RAM控制台查看系统策略的策略内容等基本信息，具体操作，请参见查看权限策略基本信息。
查看RAM用户信息，确认已被授权登录阿里云管理控制台。

如果未开启控制台访问权限，RAM用户只能调用API使用云助手。具体步骤，请参见查看RAM用户的权限。
使用RAM用户登录阿里云控制台。

具体步骤，请参见RAM用户登录阿里云控制台。
使用RAM用户登录ECS管理控制台云助手页面，RAM用户开始使用云助手。

云助手自定义策略示例

云助手管理员权限（可读可写）

授予以下权限后，RAM用户拥有云助手API的全部查询和操作权限。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeTag*",
                "ecs:*Command",
                "ecs:DescribeCommand*",
                "ecs:DescribeInvocation*",
                "ecs:StopInvocation",
                "ecs:*CloudAssistant*",
                "ecs:SendFile",
                "ecs:DescribeSendFileResults",
                "ecs:*ManagedInstance",
                "ecs:DescribeManagedInstances",
                "ecs:*Activation",
                "ecs:DescribeActivations"
            ],
            "Resource": [
                "acs:ecs:*:*:instance/*",
                "acs:ecs:*:*:command/*",
                "acs:ecs:*:*:activation/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "archiving.ecs.aliyuncs.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

云助手查看权限（只读）

授予以下权限后，RAM用户拥有云助手API的全部查询权限。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeTag*",
                "ecs:DescribeCommand*",
                "ecs:DescribeInvocation*",
                "ecs:DescribeCloudAssistant*",
                "ecs:DescribeSendFileResults",
                "ecs:DescribeManagedInstances",
                "ecs:DescribeActivations"
            ],
            "Resource": [
                "acs:ecs:*:*:instance/*",
                "acs:ecs:*:*:command/*",
                "acs:ecs:*:*:activation/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

设置云助手的地域限制

通过在权限策略元素的地域字段指定地域值，可以限制RAM用户的地域权限。例如只允许RAM用户在华东1（杭州）地域使用云助手。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeTag*",
                "ecs:*Command",
                "ecs:DescribeCommand*",
                "ecs:DescribeInvocation*",
                "ecs:StopInvocation",
                "ecs:*CloudAssistant*",
                "ecs:SendFile",
                "ecs:DescribeSendFileResults",
                "ecs:*ManagedInstance",
                "ecs:DescribeManagedInstances",
                "ecs:*Activation",
                "ecs:DescribeActivations"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:instance/*",
                "acs:ecs:cn-hangzhou:*:command/*",
                "acs:ecs:cn-hangzhou:*:activation/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "archiving.ecs.aliyuncs.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

云助手Agent

查询云助手Agent安装状态

相关API：DescribeCloudAssistantStatus

授予以下权限后，允许RAM用户查询所有ECS实例的云助手Agent安装状态。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeCloudAssistantStatus"
            ],
            "Resource": [
                "acs:ecs:*:*:instance/*"
            ]
        }
    ]
}

通过在Resource列表中设置实例ID，授予以下权限后，RAM用户只能查看指定的ECS实例的云助手Agent安装状态。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:DescribeInstances",
                "ecs:DescribeCloudAssistantStatus"
            ],
            "Resource": [
                "acs:ecs:*:*:instance/i-instancexxx000a",
                "acs:ecs:*:*:instance/i-instancexxx000b"
            ]
        }
    ]
}

安装云助手Agent

云助手命令自定义策略示例

查看云助手命令

删除云助手命令

创建云助手命令

修改云助手命令

执行命令

立即执行命令

查询命令执行结果

停止执行任务

发送文件自定义策略示例

上传本地文件

查询文件上传结果

运维任务执行记录投递自定义策略示例

查询和修改运维任务执行记录投递功能的配置

授予以下权限后，允许RAM用户查询和修改运维任务执行记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

查询运维任务执行记录投递功能的配置

授予以下权限后，允许RAM用户查询运维任务执行记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

设置运维任务执行记录投递功能的地域限制

通过在权限策略元素的地域字段指定地域值，可以限制RAM用户的地域级别访问权限。

授予以下权限后，只允许RAM用户在华东1（杭州）地域查询和修改运维任务执行记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

授予以下权限后，只允许RAM用户在华东1（杭州）地域查询运维任务执行记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:servicesettings/cloudassistantdeliverysettings"
            ]
        }
    ]
}

查询和修改会话操作记录投递功能的配置

授予以下权限后，允许RAM用户查询和修改会话操作记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/sessionmanagerdeliverysettings"
            ]
        }
    ]
}

查询会话操作记录投递功能的配置

授予以下权限后，允许RAM用户查询会话操作记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings"
            ],
            "Resource": [
                "acs:ecs:*:*:servicesettings/sessionmanagerdeliverysettings"
            ]
        }
    ]
}

设置会话操作记录投递功能的地域限制

通过在权限策略元素的地域字段指定地域值，可以限制RAM用户的地域级别访问权限。

授予以下权限后，只允许RAM用户在华东1（杭州）地域查询和修改会话操作记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings",
                "ecs:UpdateServiceSettings"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:servicesettings/sessionmanagerdeliverysettings"
            ]
        }
    ]
}

授予以下权限后，只允许RAM用户在华东1（杭州）地域查询会话操作记录投递功能的配置。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:ListServiceSettings"
            ],
            "Resource": [
                "acs:ecs:cn-hangzhou:*:servicesettings/sessionmanagerdeliverysettings"
            ]
        }
    ]
}

查询OSS存储空间

使用运维任务执行记录或会话操作记录投递功能时，如果需要投递到OSS，则需要授予以下权限允许RAM用户查询OSS存储空间。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListBuckets"
            ],
            "Resource": "*"
        }
    ]
}

运维任务执行记录或会话操作记录投递到OSS后，为了便于进行查询、分析等操作，您还需要了解OSS的权限控制规则。更多信息，请参见OSS RAM Policy概述和OSS RAM Policy常见示例。

查询SLS项目与日志库

使用运维任务执行记录或会话操作记录投递功能时，如果需要投递到SLS，则需要授予以下权限允许RAM用户查询SLS项目与对应的日志库。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:ListProject",
                "log:ListLogStores"
            ],
            "Resource": "*"
        }
    ]
}

运维任务执行记录或会话操作记录投递到SLS后，为了便于进行查询、分析等操作，您还需要了解SLS的权限控制规则。更多信息，请参见SLS鉴权规则概览。