阿里云RAM运维最佳实践

  1. 云栖社区>
  2. 博客>
  3. 正文

阿里云RAM运维最佳实践

华正 2019-01-14 16:38:32 浏览23901
展开阅读全文

阿里云RAM运维最佳实践

作者:华正 瑞理

1 阿里云RAM介绍

访问控制(Resource Access Management,简称RAM)是一个稳定可靠的集中式访问控制服务。您可以通过访问控制将阿里云资源的访问及管理权限分配给您的企业成员或合作伙伴。

产品首页:https://www.aliyun.com/product/ram

帮助文档:https://help.aliyun.com/product/28625.html

1.1 阿里云RAM体系

RAM可以分为四大类授权体系。

支持RAM的云服务参考:https://help.aliyun.com/document_detail/28630.html

1.1.1 通用

包括两大权限。

序号

权限策略名称

说明

1

AdministratorAccess

管理所有阿里云资源的权限

2

ReadOnlyAccess

只读访问所有阿里云资源的权限

1.1.2 账户、控制台

包括23个权限,这些权限一般与具体云产品使用无关,而与云运维工作相关。

序号

权限策略名称

说明

1

AliyunActionTrailFullAccess

管理操作审计(ActionTrail)的权限

2

AliyunActionTrailReadOnlyAccess

只读访问操作审计(ActionTrail)的权限

3

AliyunAdvisorFullAccess

管理智能顾问(Advisor)的权限

4

AliyunAdvisorReadOnlyAccess

只读访问智能顾问(Advisor)的权限

5

AliyunAgencyFullAccess

管理分销平台的权限

6

AliyunARMSFullAccess

管理业务实时监控服务(ARMS)的权限

7

AliyunBSSFullAccess

管理费用中心(BSS)的权限

8

AliyunBSSOrderAccess

在费用中心(BSS)查看订单、支付订单及取消订单的权限

9

AliyunBSSReadOnlyAccess

只读访问费用中心(BSS)的权限

10

AliyunCloudCommunicationFullAccess

管理云通信财务(CloudCommunication)的权限

11

AliyunCloudCommunicationReadOnlyAccess

只读访问云通信财务(CloudCommunication)的权限

12

AliyunCloudMonitorFullAccess

管理云监控(CloudMonitor)的权限

13

AliyunCloudMonitorReadOnlyAccess

只读访问云监控(CloudMonitor)的权限

14

AliyunFinanceConsoleFullAccess

管理企业财务管理(EFC)的权限

15

AliyunFinanceConsoleReadOnlyAccess

只读访问企业财务管理(EFC)的权限

16

AliyunKMSCryptoAccess

使用密钥管理服务(KMS)的密钥进行加密、解密与产生数据密钥的权限。

17

AliyunKMSFullAccess

管理密钥管理服务(KMS)的权限

18

AliyunKMSReadOnlyAccess

只读访问密钥管理服务(KMS)的权限

19

AliyunRAMFullAccess

管理访问控制(RAM)的权限,即管理用户以及授权的权限。注:被授予AliyunRAMFullAccess权限的子账号可以把所有其它权限都授予自己。

20

AliyunRAMReadOnlyAccess

只读访问访问控制(RAM)的权限,即查看用户、组以及授权信息的权限

21

AliyunSTSAssumeRoleAccess

调用STS服务AssumeRole接口的权限

22

AliyunSupportFullAccess

管理工单系统的权限

23

AliyunTracingAnalysisFullAccess

管理链路追踪(TracingAnalysis)的权限

1.1.3 云产品

包括182个权限。大部分产品都有FullAccess(管理)和ReadOnlyAccess(只读)两种权限,少数产品只有一个权限(如EMR),部分产品有特殊的其它权限(如OTS)。

序号

权限策略名称

说明

1

AliyunACMFullAccess

管理应用配置管理(ACM)的权限

2

AliyunAHASFullAccess

管理应用高可用服务(AHAS)的权限

3

AliyunApiGatewayFullAccess

管理网关服务(ApiGateway)的权限

4

AliyunApiGatewayReadOnlyAccess

只读访问网关服务(ApiGateway)的权限

5

AliyunBatchComputeFullAccess

管理批量计算服务(BatchCompute)的权限

6

AliyunCCCFullAccess

管理云呼叫中心(CCC)的权限

7

AliyunCDNFullAccess

管理CDN的权限

8

AliyunCDNReadOnlyAccess

只读访问CDN的权限

9

AliyunCENFullAccess

管理云企业网(CEN)的权限

10

AliyunCENReadOnlyAccess

只读访问云企业网(CEN)的权限

11

AliyunChatbotFullAccess

管理云小蜜的权限

12

AliyunCloudPhotoFullAccess

管理智能云相册(CloudPhoto)的权限

13

AliyunCloudPhotoReadOnlyAccess

只读访问智能云相册(CloudPhoto)的权限

14

AliyunCodePipelineFullAccess

管理CodePipeline的权限

15

AliyunCommonBandwidthPackageFullAccess

管理共享带宽的权限

16

AliyunCommonBandwidthPackageReadOnlyAccess

只读访问共享带宽的权限

17

AliyunContainerRegistryFullAccess

管理容器镜像服务(ContainerRegistry)的权限

18

AliyunContainerRegistryReadOnlyAccess

只读访问容器镜像服务(ContainerRegistry)的权限

19

AliyunCSFullAccess

管理容器服务(CS)的权限

20

AliyunDataWorksFullAccess

管理DataWorks的权限

21

AliyunDBSFullAccess

管理数据库备份服务(DBS)的权限

22

AliyunDCDNFullAccess

管理全站加速(DCDN)的权限

23

AliyunDCDNReadOnlyAccess

只读访问全站加速(DCDN)的权限

24

AliyunDirectMailFullAccess

管理邮件推送(DirectMail)的权限

25

AliyunDirectMailReadOnlyAccess

只读访问邮件推送(DirectMail)的权限

26

AliyunDLAFullAccess

管理Data Lake Analytics的权限

27

AliyunDLAReadOnlyAccess

只读访问Data Lake Analytics的权限

28

AliyunDNSFullAccess

管理云解析(DNS)的权限

29

AliyunDNSReadOnlyAccess

只读访问云解析(DNS)的权限

30

AliyunDomainFullAccess

管理域名服务的权限

31

AliyunDRDSFullAccess

管理分布式关系型数据库服务(DRDS)的权限

32

AliyunDRDSReadOnlyAccess

只读访问分布式关系型数据库服务(DRDS)的权限

33

AliyunDTSFullAccess

管理数据传输服务(DTS)的权限

34

AliyunDTSReadOnlyAccess

只读访问数据传输服务(DTS)的权限

35

AliyunDycdpFullAccess

管理流量服务(CDP)的权限

36

AliyunDycdpReadOnlyAccess

只读访问流量服务(CDP)的权限

37

AliyunDyiotFullAccess

管理物联网卡服务的权限

38

AliyunDyiotReadOnlyAccess

只读访问物联网卡的权限

39

AliyunDyplsFullAccess

管理私密专线(Private Line Service)的权限

40

AliyunDyplsReadOnlyAccess

只读访问私密专线(Private Line Service)的权限

41

AliyunDypnsFullAccess

管理号码认证服务的权限

42

AliyunDypnsReadOnlyAccess

只读访问号码认证服务的权限

43

AliyunDysmsFullAccess

管理短信服务(SMS)的权限

44

AliyunDysmsReadOnlyAccess

只读访问短信服务(SMS)的权限

45

AliyunDyvmsFullAccess

管理语音服务(VMS)的权限

46

AliyunDyvmsReadOnlyAccess

只读访问语音服务(VMS)的权限

47

AliyunECIFullAccess

管理弹性容器实例(ECI)的权限

48

AliyunECIReadOnlyAccess

只读访问弹性容器实例(ECI)的权限

49

AliyunECSFullAccess

管理云服务器服务(ECS)的权限

50

AliyunECSNetworkInterfaceManagementAccess

管理ECS弹性网卡的权限

51

AliyunECSReadOnlyAccess

只读访问云服务器服务(ECS)的权限

52

AliyunEDASFullAccess

管理企业级分布式应用服务(EDAS)的权限

53

AliyunEHPCFullAccess

管理弹性高性能计算(EHPC)的权限

54

AliyunEHPCReadOnlyAccess

只读访问弹性高性能计算(EHPC)的权限

55

AliyunEIPFullAccess

管理弹性公网IP(EIP)的权限

56

AliyunEIPReadOnlyAccess

只读访问弹性公网IP(EIP)的权限

57

AliyunElasticsearchFullAccess

管理Elasticsearch的权限

58

AliyunElasticsearchReadOnlyAccess

只读访问Elasticsearch的权限

59

AliyunEMRDevelopAccess

E-MapReduce开发者权限

60

AliyunEMRFullAccess

管理E-MapReduce的权限

61

AliyunENSFullAccess

管理边缘节点服务(ENS)的权限

62

AliyunENSReadOnlyAccess

只读访问边缘节点服务(ENS)的权限

63

AliyunESSFullAccess

管理弹性伸缩服务(ESS)的权限

64

AliyunESSReadOnlyAccess

只读访问弹性伸缩服务(ESS)的权限

65

AliyunExpressConnectFullAccess

管理高速通道(ExpressConnect)的权限

66

AliyunExpressConnectReadOnlyAccess

只读访问高速通道(ExpressConnect)的权限

67

AliyunFCFullAccess

管理函数计算(FC)服务的权限

68

AliyunFCInvocationAccess

调用函数计算(FC)服务函数的权限

69

AliyunFCReadOnlyAccess

只读访问函数计算(FC)服务的权限

70

AliyunFeedbackFullAccess

管理移动用户反馈(Feedback)服务的权限

71

AliyunFeedbackReadOnlyAccess

只读访问移动用户反馈(Feedback)服务的权限

72

AliyunGlobalAccelerationFullAccess

管理全球加速(GlobalAcceleration)的权限

73

AliyunGlobalAccelerationReadOnlyAccess

只读访问全球加速(GlobalAcceleration)的权限

74

AliyunGPDBFullAccess

管理 HybridDB for PostgreSQL 的权限

75

AliyunGPDBReadOnlyAccess

只读访问 HybridDB for PostgreSQL 的权限

76

AliyunHBaseFullAccess

管理云数据库HBase版的权限

77

AliyunHBaseReadOnlyAccess

只读访问云数据库HBase版的权限

78

AliyunHBRFullAccess

管理混合云备份服务(HBR)的权限

79

AliyunHBRReadOnlyAccess

只读访问混合云备份服务(HBR)的权限

80

AliyunHCSSGWFullAccess

管理云存储网关服务(HCS-SGW)的权限

81

AliyunHDMFullAccess

管理混合云数据库管理(HDM)的权限

82

AliyunHDMReadOnlyAccess

只读访问混合云数据库管理(HDM)的权限

83

AliyunHDRFullAccess

管理混合云容灾(HDR)的权限, 包含ECS部分管理权限

84

AliyunHiTSDBFullAccess

管理高性能时间序列数据库(HiTSDB)的权限

85

AliyunHiTSDBReadOnlyAccess

只读访问高性能时间序列数据库(HiTSDB)的权限

86

AliyunHotfixFullAccess

管理热修复(Hotfix)服务的权限

87

AliyunHotfixReadOnlyAccess

只读访问热修复(Hotfix)服务的权限

88

AliyunHTTPDNSFullAccess

管理HTTPDNS的权限

89

AliyunHTTPDNSReadOnlyAccess

只读访问HTTPDNS的权限

90

AliyunImageSearchFullAccess

管理图像搜索(ImageSearch)的权限

91

AliyunImageSearchReadOnlyAccess

只读访问图像搜索(ImageSearch)的权限

92

AliyunIMMFullAccess

管理智能媒体管理(IMM)的权限

93

AliyunIMMReadOnlyAccess

只读访问智能媒体管理(IMM)的权限

94

AliyunIOTFullAccess

管理物联网套件(IOT)的权限

95

AliyunIOTReadOnlyAccess

只读访问物联网套件(IOT)的权限

96

AliyunIoVCCConfigAccess

配置智联车管理云平台(IoVCC)的权限, 不包含OTA版本发布权限

97

AliyunIoVCCFullAccess

管理智联车管理云平台(IoVCC)的权限

98

AliyunIoVCCReadOnlyAccess

只读访问智联车管理云平台(IoVCC)的权限

99

AliyunIPlusFullAccess

管理关系网络分析(IPlus)的权限

100

AliyunIPvTranslationFullAccess

管理IPv转换服务的权限

101

AliyunIPvTranslationReadOnlyAccess

只读访问IPv转换服务的权限

102

AliyunKafkaFullAccess

管理消息队列Kafka的权限

103

AliyunKafkaPubOnlyAccess

消息队列Kafka的发布权限

104

AliyunKafkaSubOnlyAccess

消息队列Kafka的订阅权限

105

AliyunKvstoreFullAccess

管理云数据库Redis(Kvstore)的权限

106

AliyunKvstoreReadOnlyAccess

只读访问云数据库Redis(Kvstore)的权限

107

AliyunLiveFullAccess

管理视频直播(Live)的权限

108

AliyunLogFullAccess

管理日志服务(Log)的权限

109

AliyunLogReadOnlyAccess

只读访问日志服务(Log)的权限

110

AliyunLubanFullAccess

管理智能设计(AIDesign)的权限

111

AliyunMarketplaceFullAccess

管理云市场(Marketplace)的权限

112

AliyunMGWFullAccess

管理闪电立方(MGW)的权限

113

AliyunMHubFullAccess

管理移动云(MHub)的权限

114

AliyunMHubReadOnlyAccess

只读访问移动云(MHub)的权限

115

AliyunMNSFullAccess

管理消息服务(MNS)的权限

116

AliyunMNSReadOnlyAccess

只读访问消息服务(MNS)的权限

117

AliyunMobileTestingFullAccess

管理移动测试(MobileTesting)的权限

118

AliyunMobileTestingReadOnlyAccess

只读访问移动测试(MobileTesting)的权限

119

AliyunMongoDBFullAccess

管理云数据库服务(MongoDB)的权限

120

AliyunMongoDBReadOnlyAccess

只读访问云数据库服务(MongoDB)的权限

121

AliyunMPushFullAccess

管理移动推送(MPush)的权限

122

AliyunMPushReadOnlyAccess

只读访问移动推送(MPush)的权限

123

AliyunMQFullAccess

管理消息队列(MQ)的权限

124

AliyunMQPubOnlyAccess

消息队列(MQ)的发布权限

125

AliyunMQSubOnlyAccess

消息队列(MQ)的订阅权限

126

AliyunMTSFullAccess

管理媒体转码服务(MTS)的权限

127

AliyunMTSPlayerAuth

使用媒体转码服务(MTS)播放器的权限

128

AliyunNASFullAccess

管理文件存储服务(NAS)的权限

129

AliyunNASReadOnlyAccess

查看文件存储服务(NAS)的权限

130

AliyunNATGatewayFullAccess

管理NAT网关(NAT Gateway)的权限

131

AliyunNATGatewayReadOnlyAccess

只读访问NAT网关(NAT Gateway)的权限

132

AliyunNotificationsFullAccess

管理消息中心(Notifications)的权限

133

AliyunNPPFullAccess

管理Node.js性能平台(NPP)的权限

134

AliyunOCSFullAccess

管理云数据库Memcache(OCS)的权限

135

AliyunOCSReadOnlyAccess

只读访问云数据库Memcache(OCS)的权限

136

AliyunOpenAdFullAccess

管理营销引擎(OpenAd)的权限

137

AliyunOpenSearchFullAccess

管理开放搜索(OpenSearch)服务的权限

138

AliyunOpenSearchReadOnlyAccess

只读访问开放搜索(OpenSearch)服务的权限

139

AliyunOSSFullAccess

管理对象存储服务(OSS)权限

140

AliyunOSSReadOnlyAccess

只读访问对象存储服务(OSS)的权限

141

AliyunOTSFullAccess

管理表格存储服务(OTS)的权限

142

AliyunOTSReadOnlyAccess

只读访问表格存储服务(OTS)的权限

143

AliyunOTSWriteOnlyAccess

只写表格存储服务(OTS)的权限

144

AliyunPCDNFullAccess

管理PCDN的权限

145

AliyunPCDNReadOnlyAccess

只读访问PCDN的权限

146

AliyunPetaDataFullAccess

管理HybridDB for MySQL的权限

147

AliyunPetaDataReadOnlyAccess

只读访问HybridDB for MySQL的权限

148

AliyunPolardbFullAccess

管理云数据库POLARDB的权限

149

AliyunPolardbReadOnlyAccess

只读访问云数据库POLARDB的权限

150

AliyunPTSFullAccess

管理性能测试服务(PTS)的权限

151

AliyunPvtzFullAccess

管理云解析PrivateZone的权限

152

AliyunPvtzReadOnlyAccess

只读访问云解析PrivateZone的权限

153

AliyunRDCFullAccess

管理云效(RDC)的权限

154

AliyunRDCReadOnlyAccess

只读访问云效(RDC)的权限

155

AliyunRDSFullAccess

管理云数据库服务(RDS)的权限

156

AliyunRDSReadOnlyAccess

只读访问云数据库服务(RDS)的权限

157

AliyunROSFullAccess

管理资源编排服务(ROS)的权限

158

AliyunROSReadOnlyAccess

只读访问资源编排服务(ROS)的权限

159

AliyunRTCFullAccess

管理音视频通信(RTC)的权限

160

AliyunRTCReadOnlyAccess

只读访问音视频通信(RTC)的权限

161

AliyunSCAFullAccess

管理智能对话分析服务(SCA)的权限

162

AliyunSCAReadOnlyAccess

只读访问智能对话分析服务(SCA)的权限

163

AliyunSCDNFullAccess

管理安全加速(SCDN)的权限

164

AliyunSCDNReadOnlyAccess

只读访问安全加速(SCDN)的权限

165

AliyunSLBFullAccess

管理负载均衡服务(SLB)的权限

166

AliyunSLBReadOnlyAccess

只读访问负载均衡服务(SLB)的权限

167

AliyunSmartAccessGatewayFullAccess

管理智能接入网关(SmartAccessGateway)的权限

168

AliyunSmartAccessGatewayReadOnlyAccess

只读访问智能接入网关(SmartAccessGateway)的权限

169

AliyunSNSUFullAccess

管理智能游戏网络加速(SNSU)的权限

170

AliyunSNSUReadOnlyAccess

只读访问智能游戏网络加速(SNSU)的权限

171

AliyunStreamFullAccess

管理流计算(Stream)服务的权限

172

AliyunSWASFullAccess

管理轻量应用服务器(SWAS)的权限

173

AliyunVODFullAccess

管理视频点播服务(VOD)的权限

174

AliyunVODPlayAuth

视频点播服务(VOD)播放权限

175

AliyunVODReadOnlyAccess

只读访问视频点播服务(VOD)的权限

176

AliyunVODUploadAuth

视频点播服务(VOD)上传权限

177

AliyunVPCFullAccess

管理专有网络(VPC)的权限

178

AliyunVPCReadOnlyAccess

只读访问专有网络(VPC)的权限

179

AliyunVPNGatewayFullAccess

管理VPN网关(VPNGateway)的权限

180

AliyunVPNGatewayReadOnlyAccess

只读访问VPN网关(VPNGateway)的权限

181

AliyunWorkSuiteCDFullAccess

管理阿里云办公云投屏(CD)的权限

182

AliyunWorkSuiteNACFullAccess

管理阿里云办公网络准入(NAC)的权限

1.1.4 安全

53个与安全产品相关的权限

序号

权限策略名称

说明

1

AliyunYundunAegisFullAccess

管理云盾安骑士(Aegis)的权限

2

AliyunYundunAegisReadOnlyAccess

只读访问云盾安骑士(Aegis)的权限

3

AliyunYundunAFSFullAccess

管理云盾数据风控(AFS)的权限

4

AliyunYundunAntibotFullAccess

管理云盾爬虫风险管理(Antibot)的权限

5

AliyunYundunAntibotReadOnlyAccess

只读访问云盾爬虫风险管理(Antibot)的权限

6

AliyunYundunAntiDDoSBagFullAccess

管理云盾DDoS防护包(Anti-DDoS Bag)的权限

7

AliyunYundunAntiDDoSBagReadOnlyAccess

只读访问云盾DDoS防护包(Anti-DDoS Bag)的权限

8

AliyunYundunAntiDDoSPremiumFullAccess

管理云盾DDoS高防(国际)(Anti-DDoS Premium)的权限

9

AliyunYundunAntiDDoSPremiumReadOnlyAccess

只读访问云盾DDoS高防(国际)(Anti-DDoS Premium)的权限

10

AliyunYundunAPSFullAccess

管理云盾渗透测试(APS)的权限

11

AliyunYundunAvdsFullAccess

管理云盾漏洞扫描器(Avds)的权限

12

AliyunYundunBastionHostAuditOnlyAccess

管理云盾堡垒机(BastionHost)的审计员权限

13

AliyunYundunBastionHostFullAccess

管理云盾堡垒机(BastionHost)的权限

14

AliyunYundunBastionHostOperateOnlyAccess

管理云盾堡垒机(BastionHost)的运维员权限

15

AliyunYundunBastionHostReadOnlyAccess

只读访问云盾堡垒机(BastionHost)的权限

16

AliyunYundunCertFullAccess

管理云盾证书服务的权限

17

AliyunYundunCertReadOnlyAccess

只读访问云盾证书服务的权限

18

AliyunYundunCloudAuthFullAccess

管理云盾实人认证(CloudAuth)的权限

19

AliyunYundunCloudAuthReadOnlyAccess

只读访问云盾实人认证(CloudAuth)的权限

20

AliyunYundunCloudFirewallFullAccess

管理云盾云防火墙(CloudFirewall)的权限

21

AliyunYundunCloudFirewallReadOnlyAccess

只读访问云盾云防火墙(CloudFirewall)的权限

22

AliyunYundunCloudsFullAccess

管理云盾安全网络(Clouds)的权限

23

AliyunYundunDbAuditFullAccess

管理云盾数据库审计(DbAudit)的权限

24

AliyunYundunDbAuditReadOnlyAccess

只读访问云盾数据库审计(DbAudit)的权限

25

AliyunYundunDDosFullAccess

管理云盾DDos基础防护(Anti-DDoS Basic)的权限

26

AliyunYundunDDosReadOnlyAccess

只读访问云盾DDos基础防护(Anti-DDoS Basic)的权限

27

AliyunYundunDDoSRewardsFullAccess

管理云盾高防增值服务(DDoSRewards)的权限

28

AliyunYundunDDoSRewardsReadOnlyAccess

只读访问云盾高防增值服务(DDoSRewards)的权限

29

AliyunYundunFlawSaleFullAccess

管理云盾补丁管理(FlawSale)的权限

30

AliyunYundunFullAccess

管理云盾所有产品(Yundun)的权限

31

AliyunYundunGameShieldFullAccess

管理云盾游戏盾(GameShield)的权限

32

AliyunYundunGameShieldReadOnlyAccess

只读访问云盾游戏盾(GameShield)的权限

33

AliyunYundunGreenWebFullAccess

管理云盾内容安全(GreenWeb)的权限

34

AliyunYundunHighFullAccess

管理云盾高防IP(Anti-DDoS Pro)的权限

35

AliyunYundunHighReadOnlyAccess

只读访问云盾高防IP(Anti-DDoS Pro)的权限

36

AliyunYundunHSMFullAccess

管理云盾密码机(HSM)的权限

37

AliyunYundunHSMReadOnlyAccess

只读访问云盾密码机(HSM)的权限

38

AliyunYundunJaqFullAccess

管理云盾移动安全的权限

39

AliyunYundunMSSFullAccess

管理云盾安全托管(MSS)的权限

40

AliyunYundunNewBGPAntiDDoSServicePROFullAccess

管理云盾新BGP高防IP(New BGP Anti-DDoS Service PRO)的权限

41

AliyunYundunNewBGPAntiDDoSServicePROReadOnlyAccess

只读访问新BGP高防IP(New BGP Anti-DDoS Service PRO)的权限

42

AliyunYundunPartnerFullAccess

管理云盾安全合作伙伴产品的权限

43

AliyunYundunSAFFullAccess

管理云盾风险识别(SAF)的权限

44

AliyunYundunSASFullAccess

管理云盾态势感知(SAS)的权限

45

AliyunYundunSASReadOnlyAccess

只读访问云盾态势感知(SAS)的权限

46

AliyunYundunSCFullAccess

管理云盾安全管控(SC)的权限

47

AliyunYundunSCReadOnlyAccess

只读访问云盾安全管控(SC)的权限

48

AliyunYundunSLMFullAccess

管理云盾安全日志源管理(SLM)的权限

49

AliyunYundunSOSFullAccess

管理云盾SOS服务(SOS)的权限

50

AliyunYundunWAFFullAccess

管理云盾应用防火墙(WAF)的权限

51

AliyunYundunWAFReadOnlyAccess

只读访问云盾应用防火墙(WAF)的权限

52

AliyunYundunXianzhiFullAccess

管理云盾先知计划(Xianzhi)的权限

53

AliyunYundunXianzhiReadOnlyAccess

只读访问云盾先知计划(Xianzhi)的权限

1.2 典型应用场景

以下为RAM的典型应用场景。建议在启用RAM时,了解和确认相关场景属于那种情况。

典型场景

适用

案例

相关链接

用户管理与分权

企业内部运维团队,针对阿里云上的产品、服务的管理,进行不同人员、角色的授权

将服务器(ECS)管理,数据库(RDS)管理分别给不同的运维人员开设相关账号

https://help.aliyun.com/document_detail/93742.html

针对移动设备应用的临时授权

企业不同的应用,针对阿里云上统一的某些资源,提供统一的授权和访问控制

不同的应用程序都需要访问的服务(如OSS),可以通过统一的权限策略进行统一管控

https://help.aliyun.com/document_detail/93744.html

跨云账号的资源授权

企业部分运维外包,针对阿里云上的产品、服务的管理,授权另一账号;另一账号可以继续向下进行分解、授权

A账号将部分云服务(如ECS、RDS)的权限授权给B账号后,B账号可以继续开设子用户,用A账号给出授权访问A的资源

https://help.aliyun.com/document_detail/93745.html

资源分组与授权

企业内部运维团队的每个管理员各自能够独立管理其项目人员及其访问权限。

公司 A 正在开发三款游戏项目。每个游戏项目都会用到多种云资源(如 ECS 实例/ RDS 实例/ SLB 实例/CDN/…)。目前公司 A 只有一个云账号,该账号下有超过 100 个 ECS 实例。

https://help.aliyun.com/document_detail/93743.html

云上应用的动态身份与授权管理

使企业的应用程序具有访问其他云服务API的权限。

企业的ECS 中部署企业的应用程序。这些应用程序需要使用 AK (Access Key)访问其它云服务 API,比如读取 OSS 存储桶中的数据对象。

https://help.aliyun.com/document_detail/93746.html

使用企业本地账号登录阿里云

云上操作都必须使用企业内部域账号系统进行统一的身份认证。禁止任何企业成员使用独立用户账号和密码直接操作云资源的行为。

企业 A 有两个部门上云,每个部门各自独立创建了云账号(分别记为A1和A2)。要求所有云上操作都必须使用企业内部域账号系统进行统一的身份认证。

https://help.aliyun.com/document_detail/93747.html

2 阿里云RAM建议方案

2.1 整体策略

首先需要根据应用场景,确认采用具体场景。以下内容关注“用户管理与分权”场景下的使用。

2.2 方案说明

在本方案中,一个公司有大量的应用系统部署在云上,因此涉及到如下运维需求:

● 运维人员操作、访问、管理云资源

● 特定内部平台通过API方式操作、访问、管理云资源

● 系统使用云上的SaaS服务(如OSS、邮件等)

这三类需求相互之间是分立的,因此一般建议通过如下手段进行:

● 通过因人设岗的方式,结合公司管理的组织架构维度,建立相关的运维RAM账号。

● 通过因系统设岗的方式,结合企业管理平台的需求,建立各个管理系统相关的RAM账号。例如:对CI/CD平台涉及到的 ECS 操作,建立RAM子用户并赋予 ECS 相关权限。

● 结合独立场景设置独立的RAM账号。例如:对每个使用OSS的系统,设置独立的RAM子用户,并授予特定OSSBucket权限。

2.3 运维体系比较

传统运维体系:

传统运维体系与传统基础架构体系是对应的,通常主要是层次化管理。即不同的运维管理人员,分管其中一个层次的基础设施,依赖于下一层的基础设施服务和运维人员,并对上一层的基础设施服务和运维人员负责。

其中典型的服务如数据库,通常涉及到四个层次。由不同人员管理。

安全相关的管理,通常会采用矩阵式管理,即横向通过专门的安全团队进行统一策略管理,纵向的实施落入每一个团队/层次。

参考下图:

e0b003491006de620afec3eb6d1e26bc04482050

阿里云运维体系:

由于阿里云计算资源的交付方式与传统不同,其核心差异在于,阿里云交付的大量产品/服务是直接交付,而非通过主机(ECS)进行再次搭建的,因此这些产品/服务是与主机并行的,比如RDS。少量服务甚至不纳入客户的VPC网络环境,比如OSS。个别服务是全局的,比如STS。因此其层次化程度大大弱于传统IT环境。而为了对这些产品/服务进行管理,又有一些额外的产品/服务存在,如费用、审计、监控等。

如下图:

9c96bf7b09b3ca1c84a352f60d6fdd75e4ec8132

阿里云的交付模式,导致阿里云运维体系下的运维体系相比传统在层次上简化,更多的是直接根据云产品进行运维划分。而由于大量的云产品不再需要安装、搭建等工作,其具体使用直接由应用程序进行,因此这部分管理也可以转由给应用开发团队进行。

2.4 建议方案

2.4.1 人员角色

阿里云的RAM体系主要包括:用户、用户组、RAM角色管理、权限管理四个部分。对自己名下的RAM用户授权是将一个或多个权限策略绑定到用户或用户组的过程;对其他云账号下的RAM用户授权是将一个或多个权限策略绑定到角色的过程。

6d7bd3072812e8067f02448faad2367c151c727b

2.4.1.1 云运维负责人

建议有一个云运维负责人,负责整体云资源运维工作,并掌握主账户(部分未接入RAM的产品/服务,需要主账号操作)。

建议负责人为自己开设特殊子用户,用于日常工作的使用(类似于不使用Root账户,而使用一些特殊权限账户的传统做法)

组 – 运维负责/(也可以不开设组)

RAM账号 – 运维负责特权账号

权限 – 关键和主要的权限,可以避免对一些特殊业务授权(如安全产品)

2.4.1.2 主机运维团队

主机运维团队也可以含安全组/虚拟防火墙工作。作为阿里云最重要的服务,建议ECS能够单独进行运维。

阿里云提供的权限策略,目前在ECS的管理方面,是可以限制到指定的ECS实例的(只读权限目前不可以指定到ECS实例)。

组 – ECS

RAM账号 – 按需(可以根据不同的ECS实例进一步划分)

权限 – ECS(管理、只读) + 其它涉及的产品管理(按需,如NAS、OSS) + 其它涉及的产品只读

2.4.1.3 网络运维团队

网络运维团队可以含安全组/虚拟防火墙工作。阿里云的VPC环境涉及到虚拟路由器、虚拟交换机、安全组等方面的规划配置工作。如果有专线,也涉及到专线对接的两侧配置,包括阿里云侧边界路由器方面的配置工作。这部分工作还与阿里云同城双活的规划相关。

组 – 网络

RAM账号 – 按需

权限 – 网络类产品管理(SLB、VPC、EIP、ExpressConnect) + 涉及网络的产品(ECS、RDS、OCS、DRDS、加密机、KVStore、OTS、MangoDB、NAS、OB等)只读 + 安全组相关管理(ECS)

2.4.1.4 数据库运维团队

作为阿里云最重要的服务,建议RDS能够单独进行运维。

阿里云提供的权限策略,目前在RDS的管理方面,是可以限制到指定的RDS实例的(只读权限目前不可以指定到RDS实例)。

组 – RDS

RAM账号 – 按需(可以根据不同的RDS实例进一步划分)

权限 – RDS(管理、只读) + 其它数据库产品管理(按需,如KVStore、OTS、MangoDB、OB) + 其它涉及的产品只读

2.4.1.5 安全运维团队

安全运维团队可能涉及两方面工作,包括具体云服务的安全策略,和阿里云安全产品的管理/访问。(也可以分为两个团队)

云服务相关的安全策略(如白名单、安全组等)属于具体产品的一部分,权限无法进一步细分,因此安全团队主要负责策略和审计工作,而由具体维护团队进行配置实施。

组 – 安全

RAM账号 – 按需

权限 – 所有产品只读(ReadOnlyAccess) + 云盾安全产品管理

2.4.1.6 日常监控团队

为日常监控人员,阿里云工单提交/跟踪的人员,建立独立的RAM账户。

2.4.1.7 其它产品运维团队

其它产品建议均分项运维,或对一些产品进行合并运维。其中SLB和OSS的运维有一些特别说明,可以参见帮助文档。建议如果OSS作为系统的功能核心的话,OSS启用独立运维。

2.4.2 管理矩阵

支持RAM的云服务参考:https://help.aliyun.com/document_detail/28630.html

2.4.2.1 角色组

推荐企业中可设置对应的角色组便于组织管理。

角色组

备注

管理

云运维管理人员

财务

财务管理人员

主机

主机管理员

安全

安全管理员

网络

网络管理员

数据库

数据库管理员

监控

监控负责人

研发

研发人员

数据分析

数据分析人员

其他服务

其他服务管理员

2.4.2.2 权限策略矩阵

建议选择:√,可选:※

序号

权限策略名称

角色组

管理

财务

主机

安全

网络

数据库

监控

研发

数据分析

其他服务

角色职责/权限说明

云运维负责人

财务

弹性计算

存储

安全

网络

云数据库

访问监控

工单

研发

大数据

云市场、云通信、域名

运维服务

1

AdministratorAccess

管理所有阿里云资源的权限

2

AliyunActionTrailFullAccess

管理操作审计(ActionTrail)的权限

3

AliyunAdvisorFullAccess

管理智能顾问(Advisor)的权限

4

AliyunApiGatewayFullAccess

管理网关服务(ApiGateway)的权限

5

AliyunARMSFullAccess

管理业务实时监控服务(ARMS)的权限

6

AliyunBSSFullAccess

管理费用中心(BSS)的权限

7

AliyunCDNFullAccess

管理CDN的权限

8

AliyunCENFullAccess

管理云企业网(CEN)的权限

9

AliyunChatbotFullAccess

管理云小蜜的权限

10

AliyunCloudCommunicationFullAccess

管理云通信财务(CloudCommunication)的权限

11

AliyunCloudMonitorFullAccess

管理云监控(CloudMonitor)的权限

12

AliyunCommonBandwidthPackageFullAccess

管理共享带宽的权限

13

AliyunDataWorksFullAccess

管理DataWorks的权限

14

AliyunDomainFullAccess

管理域名服务的权限

15

AliyunDRDSFullAccess

管理分布式关系型数据库服务(DRDS)的权限

16

AliyunDTSFullAccess

管理数据传输服务(DTS)的权限

17

AliyunDysmsFullAccess

管理短信服务(SMS)的权限

18

AliyunDyvmsFullAccess

管理语音服务(VMS)的权限

19

AliyunECSFullAccess

管理云服务器服务(ECS)的权限

20

AliyunEDASFullAccess

管理企业级分布式应用服务(EDAS)的权限

21

AliyunEIPFullAccess

管理弹性公网IP(EIP)的权限

22

AliyunEMRFullAccess

管理E-MapReduce的权限

23

AliyunESSFullAccess

管理弹性伸缩服务(ESS)的权限

24

AliyunExpressConnectFullAccess

管理高速通道(ExpressConnect)的权限

25

AliyunIOTFullAccess

管理物联网套件(IOT)的权限

26

AliyunIPlusFullAccess

管理关系网络分析(IPlus)的权限

27

AliyunKafkaFullAccess

管理消息队列Kafka的权限

28

AliyunLiveFullAccess

管理视频直播(Live)的权限

29

AliyunLogFullAccess

管理日志服务(Log)的权限

30

AliyunMarketplaceFullAccess

管理云市场(Marketplace)的权限

31

AliyunMNSFullAccess

管理消息服务(MNS)的权限

32

AliyunMQFullAccess

管理消息队列(MQ)的权限

33

AliyunMTSFullAccess

管理媒体转码服务(MTS)的权限

34

AliyunNASFullAccess

管理文件存储服务(NAS)的权限

35

AliyunNATGatewayFullAccess

管理NAT网关(NATGateway)的权限

36

AliyunOSSFullAccess

管理对象存储服务(OSS)权限

37

AliyunOTSFullAccess

管理表格存储服务(OTS)的权限

38

AliyunRAMFullAccess

管理访问控制(RAM)的权限,即管理用户以及授权的权限。注:被授予AliyunRAMFullAccess权限的子账号可以把所有其它权限都授予自己。

39

AliyunRDCFullAccess

管理云效(RDC)的权限

40

AliyunRDSFullAccess

管理云数据库服务(RDS)的权限

41

AliyunROSFullAccess

管理资源编排服务(ROS)的权限

42

AliyunRTCFullAccess

管理音视频通信(RTC)的权限

43

AliyunSCDNFullAccess

管理安全加速(SCDN)的权限

44

AliyunSLBFullAccess

管理负载均衡服务(SLB)的权限

45

AliyunSmartAccessGatewayFullAccess

管理智能接入网关(SmartAccessGateway)的权限

46

AliyunSupportFullAccess

管理工单系统的权限

47

AliyunVODFullAccess

管理视频点播服务(VOD)的权限

48

AliyunVPCFullAccess

管理专有网络(VPC)的权限

49

AliyunVPNGatewayFullAccess

管理VPN网关(VPNGateway)的权限

50

AliyunYundunFullAccess

管理云盾所有产品(Yundun)的权限

51

ReadOnlyAccess

只读访问所有阿里云资源的权限

 

网友评论

作者关闭了评论
华正
+ 关注