如果您需要團隊或部門成員的精細化控制許可權，可為阿里雲帳號（主帳號）建立RAM使用者或RAM角色，並為其授予自訂權限原則，避免多使用者共用阿里雲帳號（主帳號）密碼或存取金鑰（AccessKey），降低安全風險。本文介紹物聯網平台RAM服務的權限原則規則、RAM授權操作（Action）列表，以及如何通過RAM使用者實現精細化授權。
背景資訊
RAM服務說明
服務 | 說明 |
RAM雲端服務名稱 | 物聯網平台。 |
RAM代碼 | iot。 |
是否支援在控制台進行存取控制 | 支援。 |
是否支援通過API進行存取控制 | 支援。 |
授權粒度 | 操作層級，表示API層級的授權。一個RAM使用者或RAM角色可以對指定雲端服務的某類資源執行某幾個指定的操作。 |
系統策略 |
|
權限原則內容說明
RAM中使用權限原則描述授權的具體內容，權限原則由效果（Effect）、操作（Action）、資源（Resource）、條件（Condition）和授權主體（Principal）等基本元素組成。權限原則的基本元素、文法結構和判定規則的詳細說明，請參見權限原則語言。
物聯網平台授權策略內容中基本元素的配置說明如下。
元素名稱 | 是否必選 | 說明 |
效果（Effect） | 是 | 授權效果包括兩種：允許（Allow）和拒絕（Deny）。 說明 當權限原則中既有Allow又有Deny時，遵循Deny優先原則。 |
操作（Action） | 是 | 操作是指對具體資源的操作。 物聯網平台RAM授權作業碼格式統一為 在建立物聯網平台授權策略時，多個Action以英文逗號（,）分隔，支援使用星號（*）萬用字元。例如 |
資源（Resource） | 是 | 資源是指被授權的具體對象。 目前物聯網平台不支援資源（例如產品或裝置）粒度的授權，只支援API維度授權，授權時，Resource只能設定為 |
條件（Condition） | 否 | 條件是指授權生效的條件。 目前物聯網平台不支援使用Condition。 |
RAM授權操作（Action）列表
您建立自訂權限原則時，需要指定具體的授權操作。物聯網平台基於API操作授權，對應API名稱及操作功能的詳細內容，請參見物聯網平台公開提供的所有雲端API列表。RAM授權操作（Action）格式為iot:${API名稱}，下表列出物聯網平台公開API的Action樣本，及未公開API對應操作功能的Action。
API名稱或操作功能 | RAM授權操作（Action） | 資源 （Resource） | 介面說明 |
CreateProduct | iot:CreateProduct | * | 建立產品。 |
DeleteConsumerGroupSubscribeRelation | iot:DeleteConsumerGroupSubscribeRelation | * | 從AMQP訂閱中的多個消費組移除指定消費組。 |
配置AMQP服務端訂閱 | iot:sub | * | 支援AMQP服務端訂閱串連。 |
重設產品認證密鑰 | iot:ResetProductSecret | * | 重設產品認證的ProductSecret值。 |
使用指導
阿里雲帳號（主帳號）對帳號中的資源具有完全系統管理權限，且無法進行條件限制（例如：訪問來源IP地址、訪問時間等），多人共用時也無法在動作記錄中區分出具體使用人，一旦泄露風險極大，強烈建議您不要使用阿里雲帳號（主帳號）進行日常營運管理。
您可以在RAM中建立一個RAM使用者，授予AdministratorAccess許可權，充當帳號管理員，該管理員可以對帳號下所有雲資源進行管控操作。後續您可以通過該管理員建立多個RAM使用者，進行分權管理。
RAM提供了兩種權限原則：系統權限原則和自訂權限原則。系統權限原則由阿里雲統一提供，不支援修改。如果系統權限原則不能滿足您的授權需求，您可以按需建立自訂權限原則，實現精微調權限管理。
建立RAM使用者進行授權：
您可以建立RAM使用者並為其授權，實現不同RAM使用者擁有不同資源存取權限的目的。
當您的企業存在多使用者協同訪問資源的情境時，使用RAM可以按需為使用者指派最小許可權，避免多使用者共用阿里雲帳號（主帳號）密碼或存取金鑰，從而降低企業的安全風險。
RAM使用者組是RAM中的一種實體身份類型，RAM使用者組可以對職責相同的RAM使用者進行分類並授權，從而更高效地管理RAM使用者及其許可權。
RAM角色是一種虛擬使用者，可以被授予一組權限原則。與RAM使用者不同，RAM角色沒有永久身份憑證（登入密碼或存取金鑰），需要被一個可信實體扮演。扮演成功後，可信實體將獲得RAM角色的臨時身份憑證，即安全性權杖（STS Token），使用該安全性權杖就能以RAM角色身份訪問被授權的資源。