身份

阿里云账号

阿里云账号（主账号）是阿里云资源归属、资源使用计量计费的基本主体。阿里云账号为其名下所拥有的资源付费，并对其名下所有资源拥有完全控制权限。除了一些要求必须使用阿里云账号的场景外，我们建议您使用RAM用户或RAM角色身份访问控制台和调用OpenAPI。

RAM 用户

RAM用户是RAM的一种实体身份类型，有确定的身份ID和身份凭证，它通常与某个确定的人或应用程序一一对应。RAM用户具备以下特点：

• RAM用户由阿里云账号（主账号）或具有管理员权限的其他RAM用户、RAM角色创建，创建成功后，归属于该阿里云账号，它不是独立的阿里云账号。
• RAM用户不拥有资源，不能独立计量计费，由所属的阿里云账号统一付费。
• RAM用户必须在获得授权后，才能登录控制台或使用API访问阿里云账号下的资源。
• RAM用户拥有独立的登录密码或访问密钥。
• 一个阿里云账号下可以创建多个RAM用户，对应企业内的员工、系统或应用程序。

更多详情请参见RAM用户概览。

使用建议

创建独立的 RAM 用户

您可按照地域、产品、开发环境、组织等维度为不同的开发者创建多个独立的 RAM 用户。分权操作的好处是不同的 RAM 用户有明确的业务归属，容易区分和操作分析。

多个用户共享一个 RAM 用户的坏处：

1. 一旦出现异常操作，只能确定是该 RAM 用户执行，但由于多个组织共享该 RAM 用户，还是很难定位到具体的组织或人。

2. 一旦 RAM 用户的 AK 泄漏，需要立即禁用 AK，很多业务可能都硬编码了该 AK 信息，导致短时间内无法立即禁用 AK，只能等业务改造完毕后才能禁用，增大系统风险。

将控制台用户与API用户分离

不建议为一个RAM用户同时创建用于控制台操作的登录密码和用于API调用的访问密钥。将两个不同的使用场景进行分离，避免员工误操作导致服务受到影响。

建议操作：

• 应用程序账号：只需要通过API访问资源，创建访问密钥即可。

• 员工账号：只需要通过控制台操作资源，设置登录密码即可。

RAM角色

RAM角色是一种虚拟用户，可以被授予一组权限策略。与RAM用户不同，RAM角色没有永久身份凭证（登录密码或访问密钥），需要被一个可信实体扮演。扮演成功后，可信实体将获得RAM角色的临时身份凭证，即安全令牌（STS Token），使用该安全令牌就能以RAM角色身份访问被授权的资源。

例如：阿里云账号 A 开放了一个 RAM 角色a_rr1，授权 OSS 产品的FullAccess，将该 RAM 角色的扮演者指定为阿里云账号 B 的 RAM 用户b_ru1。那么开发者可通过登录 B 账号的 RAM 用户b_ru1，通过角色扮演 A 账号的a_rr1，管理 A 账号的 OSS 资源。