云安全中心：RAM用户权限管理最佳实践

前提条件

已创建RAM用户。具体操作，请参见创建RAM用户。

授予RAM用户系统策略

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击目标RAM用户操作列的添加权限。

   

   您也可以选中多个RAM用户，单击用户列表下方的添加权限，为RAM用户批量授权。

4. 在添加权限面板中，为RAM用户添加权限。

   1. 选择资源范围。

      • 账号级别：权限在当前阿里云账号内生效。

      • 资源组级别：权限在指定的资源组内生效。

        重要

        指定资源组授权生效的前提是该云服务及资源类型已支持资源组，详情请参见支持资源组的云服务。资源组授权示例，请参见使用资源组限制RAM用户管理指定的ECS实例。

   2. 选择授权主体。

      授权主体即需要添加权限的RAM用户。系统会自动选择当前的RAM用户。

   3. 根据使用场景选择系统策略下的指定策略，并单击确认新增授权。

      场景	系统策略
      购买、续费、退订云安全中心实例	AliyunBSSOrderAccess、AliyunBSSRefundAccess
      只读访问云安全中心	AliyunYundunSASReadOnlyAccess
      管理云安全中心	AliyunYundunSASFullAccess

5. 单击关闭。

授予RAM用户自定义策略

参考以下步骤使用自定义权限对RAM用户访问和操作云安全中心进行精确的限制。

步骤一：创建云安全中心自定义权限策略

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择权限管理 > 权限策略。

3. 在权限策略页面，单击创建权限策略。

4. 在创建权限策略页面，单击脚本编辑页签。

   根据您的使用场景配置对应脚本。

   说明

   在运维人员权限场景中，该脚本的权限策略允许RAM用户使用漏洞扫描、漏洞修复、基线检查和资产中心功能并进行相关操作。添加该策略后，RAM用户具体可以执行的操作，请参见本文支持自定义权限策略的操作表格中的Action及其说明。

   使用场景	脚本配置
   自动续费的询价（bssapi:QueryAvailableInstances）和设置（bssapi:SetRenewal）	{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }
   修改自动续费（bss:ModifyPrepaidInstanceAutoRenew）
   续费和变配的订单支付（bss:PayOrder）
   折扣价格显示（bss:QueryPrice）
   申请退款（bss:RefundBatchRemainRefund）
   资产中心只读	{ "Version": "1", "Statement": [ { "Action": [ "yundun-sas:DescribeCloudCenterInstances", "yundun-sas:DescribeFieldStatistics", "yundun-sas:DescribeCriteria" ], "Resource": "*", "Effect": "Allow" } ] }
   资产中心安全检查	{ "Version": "1", "Statement": [ { "Action": "yundun-sas:ModifyPushAllTask", "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理只读	{ "Version": "1", "Statement": [ { "Action": [ "yundun-sas:DescribeVulList", "yundun-sas:DescribeVulWhitelist" ], "Resource": "*", "Effect": "Allow" } ] }
   漏洞管理	{ "Version": "1", "Statement": [ { "Action": "yundun-sas:OperateVul", "Resource": "*", "Effect": "Allow" } ] }
   运维人员权限	{ "Version": "1", "Statement": [{ "Action": [ "yundun-sas:OperateVul", "yundun-sas:ModifyStartVulScan" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "yundun-sas:FixCheckWarnings", "yundun-sas:IgnoreHcCheckWarnings", "yundun-sas:ValidateHcWarnings" ], "Resource": "*", "Effect": "Allow" }, { "Action": "ecs:RebootInstance", "Effect": "Allow", "Resource": "*", "Condition": { "Bool": { "acs:MFAPresent": "true" } } }, { "Action": "ecs:*", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*" ] }, { "Action": "ecs:CreateSnapshot", "Effect": "Allow", "Resource": [ "acs:ecs:*:*:*", "acs:ecs:*:*:snapshot/*" ] }, { "Action": [ "ecs:Describe*" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "yundun-sas:ModifyPushAllTask", "yundun-sas:DeleteTagWithUuid", "yundun-sas:ModifyTagWithUuid", "yundun-sas:CreateOrUpdateAssetGroup", "yundun-sas:DeleteGroup", "yundun-sas:ModifyAssetImportant", "yundun-sas:RefreshAssets" ], "Resource": "*", "Effect": "Allow" } ] }

5. 单击继续编辑基本信息，然后输入权限策略的名称和备注。

6. 单击确定。

步骤二：为RAM用户授权

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择权限管理 > 授权。

3. 在授权页面，单击新增授权。

   

4. 在新增授权面板，为RAM用户添加权限。

   新创建的RAM用户默认不支持任何权限。

   1. 选择资源范围。

      • 账号级别：权限在当前阿里云账号内生效。

      • 资源组级别：权限在指定的资源组内生效。

        重要

        指定资源组授权生效的前提是该云服务及资源类型已支持资源组，详情请参见支持资源组的云服务。资源组授权示例，请参见使用资源组限制RAM用户管理指定的ECS实例。

   2. 选择授权主体。

      授权主体即需要添加权限的RAM用户。支持批量选中多个RAM用户。

   3. 选择权限策略。

      • 搜索并选择AliyunYundunSASReadOnlyAccess策略。该系统策略可以授予运维人员只读访问云安全中心服务的权限。

      • 搜索并选择步骤一：创建云安全中心自定义权限策略中创建的自定义策略。

5. 单击确认新增授权。

相关文档

权限策略基本元素：RAM中使用权限策略描述授权的具体内容，权限策略由效果（Effect）、操作（Action）、资源（Resource）、条件（Condition）和授权主体（Principal）等基本元素组成。

权限策略语法和结构：正确理解权限策略的语法和结构，以完成创建或更新权限策略。

通过RAM管控多运维人员的权限：当您的企业涉及多种运维需求时，通过RAM控制每种运维人员的权限，便于管理和控制。

通过访问控制服务限制RAM用户访问云资源的IP地址：RAM可以限制用户只能通过指定的IP地址访问企业的云资源，从而增强访问安全性。

通过访问控制服务限制RAM用户访问云资源的时间段：RAM可以限制用户只能在指定的时间段访问企业的云资源，从而增强访问安全性。