【筆記】阿里雲RAM

RAM (Resource Access Management) 是阿里雲提供的資源訪問控制服務。RAM使用者是代表任意的通過控制檯或OpenAPI操作阿里雲資源的人、系統或應用程式。RAM允許您在雲賬號下建立並管理多個使用者，每個使用者都有唯一的使用者名稱、登入密碼或訪問金鑰。

雲賬戶與RAM使用者是一種主子關係。

雲賬戶(主賬號)：
1）阿里雲資源歸屬、資源使用計量計費的基本主體

RAM使用者(子賬號)：
1）只能存在於某個雲賬戶下的RAM例項中
2）不擁有資源，在被授權操作時所建立的資源歸屬於主賬戶
3）RAM使用者不擁有賬單，被授權操作時所發生的費用也計入主賬戶賬單。



使用者群組：
如果多個使用者的工作職責相同，通過建立群組的方式來進行使用者許可權管理。


角色：

1）子使用者和角色都可以指定一個授權策略，用來說明這個子使用者或角色能夠訪問雲資源的許可權。
2）子使用者，在RAM中可以為一個子使用者設定密碼和AccessKey， 然後通過使用者名稱或密碼來以這個子使用者的身份登入阿里雲管理控制檯； 或者使用這個子使用者的AccessKey，以這個子使用者的身份訪問阿里雲OpenAPI。
3）角色，不可以設定密碼和AccessKey，但是可以設定可信實體。 您可以在可信實體中定義哪些雲服務或哪些雲帳號下的子使用者可以扮演此角色，既以此角色的身份和許可權來訪問您的雲資源。


授權策略：
1）授權策略是一組許可權的集合，它以一種策略語言來描述。通過給使用者或群組附加授權策略，使用者或群組中的所有使用者就能獲得授權策略中指定的訪問許可權。2）支援兩種型別的授權策略：系統授權策略和客戶自定義授權策略。
3）支援策略版本管理，一個授權策略有多個版本可以使用。


授權訪問場景：


1）直接使用雲賬號訪問資源
2）使用RAM使用者訪問資源
3）使用STS令牌訪問資源

STS：
阿里雲STS (Security Token Service) 是為阿里雲賬號（或RAM使用者）提供短期訪問許可權管理的雲服務。通過STS，您可以為聯盟使用者（您的本地賬號系統所管理的使用者）頒發一個自定義時效和訪問許可權的訪問憑證(token令牌)。聯盟使用者可以使用STS短期訪問憑證直接呼叫阿里雲服務API，或登入阿里雲管理控制檯操作被授權訪問的資源。

簽名：
RAM服務會對每個訪問的請求進行身份驗證，所以無論使用HTTP還是HTTPS協議提交請求，都需要在請求中包含簽名（Signature）資訊。RAM通過使用Access Key ID和Access Key Secret進行對稱加密的方法來驗證請求的傳送者身份。Access Key ID和Access Key Secret由阿里雲官方頒發給訪問者（可以通過阿里雲官方網站申請和管理），其中Access Key ID用於標識訪問者的身份；Access Key Secret是用於加密簽名字串和伺服器端驗證簽名字串的金鑰，必須嚴格保密，只有阿里雲和使用者知道。