阿里云国际 RAM 用户怎么建：主账号只留给自己，日常操作交给子用户
主账号拥有全部权限，一旦泄露损失最大。用 RAM 用户分工操作，是阿里云国际账号到手后最值得做的一件事。
云大佬编辑部发布于 阅读约 4 分钟
拿到阿里云国际账号后，很多人会直接用主账号登录控制台、创建实例，甚至把主账号的 AccessKey 写进代码。这样做短期内方便，但风险很集中：主账号拥有账号内所有资源和费用的完全控制权，一旦密码或密钥泄露，攻击者可以删除资源、创建高价实例，甚至修改账号联系方式。
阿里云国际提供的 RAM（Resource Access Management，访问控制）就是为了解决这个问题。它允许你在同一个账号下创建多个子用户，每个子用户只拥有完成工作所需的权限。
主账号该做什么、不该做什么
建议把主账号的用途收窄到少数几件事：
- 管理账单、查看费用和余额；
- 创建和管理 RAM 用户及权限策略；
- 处理只有主账号才能完成的操作，例如部分账号级设置。
除此之外的日常运维、部署和开发工作，都应该交给 RAM 用户完成。主账号务必开启 MFA，密码只保存在密码管理器里，不在团队内共享。
第一步：规划用户和用户组
动手之前，先按职责列出需要哪些角色。一个小团队常见的划分是：
| 用户组 | 典型成员 | 需要的权限 |
|---|---|---|
| 管理员 | 技术负责人 | 大部分资源的管理权限，但不含账单修改 |
| 运维 | 运维工程师 | ECS、VPC、SLB、云监控等 |
| 开发 | 开发人员 | 指定项目的只读权限或部分写权限 |
| 财务 | 财务人员 | 费用中心只读 |
| 程序 | CI/CD、应用 | 仅限所需 API 的编程访问 |
权限尽量授予用户组而不是单个用户。人员变动时，只需调整组成员，不必逐条修改策略。
第二步：创建 RAM 用户
在控制台进入 RAM 访问控制，创建用户时注意两个选项：
- 控制台访问：给需要登录控制台的人员开启，并要求首次登录修改密码；
- 编程访问：只给需要调用 API 的程序开启，会生成 AccessKey。
不要给同一个用户同时开启两种访问方式，人用的账号和程序用的账号分开管理，排查问题时也更清楚。
第三步：按最小权限分配策略
阿里云国际提供大量系统策略，例如某个产品的完全访问或只读访问。起步阶段可以先用系统策略，再根据实际需要逐步收紧：
- 开发人员只需要查看日志时，授予只读策略即可；
- 运维需要管理实例但不应删除数据库时，可以写自定义策略，明确拒绝删除类操作；
- 涉及费用的权限只给真正需要的人。
自定义策略支持按资源、操作和条件限制，比如只允许管理带特定标签的实例，适合多个项目共用一个账号的情况。
第四步：管好 AccessKey
AccessKey 是泄露事故中最常见的源头，建议遵守以下几条：
- 主账号不创建 AccessKey，已有的尽快删除；
- 程序使用的 RAM 用户只授予必要的 API 权限；
- AccessKey 不写进代码仓库，改用环境变量或密钥管理服务；
- 定期轮换，旧密钥确认不再使用后立即禁用并删除；
- 在操作审计中留意异常调用，例如陌生 IP 或非工作时间的大量创建操作。
第五步：建立人员变动流程
团队成员离开时，按以下顺序收回权限：禁用该用户的控制台登录，禁用并删除其 AccessKey，将其移出所有用户组，最后确认没有资源依赖该用户后再删除。整个过程最好有记录，便于日后审计。
常见误区
在帮助用户整理权限时，下面几种情况出现得最多：
- 所有人共用一个 RAM 用户：表面上不用主账号了，但出了问题无法追溯是谁操作的，等于没有分权。每个人都应该有自己的用户。
- 图省事授予完全访问权限：给每个用户都挂上管理员策略，和直接共享主账号区别不大。宁可一开始权限偏少，遇到报错再按需补充。
- 忘记检查遗留的 AccessKey：项目下线后，程序用的密钥往往还处于启用状态。建议每个季度在 RAM 控制台按“最后使用时间”排查一遍，长期未使用的密钥直接禁用。
- RAM 用户不开 MFA：子用户同样可以开启多因素认证，拥有写权限的用户都建议强制开启。
把这些习惯建立起来，账号即使交给多人协作，也能做到每一步操作都有据可查。
与充值和账单的关系
RAM 用户可以被授予费用中心只读权限，方便财务人员查看余额和账单，但不需要接触主账号。当余额需要补充时，账号持有人可以通过 充值页 提交阿里云国际 UID 办理，整个过程不需要提供任何密码或 AccessKey。
如果你还没有阿里云国际账号，可以先阅读 阿里云国际开户与充值说明，再到 开户页 办理。账号交付后，建议当天就完成本文提到的 RAM 设置。
付款前，请在核对页再确认一次平台、账号标识和应付金额。