访问管理-华为云

资源访问管理 RAM-支持共享的云服务和资源类型

支持共享的云服务和资源类型表1 支持共享的云服务和资源类型云服务资源类型是否支持主动退出共享应用场景虚拟私有云 VPC vpc:subnet（子网）是共享VPC功能支持多个账号在一个集中管理、共享的VPC内创建云资源，比如E CS 、ELB、RDS等。VPC的所有者可以将VPC内的子网共享给一个或者多个账号使用。通过共享VPC功能，可以简化网络配置，帮助您统一配置和运维多个账号下的资源，有助于提升资源的管控效率，降低运维成本。更多信息请参见共享VPC。云解析服务 DNS dns:zone（内网域名）是基于资源访问管理（Resource Access Manager，简称 RAM ）服务，云解析服务可以实现跨账号共享内网域名，资源所有者将内网域名同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的内网域名。更多信息请参见共享内网域名。 dns:resolverRule（解析器规则）是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享转发规则，资源所有者将转发规则同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的转发规则。更多信息请参见共享转发规则。 SSL证书管理 SCM scm:cert（证书）是云证书管理服务提供共享功能，用户可以将SSL证书同时共享给同一组织单元内的所有成员账号，这些账号可以将共享证书部署到ELB、WAF和CDN等服务，以启用HTTPS协议。更多信息请参见共享证书。私有证书管理 PCA pca:ca（私有CA）是云证书管理服务私有证书管理提供共享功能，用户可以将私有CA同时共享给同一组织单元内的所有成员账号，这些账号可以使用共享CA来签发证书。更多信息请参见共享私有CA。企业路由器 ER er:instances（实例）是基于资源访问管理（Resource Access Manager，简称RAM）服务，可以实现跨账号共享企业路由器，您可以将账号A所属的企业路由器同时共享给多个其他账号，比如账号B、账号C以及账号D等。通过共享功能，可以在同一个企业路由器中接入不同账号下的虚拟私有云，构建云上同区域组网。更多信息请参见共享概述。函数工作流 FunctionGraph functiongraph:function（函数）是基于资源访问管理（Resource Access Manager，简称RAM）服务，函数工作流服务可以实现跨账号共享函数，资源所有者将函数同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的函数。更多信息请参见共享函数。云原生应用网络 ANC anc:service（服务）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享ANC的服务，您可以将账号A所属的ANC的服务同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，共享ANC的服务可以接收不同账号下VPC内客户端的访问请求，有助于管理多账号下的资源，提升资源的管控效率。 anc:anc（云原生应用网络）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享云原生应用网络，您可以将账号A所属的云原生应用网络同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，VPC内客户端可以访问不同账号下ANC的服务，实现统一管理多账号下的资源。

资源访问管理 RAM

资源访问管理 RAM-约束与限制

约束与限制 RAM的使用限制如下表所示，如果默认配额无法满足业务需求，您可以申请扩大配额，具体请参见：调整配额。不同类型的账号之间无法共享资源，具体说明如下：华为云中国站与国际站账号之间无法共享资源。华为内部账号与外部账号之间无法共享资源。表1 RAM使用限制类型默认配额是否支持修改单账号创建的资源共享实例数量 1000 是单个资源共享实例关联的资源数量 50 是单个资源共享实例关联的权限数量 50 是单个资源共享实例关联的资源使用者数量 50 是单账号中所有资源共享实例关联的资源数量 5000 是单账号中所有资源共享实例关联的权限数量 5000 是单账号中所有资源共享实例关联的资源使用者数量 5000 是单账号中待接受的共享邀请数量（发送邀请方）说明：该配额限制仅适用于给组织外的账号发送共享邀请的情况。对于接受邀请的账号中可存在的待接受共享邀请数量没有配置限制。当已启用与组织共享资源开关，同一组织内的账号之间进行的资源共享不涉及邀请。 50 是单个资源共享实例的标签数 20 是被删除的资源共享实例的保留时间 48小时否被解除的资源共享关联保留时间 48小时否单个资源使用者可以被共享的VPC子网最大数量 100 否

资源访问管理 RAM

资源访问管理 RAM-权限管理:RAM权限

RAM权限默认情况下，新建的 IAM 用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户可以基于已有权限进行对应的操作。 RAM部署时不区分物理区域，为全局级服务。授权时，在全局级服务中设置权限，访问RAM时，不需要切换区域。根据授权精细程度分为角色和策略。角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。如表1所示，包括了RAM的所有系统权限。表1 RAM系统权限权限名称描述 RAM FullAccess 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。表2列出了RAM常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。“√”表示支持，“×”表示暂不支持。表2 常用操作与系统权限的关系操作 RAM FullAccess RAM ReadOnlyAccess RAM ResourceShareParticipantAccess 检索共享资源权限列表 √ √ x 检索共享资源权限内容 √ √ x 创建资源共享实例 √ x x 检索资源共享实例 √ √ √ 更新资源共享实例 √ x x 删除资源共享实例 √ x x 绑定资源使用者和共享资源 √ x x 移除资源使用者和共享资源 √ x x 检索绑定的资源使用者和共享资源 √ √ x 绑定或替换共享资源权限 √ x x 移除共享资源权限 √ x x 检索绑定的共享资源权限 √ √ x 检索共享的资源 √ √ √ 检索资源使用者 √ √ √ 接受共享邀请 √ x √ 拒绝共享邀请 √ x √ 检索共享邀请 √ √ √ 启用与组织共享 √ x x 关闭与组织共享 √ x x 检索是否启用与组织共享 √ √ x

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:简介

简介资源访问管理（Resource Access Manager，简称RAM）服务为用户提供安全的跨账号共享资源的能力。如果您有多个华为云账号，您可以创建一次资源，并使用RAM服务将该资源共享给其他账号使用，这样您就不需要在每个账号中创建重复的资源。支持共享的云服务和资源类型请参见：支持共享的云服务和资源类型。如果您的账号由组织管理，则您可以直接与组织、OU或成员账号共享资源，还可以输入账号ID与账号共享，无论账号是否属于组织。

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:产品功能

产品功能资源共享管理使用RAM服务，资源所有者可以集中管理资源的共享。资源所有者可以将指定资源共享给指定对象（包括组织、OU以及账号），资源所有者还可以随时更新或删除资源共享实例。资源使用者可以接受或拒绝共享邀请，查看当前正在使用的共享信息，以及在共享资源使用结束后退出共享。共享信息查询资源所有者可以查询当前已经共享的资源信息，以及资源使用者的相关信息。资源使用者可以查询当前正在使用的共享资源信息，以及资源所有者信息。与组织共享资源 RAM启用与组织共享资源功能后，资源所有者可以将指定资源共享给组织、OU或成员账号，组织内的账号默认接受该共享邀请。

资源访问管理 RAM

容器镜像服务 SWR-访问凭证:操作场景

操作场景镜像仓库需要使用访问凭证才能访问。访问凭证分为长期凭证和临时凭证：长期凭证：生成后永久有效，支持禁用及删除。长期凭证可应用在前期测试、CICD流水线及容器集群拉取镜像等场景中。长期凭证没有时效限制，生成后请妥善保管，如果遗失请及时禁用或删除。临时凭证：24小时内有效，生成后无法禁用及吊销。临时凭证可应用在临时使用，对外单次授权等场景中，对安全性要求较高的生产集群也可通过定时刷新的方式进行使用。

容器镜像服务 SWR 访问管理

资源访问管理 RAM-查询已使用的标签列表:响应示例

响应示例状态码： 200 请求成功。 { "tags" : [ { "key" : "string", "values" : [ "string" ] } ], "page_info" : { "previous_marker" : "string", "next_marker" : "string", "current_count" : 2000 } }

资源访问管理 RAM

资源访问管理 RAM-查询已使用的标签列表:响应参数

响应参数状态码： 200 表3 响应Body参数参数参数类型描述 tags Array of TagDTO objects 一个或多个标签键值对的列表。标签键必须存在，而不是空字符串。标签值必须存在，但可以是空字符串。 page_info PageInfoMarkerByKey object 分页详细信息。表4 TagDTO 参数参数类型描述 key String 标签"键"的标识符或名称。您可以将标签的值设置为空字符串，但不能设置为null。 values Array of strings 值列表。每个值最大长度255个字符。表5 PageInfoMarkerByKey 参数参数类型描述 previous_marker String 上一页的页面标识。 next_marker String 下一页的页面标识。 current_count Integer 页面数量。

资源访问管理 RAM

资源访问管理 RAM-检索资源共享实例:请求示例

请求示例检索您创建的资源共享实例详情。 POST https://{endpoint}/v1/resource-shares/search { "limit" : 2000, "name" : "string", "marker" : "string", "permission_id" : "string", "resource_owner" : "self", "resource_share_ids" : [ "string" ], "resource_share_status" : "string", "tag_filters" : [ { "key" : "string", "values" : [ "string" ] } ] }

资源访问管理 RAM

资源访问管理 RAM-检索资源共享实例:响应参数

响应参数状态码： 200 表4 响应Body参数参数参数类型描述 resource_shares Array of ResourceShare objects 资源共享实例的详细信息列表。 page_info PageInfo object 分页详细信息。表5 ResourceShare 参数参数类型描述 id String 资源共享实例的ID。 name String 资源共享实例的名称。 description String 资源共享实例的描述。 allow_external_principals Boolean 资源共享实例是否支持共享给组织外账号。 owning_account_id String 资源共享实例的所有者ID。 status String 资源共享实例的状态。 tags Array of Tag objects 资源共享实例的标签列表。 created_at String 创建资源共享实例的时间。 updated_at String 最后一次更新资源共享实例的时间。表6 Tag 参数参数类型描述 key String 标签"键"的标识符或名称。 value String 标签"键"对应的"值"。您可以将标签的值设置为空字符串，但不能设置为null。表7 PageInfo 参数参数类型描述 previous_marker String 上一页的页面标识。 next_marker String 下一页的页面标识。 current_count Integer 页面数量。

资源访问管理 RAM

资源访问管理 RAM-检索资源共享实例:请求参数

请求参数表1 请求Header参数参数是否必选参数类型描述 X-Security-Token 否 String 如果正在使用临时安全凭据，则此header是必需的，该值是临时安全凭据的安全令牌（会话令牌）。表2 请求Body参数参数是否必选参数类型描述 limit 否 Integer 分页页面的最大值。 name 否 String 资源共享实例名称。 marker 否 String 页面标记。 permission_id 否 String 权限ID。 resource_owner 是 String 检索您创建的或共享给您的（self或者other-accounts）资源共享实例。 resource_share_ids 否 Array of strings 资源共享实例的ID列表。 resource_share_status 否 String 资源共享实例的状态。 tag_filters 否 Array of TagFilter objects 资源共享实例的标签。表3 TagFilter 参数是否必选参数类型描述 key 是 String 标签"键"的标识符或名称。 values 否 Array of strings 标签"键"对应的"值"列表。

资源访问管理 RAM

资源访问管理 RAM-检索资源共享实例:响应示例

响应示例状态码： 200 请求成功。 { "resource_shares" : [ { "id" : "string", "name" : "string", "description" : "string", "allow_external_principals" : true, "owning_account_id" : "string", "status" : "string", "tags" : [ { "key" : "string", "value" : "string" } ], "created_at" : "2023-01-06T08:24:55.638Z", "updated_at" : "2023-01-06T08:24:55.638Z" } ], "page_info" : { "previous_marker" : "string", "next_marker" : "string", "current_count" : 2000 } }

资源访问管理 RAM

资源访问管理 RAM-修订记录

修订记录发布日期修订记录 2024-03-15 第七次正式发布。资源访问管理（Resource Access Manager，简称RAM）正式商用。 2023-12-30 第六次正式发布。新增“获取权限的所有版本”接口。 2023-08-30 第五次正式发布。新增“检索云服务资源类型”接口。 2023-05-30 第四次正式发布。新增“查询资源共享的配额”接口。 2023-04-11 第三次正式发布。新增“标签管理”相关接口。 2023-03-20 第二次正式发布。新增部分错误码。 2022-10-29 第一次正式发布。

资源访问管理 RAM

资源访问管理 RAM-资源共享实例增加标签:请求参数

请求参数表2 请求Header参数参数是否必选参数类型描述 X-Security-Token 否 String 如果正在使用临时安全凭据，则此header是必需的，该值是临时安全凭据的安全令牌（会话令牌）。表3 请求Body参数参数是否必选参数类型描述 tags 是 Array of Tag objects 一个或多个标签键值对的列表。标签键必须存在，而不是空字符串。标签值必须存在，但可以是空字符串。表4 Tag 参数是否必选参数类型描述 key 是 String 标签"键"的标识符或名称。 value 是 String 标签"键"对应的"值"。您可以将标签的值设置为空字符串，但不能设置为null。

资源访问管理 RAM

资源访问管理 RAM-检索云服务资源类型:响应示例

响应示例状态码： 200 请求成功。 { "resource_types" : [ { "region_id" : "string", "resource_type" : "string" } ], "page_info" : { "previous_marker" : "string", "next_marker" : "string", "current_count" : 2000 } }

资源访问管理 RAM

云服务器内容精选

访问管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线