资源访问管理 RAM-华为云

资源访问管理 RAM-标签概述:标签简介

标签简介标签用于标识云资源，当您拥有相同类型的许多云资源时，可以使用标签按各种维度（例如用途、所有者或环境）对云资源进行分类。 RAM 支持为资源共享实例添加标签，您可以根据标签快速搜索和筛选特定的资源共享实例，使您可以更轻松高效地识别和管理拥有的资源共享实例。您可以在创建资源共享实例时添加标签，也可以在资源共享实例创建完成后，在共享的详情页添加、修改、查看、删除标签，您最多可以给每个资源共享实例添加20个标签。

资源访问管理 RAM 标签管理

资源访问管理 RAM-支持共享的资源

支持共享的资源表1 支持共享的云服务和资源类型云服务资源类型是否支持主动退出共享应用场景虚拟私有云 VPC vpc:subnet（子网）是共享VPC功能支持多个账号在一个集中管理、共享的VPC内创建云资源，比如E CS 、ELB、RDS等。VPC的所有者可以将VPC内的子网共享给一个或者多个账号使用。通过共享VPC功能，可以简化网络配置，帮助您统一配置和运维多个账号下的资源，有助于提升资源的管控效率，降低运维成本。更多信息请参见共享VPC。云解析服务 DNS dns:zone（内网域名）是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享内网域名，资源所有者将内网域名同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的内网域名。更多信息请参见共享内网域名。 dns:resolverRule（解析器规则）是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享转发规则，资源所有者将转发规则同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的转发规则。更多信息请参见共享转发规则。 SSL证书管理 SCM scm:cert（证书）是云证书管理服务提供共享功能，用户可以将SSL证书同时共享给同一组织单元内的所有成员账号，这些账号可以将共享证书部署到ELB、WAF和CDN等服务，以启用HTTPS协议。更多信息请参见共享证书。私有证书管理 PCA pca:ca（私有CA）是云证书管理服务私有证书管理提供共享功能，用户可以将私有CA同时共享给同一组织单元内的所有成员账号，这些账号可以使用共享CA来签发证书。更多信息请参见共享私有CA。企业路由器 ER er:instances（实例）是基于资源访问管理（Resource Access Manager，简称RAM）服务，可以实现跨账号共享企业路由器，您可以将账号A所属的企业路由器同时共享给多个其他账号，比如账号B、账号C以及账号D等。通过共享功能，可以在同一个企业路由器中接入不同账号下的虚拟私有云，构建云上同区域组网。更多信息请参见共享概述。函数工作流 FunctionGraph functiongraph:function（函数）是基于资源访问管理（Resource Access Manager，简称RAM）服务，函数工作流服务可以实现跨账号共享函数，资源所有者将函数同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的函数。更多信息请参见共享函数。云原生应用网络 ANC anc:service（服务）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享ANC的服务，您可以将账号A所属的ANC的服务同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，共享ANC的服务可以接收不同账号下VPC内客户端的访问请求，有助于管理多账号下的资源，提升资源的管控效率。 anc:anc（云原生应用网络）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享云原生应用网络，您可以将账号A所属的云原生应用网络同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，VPC内客户端可以访问不同账号下ANC的服务，实现统一管理多账号下的资源。 NAT网关 NAT nat:transitSubnet 是基于资源访问管理（Resource Access Manager，简称RAM）服务，可以实现跨账号共享中转子网，资源所有者将中转子网同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以在中转子网下创建中转IP用于打通跨租户VPC网络。父主题：附录

资源访问管理 RAM 附录

资源访问管理 RAM-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务 (OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

资源访问管理 RAM

资源访问管理 RAM-支持审计的关键操作:支持审计的关键操作列表

支持审计的关键操作列表表1 云审计服务支持的RAM操作列表操作名称资源类型事件名称创建资源共享实例 ResourceShare createResourceShare 删除资源共享实例 ResourceShare deleteResourceShare 更新资源共享实例 ResourceShare updateResourceShare 为资源共享实例中包含的资源类型添加或替换RAM权限 ResourceShare associateResourceSharePermission 取消资源共享实例关联的RAM权限 ResourceShare disassociateResourceSharePermission 向资源共享实例增加角色和资源 ResourceShare associateResourceShare 取消角色和资源与资源共享实例的关联 ResourceShare disassociateResourceShare 接受资源共享实例的邀请 ResourceShare acceptResourceShareInvitation 拒绝资源共享实例的邀请 ResourceShare rejectResourceShareInvitation 开启与组织的共享 ResourceShare enableShareWithOrganization 关闭与组织的共享 ResourceShare disableShareWithOrganization 资源共享实例添加标签 ResourceShare tagResource 资源共享实例删除标签 ResourceShare untagResource

资源访问管理 RAM 使用CTS审计RAM操作事件

资源访问管理 RAM-RAM自定义策略:RAM自定义策略样例

RAM自定义策略样例示例1：授权用户可以接受共享邀请 { "Version": "1.0", "Statement": [ { "Effect": "Allow", "Action": [ "ram:resourceShareInvitations:accept", ], "Resource": "*" } ] } 示例2：授权用户可查看权限列表和内容 { "Version": "1.0", "Statement": [ { "Effect": "Allow", "Action": [ "ram:permissions:list", "ram:permissions:get", ], "Resource": "*" } ] }

资源访问管理 RAM

资源访问管理 RAM-创建用户并授权使用RAM:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的RAM权限，并结合实际需求进行选择，RAM支持的系统权限如表1所示。若您需要对除RAM之外的其他服务授权， IAM 支持服务的所有权限请参见系统权限。表1 RAM系统权限权限名称描述 RAM FullAccess 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。

资源访问管理 RAM 权限管理

资源访问管理 RAM-启用与组织共享资源:操作场景

操作场景当您的账号由华为云Organizations管理时，您可以利用此优势更轻松地共享资源。如果您的账号在组织中，则您可以与单个账号共享，也可以与整个组织或OU中的所有账号共享，而不必枚举每个账号。要在组织内共享资源，您还需先使用RAM控制台来启用与组织共享资源。当您在组织中共享资源时，您组织中的账号无需接受邀请即可访问和使用共享资源。如果您不再需要与整个组织或OU共享资源，您可以禁用与组织共享资源，该功能禁用后，创建共享时指定的使用者将无法选择组织。仅组织管理员才可启用或禁用与组织共享功能，其他角色无权操作。在启用与组织共享资源期间，如果组织的成员账号主动退出组织或被管理员移出组织，该成员账号创建的资源共享实例中将解绑同组织的资源使用者；组织中共享给此成员账号的资源共享实例中将解绑此成员账号。在启用与组织共享资源期间，如果组织管理员删除某个OU，则共享给此OU的资源共享实例中将解绑此OU。在启用与组织共享资源期间，如果删除整个组织，则与组织共享的资源共享实例中将解绑组织内的全部账号。

资源访问管理 RAM

资源访问管理 RAM-接受/拒绝共享邀请:操作场景

操作场景要访问共享资源，资源所有者必须将您指定为共享资源的使用者。如果资源所有者与您属于同一组织，且启用“启用与组织共享资源”功能，则您将自动获得共享资源的访问权限，无需接受邀请。如果资源所有者与您不属于同一组织，或者属于同一组织但未启用“启用与组织共享资源”功能，则您将收到加入资源共享实例的邀请。如果您收到加入资源共享实例的邀请，则必须接受该邀请才能访问其共享的资源。这些资源可直接在每个资源的管理控制台上使用。如果您拒绝资源共享实例的邀请，您将无法访问此共享资源。资源共享实例的邀请默认保留7天，如果您在到期前未接受邀请，系统会自动拒绝邀请，如您还需使用共享资源，请再次创建共享实例以生成新的邀请。

资源访问管理 RAM 使用共享资源

资源访问管理 RAM-共享您的资源概述

共享您的资源概述资源访问管理（Resource Access Manager，简称RAM）服务为用户提供安全的跨账号共享资源的能力。如果您有多个账号，您可以创建一次资源，并使用RAM服务将该资源共享给其他账号使用。如果您的账号由组织管理，则您可以直接与组织、OU或成员账号共享资源，还可以输入账号ID与账号共享，无论账号是否属于组织。本章节将为您介绍如下内容：创建共享更新共享查看共享删除共享查看您共享的资源查看资源使用者父主题：共享您的资源

资源访问管理 RAM 共享您的资源

资源访问管理 RAM-支持共享的云服务和资源类型

支持共享的云服务和资源类型表1 支持共享的云服务和资源类型云服务资源类型是否支持主动退出共享应用场景虚拟私有云 VPC vpc:subnet（子网）是共享VPC功能支持多个账号在一个集中管理、共享的VPC内创建云资源，比如ECS、ELB、RDS等。VPC的所有者可以将VPC内的子网共享给一个或者多个账号使用。通过共享VPC功能，可以简化网络配置，帮助您统一配置和运维多个账号下的资源，有助于提升资源的管控效率，降低运维成本。更多信息请参见共享VPC。云解析服务 DNS dns:zone（内网域名）是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享内网域名，资源所有者将内网域名同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的内网域名。更多信息请参见共享内网域名。 dns:resolverRule（解析器规则）是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享转发规则，资源所有者将转发规则同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的转发规则。更多信息请参见共享转发规则。 SSL证书管理 SCM scm:cert（证书）是云证书管理服务提供共享功能，用户可以将SSL证书同时共享给同一组织单元内的所有成员账号，这些账号可以将共享证书部署到ELB、WAF和CDN等服务，以启用HTTPS协议。更多信息请参见共享证书。私有证书管理 PCA pca:ca（私有CA）是云证书管理服务私有证书管理提供共享功能，用户可以将私有CA同时共享给同一组织单元内的所有成员账号，这些账号可以使用共享CA来签发证书。更多信息请参见共享私有CA。企业路由器 ER er:instances（实例）是基于资源访问管理（Resource Access Manager，简称RAM）服务，可以实现跨账号共享企业路由器，您可以将账号A所属的企业路由器同时共享给多个其他账号，比如账号B、账号C以及账号D等。通过共享功能，可以在同一个企业路由器中接入不同账号下的虚拟私有云，构建云上同区域组网。更多信息请参见共享概述。函数工作流 FunctionGraph functiongraph:function（函数）是基于资源访问管理（Resource Access Manager，简称RAM）服务，函数工作流服务可以实现跨账号共享函数，资源所有者将函数同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的函数。更多信息请参见共享函数。云原生应用网络 ANC anc:service（服务）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享ANC的服务，您可以将账号A所属的ANC的服务同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，共享ANC的服务可以接收不同账号下VPC内客户端的访问请求，有助于管理多账号下的资源，提升资源的管控效率。 anc:anc（云原生应用网络）是基于资源访问管理（Resource Access Manager，简称RAM），可以实现跨账号共享云原生应用网络，您可以将账号A所属的云原生应用网络同时共享给多个其他账号，比如账号B、账号C等。通过共享功能，VPC内客户端可以访问不同账号下ANC的服务，实现统一管理多账号下的资源。 NAT网关 NAT nat:transitSubnet 是基于资源访问管理（Resource Access Manager，简称RAM）服务，可以实现跨账号共享中转子网，资源所有者将中转子网同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以在中转子网下创建中转IP用于打通跨租户VPC网络。

资源访问管理 RAM

资源访问管理 RAM-约束与限制

约束与限制 RAM的使用限制如下表所示，如果默认配额无法满足业务需求，您可以申请扩大配额，具体请参见：调整配额。不同类型的账号之间无法共享资源，具体说明如下：华为云中国站与国际站账号之间无法共享资源。华为内部账号与外部账号之间无法共享资源。表1 RAM使用限制类型默认配额是否支持修改单账号创建的资源共享实例数量 1000 是单个资源共享实例关联的资源数量 50 是单个资源共享实例关联的权限数量 50 是单个资源共享实例关联的资源使用者数量 50 是单账号中所有资源共享实例关联的资源数量 5000 是单账号中所有资源共享实例关联的权限数量 5000 是单账号中所有资源共享实例关联的资源使用者数量 5000 是单账号中待接受的共享邀请数量（发送邀请方）说明：该配额限制仅适用于给组织外的账号发送共享邀请的情况。对于接受邀请的账号中可存在的待接受共享邀请数量没有配置限制。当已启用与组织共享资源开关，同一组织内的账号之间进行的资源共享不涉及邀请。 50 是单个资源共享实例的标签数 20 是被删除的资源共享实例的保留时间 48小时否被解除的资源共享关联保留时间 48小时否单个资源使用者可以被共享的VPC子网最大数量 100 否

资源访问管理 RAM

资源访问管理 RAM-权限管理:RAM权限

RAM权限默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户可以基于已有权限进行对应的操作。 RAM部署时不区分物理区域，为全局级服务。授权时，在全局级服务中设置权限，访问RAM时，不需要切换区域。根据授权精细程度分为角色和策略。角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。如表1所示，包括了RAM的所有系统权限。表1 RAM系统权限权限名称描述 RAM FullAccess 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。表2列出了RAM常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。“√”表示支持，“×”表示暂不支持。表2 常用操作与系统权限的关系操作 RAM FullAccess RAM ReadOnlyAccess RAM ResourceShareParticipantAccess 检索共享资源权限列表 √ √ x 检索共享资源权限内容 √ √ x 创建资源共享实例 √ x x 检索资源共享实例 √ √ √ 更新资源共享实例 √ x x 删除资源共享实例 √ x x 绑定资源使用者和共享资源 √ x x 移除资源使用者和共享资源 √ x x 检索绑定的资源使用者和共享资源 √ √ x 绑定或替换共享资源权限 √ x x 移除共享资源权限 √ x x 检索绑定的共享资源权限 √ √ x 检索共享的资源 √ √ √ 检索资源使用者 √ √ √ 接受共享邀请 √ x √ 拒绝共享邀请 √ x √ 检索共享邀请 √ √ √ 启用与组织共享 √ x x 关闭与组织共享 √ x x 检索是否启用与组织共享 √ √ x

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:产品功能

产品功能资源共享管理使用RAM服务，资源所有者可以集中管理资源的共享。资源所有者可以将指定资源共享给指定对象（包括组织、OU以及账号），资源所有者还可以随时更新或删除资源共享实例。资源使用者可以接受或拒绝共享邀请，查看当前正在使用的共享信息，以及在共享资源使用结束后退出共享。共享信息查询资源所有者可以查询当前已经共享的资源信息，以及资源使用者的相关信息。资源使用者可以查询当前正在使用的共享资源信息，以及资源所有者信息。与组织共享资源 RAM启用与组织共享资源功能后，资源所有者可以将指定资源共享给组织、OU或成员账号，组织内的账号默认接受该共享邀请。

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:简介

简介资源访问管理（Resource Access Manager，简称RAM）服务为用户提供安全的跨账号共享资源的能力。如果您有多个华为云账号，您可以创建一次资源，并使用RAM服务将该资源共享给其他账号使用，这样您就不需要在每个账号中创建重复的资源。支持共享的云服务和资源类型请参见：支持共享的云服务和资源类型。如果您的账号由组织管理，则您可以直接与组织、OU或成员账号共享资源，还可以输入账号ID与账号共享，无论账号是否属于组织。

资源访问管理 RAM

资源访问管理 RAM-共享您的资源:准备工作

准备工作如果您已有一个华为账号，请忽略此步骤。如果您还没有华为账号，请参考以下步骤创建。打开华为云官网，单击“注册”。根据提示信息完成注册，详细操作请参见“ 注册华为账号并开通华为云”。注册成功后，系统会自动跳转至您的个人信息界面。参考个人账号如何完成实名认证或企业账号如何完成实名认证，完成个人或企业账号实名认证。为账号充值。 RAM为免费服务，使用RAM服务的相关功能不收取任何费用。但共享的资源自身可能会存在收费的情况，关于各付费云服务的价格详情请参见产品价格详情。您需要确保账号有足够的余额，避免因账号余额不足或欠费导致相关资源无法共享。如何充值请参见账户充值。

资源访问管理 RAM

云服务器内容精选

资源访问管理 RAM

7*24

备案

专业服务

退订

建议反馈

售前咨询热线