告别烦人验证码！阿里云RAM(Resource Access Management, 资源访问控制)子账号，还你一个清爽的开发体验！

原创已于 2025-11-19 15:07:12 修改 · 446 阅读

CC 4.0 BY-SA版权

文章标签：

于 2025-11-19 15:06:59 首次发布

31 篇文章

订阅专栏

嘿，各位奋斗在代码世界的兄弟姐妹们！

你是否经历过这样的绝望瞬间：

正在调试一个紧急的线上问题，需要登录阿里云控制台重启个服务…

屏幕上赫然出现：“为了您的账户安全，请输入手机验证码” 📱

而那个绑定了手机号的老板/管理员，正在飞往马尔代夫的飞机上… ✈️

你的内心：🤯😭😡🤬

今天，我们就来彻底终结这场噩梦！这一切的根源，在于你（或者你的团队）还在用那个至高无上的阿里云主账号（Root Account） 在进行日常开发和运维。

把主账号想象成古代的皇帝玉玺 👑，它拥有一切权力，但也正因如此，安保系统（也就是烦人的验证码和MFA (Multi-Factor Authentication, 多因素认证)）对它严防死守。而我们开发者，其实只需要一把能打开自己办公室和实验室的工作钥匙 🔑 就够了。

这把“工作钥匙”，就是 RAM (Resource Access Management, 资源访问控制) 用户（子账号）！下面，就跟我一起，三步走，打造一把属于你自己的、免验证码烦恼的“神仙钥匙”！

首先，我们需要让手持“玉玺”的管理员（或者你自己登录主账号），进入 访问控制 RAM (Resource Access Management, 资源访问控制) 控制台。

找到入口：在阿里云控制台左侧导航，找到 身份管理 -> 用户，然后勇敢地点击 “创建用户”！
命名你的钥匙：
- 登录名称：给它一个酷炫又好记的英文名，比如 devops、ops-admin。
- 显示名称：写上中文备注，比如“自动化运维专用”，防止以后忘了它是干啥的。
选择开锁方式（访问方式）：这是关键！
- [✅] 控制台访问：勾选这个，你才能用密码登录网页控制台。🖥️
- [✅] 使用永久 AccessKey 访问：务必勾选！ 这是给你的自动化脚本、CI/CD (Continuous Integration/Continuous Deployment, 持续集成/持续部署) 流水线用的“程序身份证”，是实现自动化运维的灵魂！🤖

点击“确定”后，你会来到整个流程中唯一一次能看到所有秘密的页面！

⚠️ 高能预警！高能预警！高能预警！ ⚠️

这个页面会显示你的：

正确姿势：
立刻点击 “下载 CSV 文件” 按钮，然后把这个文件锁进你的数字保险箱里（比如 1Password, KeePass 等密码管理器）。千万别截图！千万别发微信！千万别直接扔在桌面上！

现在你的钥匙还是个“毛坯”，开不了任何门。我们需要给它授权。

回到用户列表，找到刚创建的 devops 用户，点击右侧的 “添加权限”。

这时，你会面临一个哲学问题：我该给它多大的权力？

【禁忌之选 💀】AdministratorAccess (管理员权限)
- 这是什么：相当于你复制了一把皇帝的玉玺。拥有它，就拥有了一切。
- 为什么危险：你的自动化脚本万一有漏洞，或者你的 AccessKey (访问密钥) 不小心提交到了 GitHub… 黑客拿到它，就能在你的账户里开矿场、删数据库、甚至把你踢出局！😱
【明智之选 👍】PowerUserAccess (超级用户权限)
- 这是什么：这就像给了你一张“CEO特助”的工牌。你可以调动公司所有业务资源（服务器、数据库等）去完成工作。
- 安全在哪：但你不能插手“人事部(RAM (Resource Access Management, 资源访问控制))”和“财务部(Billing)”。也就是说，你不能自己再造一把钥匙，也不能动公司的钱。这极大地降低了风险！
【专家之选 🚀】精细化授权 (按需授权)
- 这是什么：就像一个工具箱，你需要用锤子，就只给你一把锤子。你需要操作容器，就只给你 AliyunACKFullAccess 权限。
- 优点：权限最小化，最安全！是企业级应用的最佳实践。

当你选择高风险权限时，阿里云会弹出最后的“灵魂拷问”，强烈推荐你使用更安全的 PowerUserAccess。听它的，没错！

核心痛点：直接使用主账号开发
- 权限过高，存在安全风险
- 操作敏感，频繁触发手机或MFA (Multi-Factor Authentication, 多因素认证) 验证
- 凭证（主账号密码/AK (AccessKey, 访问密钥)）泄露 = 灾难
解决方案：使用RAM (Resource Access Management, 资源访问控制) 子账号
- 第一步：创建用户
  - 命名：devops
  - 访问方式：必须同时勾选“控制台访问”和“AccessKey (访问密钥) 访问”
- 第二步：保存凭证
  - 关键：初始密码和AccessKey (访问密钥) Secret仅显示一次
  - 最佳实践：下载CSV文件并存入密码管理器
- 第三步：为用户授权
  - 权限策略对比
    - AdministratorAccess：禁忌，风险极高
    - PowerUserAccess：推荐，平衡了功能与安全
    - 精细化授权：专家级，最安全
最终收益
- 提升安全：遵循最小权限原则，隔离风险
- 提升效率：日常操作不再需要繁琐的身份验证
- 责任清晰：每个开发者使用自己的账号，操作可追溯