阿里云企业工作台-权限+配额完整落地方案（企业标准化版本）

阿里云企业工作台｜权限\+配额完整落地方案（企业标准化版本）

规范MDv1.0

# 阿里云企业工作台｜权限\+配额完整落地方案（企业标准化版本）

阿里云企业工作台｜权限 + 配额完整落地方案（企业标准化版本）

适用：中大型企业阿里云云上治理、企业统一工作台、多账号 / 单账号两种架构；遵循最小权限原则、职责分离、资源配额隔离、财务成本管控、审计可追溯五大规范体系构成四层：账号组织架构 → 人员角色权限体系 (RAM / 云 SSO) → 资源配额体系 (配额中心 + 财务信控) → 管控策略 + 审批流程

一、整体架构选型（二选一）

方案 A：单账号架构（中小企业，业务简单，≤10 人团队）

适合：单一业务线、生产测试混合同账号层级：主账号（超级管控）→ RAM 用户 / 用户组 → 资源组（按环境 / 项目划分）→ 配额模板

方案 B：资源目录多账号架构（推荐，中大型企业，多业务 / 环境隔离）

【管理主账号Master】（禁止部署业务资源，只做管控）
├─资源夹：共享服务账号（网络、监控、堡垒机）
├─资源夹：安全审计账号（WAF、配置审计、SLS日志集中存储）
├─资源夹：业务环境分组
   ├─生产环境资源夹 → 生产账号（业务A、业务B）
   ├─预发环境资源夹 → 预发账号
   └─测试/开发资源夹 → 开发测试账号

配套：云 SSO 统一身份登录 + 资源目录管控策略 (CP) + 全局配额模板 + 企业财务管理信控

二、第一部分：企业工作台人员角色 & 权限分布（完整角色清单）

2.1 标准岗位角色定义（可直接落地）

角色名称	岗位职责	登录身份类型	安全基线要求
云平台超级管理员	组织架构、RAM 权限、管控策略、配额模板、财务授信、账号创建；最高权限	Master 主账号限量使用 + 专用 RAM 管理员	强制 MFA、IP 白名单、禁止日常操作业务资源
云权限管理员 (IAM 管理员)	仅管理 RAM 用户、用户组、自定义策略、云 SSO 人员；无资源创建权限	RAM 用户（主账号内）	不能管理财务、不能申请资源配额
财务成本管理员	账单、预算、信控额度、发票、消费报表；无任何云资源操作权限	RAM 用户	禁止开通 ECS/RDS 等资源权限
安全审计管理员	配置审计、操作审计 (ActionTrail)、日志 SLS、WAF、漏洞扫描、安全策略	RAM / 跨账号 SSO 角色	只读为主，仅可下发安全规则
生产运维管理员	生产账号资源启停、变更、扩容、监控；禁止删除核心业务资源	各业务账号 RAM 角色	生产删除操作强制审批
预发 / 测试运维	预发、测试环境全量资源管理	RAM 角色	禁止访问生产账号
后端开发工程师	测试环境资源创建 / 调试；生产资源只读	RAM 用户	生产禁止实例重启、磁盘变更
前端 / 测试工程师	仅测试环境资源查看，少量调试权限	RAM 只读策略	无创建付费资源权限
外部外包 / 临时人员	限时只读访问测试环境	STS 临时令牌（有效期≤7 天）	自动过期，禁止 AK 密钥
自动化程序账号 (CI/terraform)	API 自动化创建资源、发布流水线	RAM 程序账号（仅 API 访问）	控制台登录禁用，定期轮换 AK

2.2 权限策略分级（系统内置策略 + 自定义精细化策略）

2.2.1 全局权限边界（资源目录管控策略 CP【多账号架构必配】）

管控策略作用：定义整个组织权限天花板，下级 RAM 无法突破，附加到根资源夹全局生效强制全局规则清单：

所有高权限账号必须开启 MFA，无 MFA 禁止删除 ECS、RDS、数据库实例
禁止普通 RAM 用户转让资源、修改资源归属
生产账号禁止开放 [0.0.0.0/0](0.0.0.0/0) 安全组规则
禁止未经审批批量释放按量付费实例
所有资源必须强制打上标签 Business、Environment、Owner、CostCenter

⚠️重点：管控策略≠授权，只是限制上限；真正授权依旧依靠 RAM 权限策略

2.2.2 各角色授权清单（可直接在 RAM 配置）

1）云平台超级管理员

系统策略：AdministratorAccess（谨慎分配，仅 1~2 人）
附加自定义条件：仅公司办公出口 IP 允许登录
约束：不日常登录，重大变更双人复核

2）IAM 权限管理员

{
    "Version": "1",
    "Statement": [
        {"Effect":"Allow","Action":["ram:*","resourcemanager:List*","cloudsso:*"],"Resource":"*"},
        {"Effect":"Deny","Action":["billing:*","ecs:*","rds:*","quota:*"],"Resource":"*"}
    ]
}

3）财务成本管理员

允许：账单查询、预算设置、消费分析、信控额度查看禁止：资源创建、配额申请、实例操作系统策略推荐：AliyunBillingReadOnlyAccess + 自定义允许预算管理

4）安全审计管理员（只读优先）

允许：ActionTrail、配置审计、SLS 日志、安全中心、WAF 规则查看禁止：删除日志、释放安全产品资源

5）生产运维（核心精细化策略示例）

允许：ECS 启停、磁盘扩容、快照创建、监控查看、VPC 配置变更
拒绝：ECS 实例释放、RDS 实例删除、数据库备份删除、EIP 释放
生效范围：仅【生产账号】资源，通过资源标签 / 资源组限制

6）开发人员标准策略

测试环境：允许创建、修改、释放资源
生产环境：全部资源只读（Describe/List/Get 类接口）

推荐使用 AliyunECSReadOnlyAccess 等只读系统策略叠加资源组条件

2.3 权限分配落地规则

优先使用用户组授权，禁止直接给单个 RAM 用户绑定策略
全部权限通过资源组 / 资源标签做范围隔离，杜绝Resource:"*"无差别授权
定期（每月）权限清理：离职员工立即回收权限，清理长期未使用 RAM 用户
禁止普通人员持有主账号 AK 密钥；所有程序使用 RAM 角色 / STS 临时凭证

三、第二部分：配额体系完整设置（三大配额维度，最容易遗漏）

阿里云配额分为三类，在企业工作台统一管控：

云产品资源配额（配额中心 Quota Center：ECS 数量、EIP、磁盘、API 调用频次）
财务消费配额（企业财务管理：账号信控额度、预算阈值、欠费停机策略）
身份系统配额（RAM 上限：RAM 用户数量、角色数量、访问密钥数量）

3.1 配额层级架构（多账号企业标准）

管理账号配置【全局配额模板】
新建业务账号自动继承配额模板（配额中心模板功能）
每个业务账号内部划分：生产 / 预发 / 测试独立配额上限
配置配额告警（云监控），用量达到 80% 推送通知管理员

3.2 核心云产品配额分配参考模板（可直接提交阿里云申请）

说明：默认配额较低，企业业务必须通过配额中心提交工单调整；区分环境隔离配额

生产账号配额模板（稳定业务，严控上限）

产品	配额项	分配额度	说明
ECS	按量付费实例数	60 台	禁止无限制创建
ECS	包年包月实例数	40 台
VPC	EIP 数量	30 个
RDS MySQL	实例数量	15 个
OSS	Bucket 数量	30 个
SLB	负载均衡实例	15 个
API 网关	QPS 配额	2000
通用	单账号安全组数量	100

预发 / 测试账号配额模板（弹性可控，防止滥用）

产品	配额项	分配额度
ECS 按量实例	30 台
EIP	10 个
RDS 实例总数	8 个
OSS Bucket	15 个

策略：测试环境不长期保留资源，设置定时释放脚本，降低资源占用

3.3 财务信控配额（企业财务管理核心，成本防失控）

企业总授信额度由商务开通后，管理账号拆分信控额度分配给各个成员账号
- 生产账号：分配较高月度信控
- 测试账号：设置较低上限，到达额度限制新资源创建
预算分层配置：
- 集团总预算 → 业务线预算 → 环境预算（生产 / 测试）
阈值告警：预算消耗 70% 通知负责人；90% 预警；100% 禁止新增按量付费资源

3.4 配额权限管控（谁能调整配额？）

✅云平台超级管理员：全部配额查看、申请、修改模板
✅运维负责人：仅可查看配额、提交配额提升申请，无审批权限
❌开发、测试人员：禁止任何配额修改、配额申请权限 RAM 权限：
配额管理完整权限：AliyunQuotasFullAccess
配额只读查看权限：AliyunQuotasReadOnlyAccess

3.5 配额运维规范

所有配额变更留存工单记录，登记原因、有效期
临时扩容配额设置过期时间，到期自动回落基线
每季度做配额审计，回收闲置过高配额

四、第三部分：企业工作台资源分组划分（权限 + 配额联动载体）

无论单账号 / 多账号，必须启用【资源组】，作为权限边界与配额统计单元

标准资源组规划

ResourceGroup-Prod 生产资源组
ResourceGroup-Staging 预发资源组
ResourceGroup-Test 测试资源组
ResourceGroup-Shared 共享基础设施（堡垒机、监控）

联动规则

RAM 授权：权限策略限定 acs:resourcegroup/ResourceGroup-Prod
账单分账：按资源组维度导出成本报表
配额监控：按资源组统计资源用量

五、第四部分：审批流程（企业工作台完整流转）

5.1 四类核心申请流程

人员权限开通 / 调整申请 申请人→部门负责人→云平台管理员审批 → RAM 授权 + 设置有效期（临时权限≤90 天）
资源配额提升申请 运维提交 → 财务确认成本 → 云管理员在配额中心提交扩容
生产资源高危操作审批（实例删除、数据库释放、EIP 解绑）开发 / 运维提交工单 → 运维负责人审批 → 操作审计全程记录
信控额度调整申请 业务负责人 → 财务 → 云超级管理员分配额度

5.2 审计追溯要求

全局开启【操作审计 ActionTrail】日志永久存储（≥180 天，合规要求）
所有权限变更、配额调整、高危资源操作必须留有工单编号

六、第五部分：单账号简易部署步骤 & 多账号企业级部署步骤

方案 A｜单账号落地步骤（中小企业）

主账号创建 RAM 用户组：运维组、开发组、财务组、审计组
创建自定义 RAM 权限策略，绑定至用户组，按资源组隔离权限
配额中心创建两套配额模板（生产、测试）
云监控配置配额使用率告警、预算告警
开启操作审计、MFA 强制策略
建立权限季度巡检机制

方案 B｜资源目录多账号企业级部署（推荐完整版）

使用主账号开通【资源目录】，创建资源夹（生产 / 预发 / 测试 / 共享）
创建各环境成员账号，禁止在 Master 账号部署业务
开通【云 SSO】，统一员工登录入口，打通企业内部账号
在资源目录根附加管控策略 CP，设置全局安全底线
配额中心配置全局配额模板，新建账号自动继承基线配额
开通【企业财务管理】，统一分配各账号信控额度、预算管控
配置跨账号审计：所有成员账号日志统一投递至独立审计账号 SLS
标准化 RAM 角色模板，所有业务账号统一预置运维 / 开发角色权限

七、风险红线清单（强制禁止项）

❌禁止开发人员拥有生产资源删除权限
❌禁止普通人员持有主账号 AccessKey
❌禁止权限策略直接写 Resource:“*”，不做资源组 / 标签限制
❌禁止测试账号配额无限扩容，无消费上限
❌禁止多人共享同一个 RAM 账号，一人一号
❌权限长期不回收，离职人员云上身份未清理
❌配额提升无审批、无记录，随意申请高规格配额

八、可交付输出物清单（你可以直接用于内部文档）

《阿里云企业云上角色权限矩阵表》（本文 2.2 章节可导出 Excel）
《RAM 自定义权限策略 JSON 包》（运维 / 开发 / 财务 / 审计）
《云产品配额基线模板（生产 / 测试两套）》
《资源目录管控策略 (CP) 完整文本》
《权限变更 & 配额调整工单流程模板》

如果你需要，我可以下一步输出：

可直接复制导入阿里云的完整 RAM 自定义策略 JSON 代码
输出 Excel 格式《权限配额分配总表》文本版本
输出资源目录管控策略完整 Policy 代码或者告诉我：你们企业目前是【单阿里云账号】还是准备搭建【资源目录多账号架构】，我针对性精简适配。

（注：部分内容可能由 AI 生成）