阿里云国际 RAM 子账号实践：别再把主账号给全团队用

主账号等于整个云资产的钥匙：能删所有资源、能看账单、能改支付方式。把主账号密码发到工作群里，等于把公司机房大门钥匙复制给每个人。阿里云的 RAM（Resource Access Management） 就是解决这个问题的：主账号收起来，每人一个子账号，按岗位给权限。

快速上手：给开发建一个只管 ECS 的子账号

1. RAM 控制台 → 用户 → 创建用户
2. 勾选「控制台访问」（日常操作）或「OpenAPI 调用访问」（程序用），两者尽量分开建
3. 设置首次登录必须改密码 + 绑定 MFA
4. 授权：直接挂系统策略 AliyunECSFullAccess（只管 ECS），或只读则用 AliyunECSReadOnlyAccess
5. 把子账号专属登录地址发给同事（RAM 用户有独立登录入口）

常用系统策略速查

原则：先给只读，确有需要再升写权限；宁可多建几个精细策略，不要图省事给 AdministratorAccess。

主账号该怎么用

• 只做三件事：付费/充值、RAM 管理、极少数全局设置
• 必须绑定 MFA
• 不生成主账号的 AccessKey——程序一律用子账号 Key，泄露了也好回收

审计与回收

1. ActionTrail 记录所有操作，出事可以查「谁在什么时候做了什么」
2. 员工转岗/离职：当天禁用子账号，而不是只改密码
3. 每季度过一遍用户列表：长期未登录的禁用，权限过大的降级
4. AccessKey 定期轮换，泄露到 GitHub 的 Key 几分钟内就会被扫到利用

检查清单

• 主账号 MFA 已开、密码只有负责人知道
• 每个成员一个子账号，无共用
• 程序用子账号 AccessKey，与人的账号分离
• 离职回收流程写进交接清单

常见问题

如何开通并登录该国际云账号？

先确认使用的是国际站而非中国站。可按本文步骤办理；也可通过申请账号开通并用 USDT-TRC20 支付订单。交付后请立即开启 MFA，并核对账号邮箱与 UID。

国际站账号和中国站账号能通用吗？

通常不能。国际站与中国站多为独立账号体系，控制台、结算与产品权限不互通，请使用对应站点的登录入口，避免串站导致无法登录或资源不可见。

没有海外信用卡能否完成开通或充值？

可以走平台支持的 USDT-TRC20 订单支付与自助充值。支付时务必按订单显示的精确金额转账，并在区块链浏览器确认网络、地址与状态。

延伸阅读与下一步

• 阿里云国际 ECS 密钥对登录配置：比密码更安全的 SSH 方式
• 云账号登录加固：双因子、登录来源与凭据分级怎么落地