RAM User: สร้างผู้ใช้ แบ่งสิทธิ์ เปิด MFA บน Alibaba Cloud

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["oss:GetObject", "oss:PutObject", "oss:ListObjects"],
      "Resource": [
        "acs:oss:*:*:example-backup",
        "acs:oss:*:*:example-backup/*"
      ]
    }
  ]
}

ขั้นตอนที่ 4: สร้าง RAM User สำหรับแต่ละคน

ไปที่ Identities > Users คลิก Create User แล้วกรอกส่วน User Account Information

• Logon Name: ใช้ได้ทั้งตัวอักษร ตัวเลข จุด ขีดกลาง และขีดล่าง ยาวไม่เกิน 64 ตัว เช่น somchai.dev ระบบจะต่อท้ายด้วยโดเมนของบัญชีเป็น [email protected]
• Display Name: ชื่อที่อ่านเข้าใจ เช่น Somchai (Dev)
• Access Mode: เลือก Console Access สำหรับคน แล้วให้ระบบสร้าง Logon Password ให้ ติ๊ก Password Reset ให้ผู้ใช้ตั้งรหัสใหม่ตอนล็อกอินครั้งแรก และคง Enable MFA เป็นแบบบังคับ

คอนโซลแนะนำให้เลือกโหมดเดียวต่อผู้ใช้ อย่าเปิดทั้ง Console Access และ Permanent AccessKey ให้คนเดียวกัน เมื่อกดยืนยัน ระบบจะแสดงรหัสผ่านเพียงครั้งเดียว ให้ส่งให้ผู้ใช้ผ่านช่องทางที่ปลอดภัย ผู้ใช้ใหม่ยังไม่มีสิทธิ์ใดจนกว่าจะถูกเพิ่มเข้ากลุ่มหรือได้รับ Policy

ขั้นตอนที่ 5: เพิ่ม RAM User เข้ากลุ่มและบังคับ MFA

เปิด Identities > User Groups คลิกชื่อกลุ่ม แล้วเพิ่มสมาชิกจากรายชื่อผู้ใช้ เมื่อผู้ใช้ล็อกอินครั้งแรก ระบบจะให้ผูกอุปกรณ์ MFA (ผู้ใช้ทำเองได้ที่เมนูโปรไฟล์ > Security Information แล้วคลิก Bind VMFA) Alibaba Cloud เริ่มทยอยบังคับ MFA ตอนล็อกอินสำหรับผู้ใช้ย่อยทุกคนตั้งแต่เดือนมีนาคม 2025 แต่คุณควรตรวจนโยบาย MFA ระดับบัญชีให้เปิดไว้เองด้วย ไม่ต้องรอระบบ

ให้ผู้ใช้ทดลองล็อกอินผ่านลิงก์สำหรับ RAM User ที่หน้า Overview ของ RAM console แล้วเปิดบริการที่ได้รับสิทธิ์ ถ้าเห็นข้อความว่าไม่มีสิทธิ์ แปลว่ายังไม่ได้อยู่ในกลุ่ม หรือ Policy ผูกไว้คนละ Resource Group

ขั้นตอนที่ 6: แยก RAM User สำหรับโปรแกรมและดูแล AccessKey

โปรแกรม สคริปต์ และ CI/CD ควรมี RAM User ของตัวเอง เช่น ci-deploy สร้างด้วย Access Mode แบบ Permanent AccessKey ติ๊กยืนยันว่าต้องการสร้างคีย์ แล้วเก็บ AccessKey Secret ทันที เพราะระบบแสดงให้เห็นครั้งเดียว ผูกสิทธิ์ให้แคบที่สุด เช่น นโยบาย example-backup จากขั้นตอนที่ 3

• ถ้าโปรแกรมรันบน ECS ให้ใช้ RAM Role ของเครื่อง หรือ STS token ชั่วคราวแทนคีย์ถาวรเมื่อทำได้
• RAM User หนึ่งคนมี AccessKey ได้สูงสุด 2 ชุด ไว้สำหรับหมุนเวียน: สร้างคีย์ใหม่ เปลี่ยนในโปรแกรม ปิดคีย์เก่า (Disable) รอดูสักระยะว่าไม่มีอะไรพัง แล้วจึงลบ
• ห้ามใส่คีย์ในโค้ดหรือ Git ให้เก็บใน secret ของ CI หรือไฟล์ตั้งค่าที่จำกัดสิทธิ์อ่าน

ตรวจว่าโปรแกรมใช้ตัวตนถูกต้องด้วย Alibaba Cloud CLI ผลลัพธ์ต้องแสดง IdentityType เป็น RAMUser ไม่ใช่บัญชีหลัก

aliyun configure --profile ci-deploy
aliyun sts GetCallerIdentity --profile ci-deploy

ปัญหาที่พบบ่อยเกี่ยวกับ RAM User

RAM User ล็อกอินได้แต่ทุกหน้าขึ้นว่าไม่มีสิทธิ์ ต้องแก้ที่ไหน?

เปิด Identities > Users คลิกชื่อผู้ใช้แล้วดูแท็บสิทธิ์และกลุ่มที่สังกัด ถ้าไม่มี Policy เลยให้เพิ่มเข้ากลุ่มที่ถูกต้อง ถ้ามี Policy แต่ผูกแบบ Resource group level ผู้ใช้ต้องสลับ Resource Group ที่แถบด้านบนของคอนโซลให้ตรงก่อนจึงจะเห็นทรัพยากร

ลืมเก็บ AccessKey Secret ตอนสร้าง ดูย้อนหลังได้ไหม?

ดูไม่ได้ ระบบแสดง Secret เพียงครั้งเดียว ให้สร้าง AccessKey ชุดใหม่ให้ผู้ใช้เดิม เปลี่ยนค่าในโปรแกรม แล้วปิดและลบชุดที่หาย ถ้ามีคีย์ครบ 2 ชุดแล้วต้องลบชุดที่ไม่ใช้ก่อน

พนักงานทำมือถือหาย เข้า MFA ไม่ได้ ทำอย่างไร?

ผู้ดูแลที่มีสิทธิ์ RAM เปิดหน้าผู้ใช้คนนั้นแล้วยกเลิกการผูกอุปกรณ์ MFA เดิม จากนั้นให้ผู้ใช้ล็อกอินใหม่และผูกอุปกรณ์ใหม่ ก่อนยกเลิกควรยืนยันตัวตนพนักงานทางช่องทางอื่น เพราะนี่คือจุดที่มิจฉาชีพมักแอบอ้าง

พนักงานลาออก ควรลบ RAM User ทันทีหรือไม่?

ให้ปิดการล็อกอินคอนโซลและปิด AccessKey ทันทีก่อน แล้วตรวจว่ามีสคริปต์ใดใช้คีย์ของคนนั้นอยู่หรือไม่ เมื่อแน่ใจแล้วจึงนำออกจากกลุ่มและลบบัญชี การปิดก่อนลบช่วยให้ย้อนกลับได้ถ้าพบว่ามีระบบพัง

ถ้าต้องการให้ช่วยออกแบบโครงสร้างกลุ่มและสิทธิ์ของบัญชี Alibaba Cloud หรือย้ายระบบเดิมออกจากบัญชีหลัก ติดต่อทีมงาน THAI DATA CLOUD ดูบริการเพิ่มเติมได้ที่หน้า Alibaba Cloud และอ่านรายละเอียดฟีเจอร์ได้จากเอกสาร Create a RAM user ของ Alibaba Cloud

อ่านเพิ่มเติมเกี่ยวกับ RAM User

• เอกสารทางการของ Alibaba Cloud
• OSS Bucket: สร้าง อัปโหลด และแชร์ไฟล์ด้วย Signed URL
• คู่มือการใช้งานทั้งหมดของ THAI DATA CLOUD