子账户登录失败，多数时候卡在登录名、入口或权限中的某一处没对上，账号本身未必有问题。按下面的顺序逐项检查，通常能较快找到原因。
子账户在控制台里叫 RAM 用户，由主账号创建并授权。成员用它登录后，只能操作被授予的资源。主账号的密码和全部权限无需交给任何人，人员调整时，禁用或修改对应子账户即可收回权限，不必更换整体密码。
登录前需要准备的三项信息
子账户登录需要以下三项，少一项都进不去：
- 登录名：格式为“用户名@账号别名.onaliyun.com”。账号别名可在 RAM 控制台概览页设置。未设置别名时，域名部分使用主账号 ID 对应的默认域名，登录名仍按这个格式填写。
- 登录密码：由主账号管理员创建或重置，成员本人无法在登录页自行找回。
- MFA 验证码（如已开启）：通常来自成员绑定的虚拟 MFA 应用。
阿里云子账户登录步骤
- 打开阿里云登录页面 signin.aliyun.com。
- 选择“RAM 用户登录”入口。很多人习惯用主账号入口，选错时即使信息都正确，也可能提示登录失败。
- 输入完整登录名，例如 zhang@example-team.onaliyun.com。
- 输入密码，完成滑块或短信验证后进入。
- 如果开启了 MFA，输入应用中显示的六位验证码。
- 首次登录时，系统可能要求修改初始密码，按提示设置即可。新密码需符合管理员设定的复杂度要求，不符合时会提示重新设置。
案例：电商团队的子账户分配
某电商公司有 12 名技术人员，分为开发、运维和数据分析三个小组。运维负责人李工在 RAM 控制台为每位成员创建子账户，并按小组分配策略：开发组只有 ECS 只读权限和代码部署相关权限，数据分析组只能访问 MaxCompute 数据查询服务。
新员工入职当天，李工把登录名和初始密码发给对方。员工通过 RAM 用户入口登录，修改密码后绑定 MFA 设备。整个流程约 15 分钟，主账号密码始终没有外传。之后有一名实习生离职，李工在控制台禁用其子账户，权限随即失效，其他成员不受影响。
这种做法的好处在于每个人的操作都对应自己的账号。出现问题时，通常能查到是哪个子账户做的操作，而不必猜测是谁用了共享密码。
常见问题与解决方法
登录名输错或提示账号不存在
多数情况下是账号别名或域名拼写错误。去主账号的 RAM 控制台概览页核对别名，再重新输入。@ 符号容易漏掉，从聊天工具复制时也要注意首尾是否带空格。
忘记密码
子账户无法通过手机或邮箱自助找回密码，需要联系主账号管理员，在 RAM 控制台的用户详情页重置登录密码。新密码请通过私下渠道告知本人，不要发在工作群里。
登录成功后看不到任何资源
新建的子账户默认没有任何权限，所以登录后页面可能是空的。管理员需要为其添加系统策略或自定义策略，例如 ECS 只读权限。授权后刷新页面即可生效。如果仍然看不到，检查策略是直接绑定到用户，还是绑在用户组上。绑在用户组上却没有把人加入该组，同样不会生效。
MFA 验证码无效
验证码每三十秒更新一次。手机时间与网络时间不同步时，验证码经常被判定为无效，先把手机时间设为自动同步再试。若设备已丢失，需要管理员在用户详情中解绑 MFA，再由本人重新绑定。
安全建议
- 每位成员使用独立子账户，不共用账号。共用时，操作记录无法对应到具体的人。
- 为子账户开启 MFA，并在登录策略中设置密码复杂度要求。
- 遵循最小权限原则，只授予工作所需的策略。需要更多权限时再加，比先全部放开再收回更稳妥。
- 定期检查长期未使用的子账户，及时禁用或删除。人员离职当天就处理，不要拖到月底。
- 控制台登录与 API 访问密钥（AccessKey）分开管理。AccessKey 不要写入代码，也不要发到聊天工具里。一旦怀疑泄露，应立即在控制台禁用并轮换。
小结
子账户登录出问题时，先看三处：是否选对了 RAM 用户登录入口，登录名格式和别名是否正确，子账户有没有被授予权限。这三处排查完，大多数问题都能定位。团队创建子账户时，把权限和 MFA 一起规划好，既不影响协作效率，也能把访问风险控制在合理范围内。
