第一次登录阿里云控制台，很多人都会卡在登录框前：到底用哪个用户名？注册时填的是邮箱还是手机号？团队里加了子账号，它的登录名又该怎么取？这些问题单看不难，但如果随手一填，后面的权限混乱和安全隐患会慢慢冒出来。这篇文章把阿里云用户名的几种情况拆开讲，并给出命名和管理上的做法。
先分清你面对的是哪一种身份
平时说的“阿里云用户名”，可能指两种身份。它们的登录方式和管理方式不同，混在一起容易出错。
- 阿里云主账号：注册时用的邮箱或手机号就是登录凭证。它对所有资源有最高权限，一般由企业负责人或项目负责人持有。
- RAM用户（子账号）：由主账号在资源访问管理（RAM）里创建，供团队成员日常操作使用。它有自己独立的用户名和密码，权限可以按需单独授予。
对多数团队来说，日常需要认真设计的是第二类。主账号的使用频率应该尽量低，平时的工作交给只拥有必要权限的子账号。主账号如果被频繁用于日常操作，一旦出问题，影响面会很大。
RAM用户登录名长什么样
RAM用户的完整登录名一般是下面两种格式之一：
用户名@账号别名.onaliyun.com
或者
用户名@主账号ID.onaliyun.com
账号别名可以在RAM控制台里自定义。设置之后，团队成员登录时看到的域名更容易辨认，也不容易和其他组织的账号混淆。如果没有设置，系统会使用默认的账号ID。至于别名的字符限制和可用格式，以控制台当前的提示为准。规则可能随产品更新而变化，不要凭记忆直接照搬。
用户名怎么起才好管
用户名是团队内部的身份标识，大家用习惯之后再改会很麻烦。起名前可以先定一套统一规则，比如“姓名拼音”，或者“工号加部门缩写”。规则定下来以后，同事之间找人、查日志、做审计都会省事。
有几个地方要特别留意：
- 别用admin、test、root这类通用词。它们容易被猜中，也容易和别人的账号混在一起，出了问题很难分辨是谁。
- 不要把身份证号、完整手机号这类个人敏感信息放进用户名。用户名会出现在日志和界面里，被看到的范围比想象的大。
- 一个人只保留一个账号。人员离职或调岗时，当天就停用旧账号，不要等有人提醒才处理。长期闲置的账号最容易成为隐患。
一个常见的共用账号问题
设想一个常见情况：某电商团队有五名开发和两名运营，大家都用同一个主账号登录控制台。某天测试环境的数据库被误删，排查时却无法确定是谁操作的，只能靠同事之间互相回忆，耗了很长时间。
这类问题出在身份无法区分上。更稳妥的做法是，管理员先设置账号别名，再按统一规则为每人创建RAM用户，例如zhangsan、lisi。权限上，开发人员只开测试环境的读写，运营人员只看报表，生产环境的管理权限由负责人单独保留。主账号的密码交给负责人保管，并开启多因素认证。
这样调整之后，每一次操作都能对应到具体的人，审计日志也能按人查询。之后遇到权限问题，只需调整对应用户的策略，不会牵一发而动全身。
忘记用户名或密码怎么办
忘记用户名
如果是主账号，可以尝试用注册时的邮箱或手机号登录。如果是RAM用户，需要找团队里的管理员，在RAM控制台查询该用户的登录名称。子账号本人通常无法自行查到这些信息，不要因此把主账号信息发给同事代为查询。
忘记密码
主账号可以通过安全验证重置密码。RAM用户的密码一般由管理员在控制台找到对应用户后重置。重置完成后，建议用户马上改成符合强度要求的新密码，不要长期沿用管理员设定的临时密码。
用户名能不能改
RAM用户的登录名通常不能直接修改。如果确实要换，比较常见的做法是新建用户、迁移权限，确认新账号可用后再停用旧账号。具体操作以控制台的最新功能为准，动手前最好先在测试环境确认一遍。
除了用户名，还要守住哪些地方
用户名只是登录的第一道门，密码和验证方式同样重要。主账号和高权限用户建议统一开启多因素认证，密码定期更换。操作审计也要定期看一看，有没有异常时间或异常地点的登录记录。另外，账号信息不要写进公开文档、群聊截图或工单里。团队成员离开时，权限和密钥要一起回收，只回收登录名是不够的。
小结
阿里云用户名看起来只是一个登录入口，但它和权限管理、操作审计、团队安全是连在一起的。先分清主账号和RAM用户，定下统一的命名规则，再按最小权限分配资源，大多数常见问题在一开始就能避开。
