不少团队用阿里云时，最省事的做法是几个人共用一个主账号。登录方便，但主账号拥有全部权限。密码一旦泄露，或者有人手滑删了资源，影响范围很难框住。阿里云子账号（RAM用户）就是为这种情况准备的。
子账号是什么，能解决什么问题
子账号隶属于主账号，在访问控制（RAM）里创建。每个子账号有自己的登录凭证，可以单独授权，也可以随时停用。它主要解决两件事。一是身份隔离，每个人用自己的账号操作，谁做了什么都能查到。二是最小权限，每个人只接触工作需要的资源，其余的看不到，也改不了。
一家十人电商团队的改造过程
某做跨境电商的小团队，原先十个人共用一个主账号。运营要看服务器监控，设计要往对象存储传图片，财务只需要看账单，但三类人登的是同一个账号，权限一样大。有一次，实习生在测试环境误删了一台云服务器，团队花了两天才弄清楚是谁的操作。
之后负责人做了三件事：给每位成员建独立子账号，按岗位绑定系统策略，关掉所有人日常用主账号登录的习惯。改完之后，操作日志能对应到具体的人，财务无法改动任何云资源，误操作也少了很多。这次改造见效，靠的是把“谁能做什么”写清楚。技术上并不复杂。
创建与授权的基本步骤
实际配置大致按下面的顺序来。
- 创建用户组，按部门或岗位划分，比如运维组、设计组、财务组。分组比逐个人配权限省事，人员调岗时换个组就行。
- 创建子账号，每位成员一个账号，并设置控制台登录密码。
- 绑定权限策略，先用系统策略。财务和审计人员用只读类策略通常就够了。只有系统策略满足不了精细控制时，再去写自定义策略。
- 开启多因素认证，高权限账号强制启用MFA，即使密码泄露，也多一道门槛。
- 定期复核。有人调岗或离职，当天就调整权限或停用账号，别等到季度盘点才想起来。
自定义策略怎么写
如果想让某个子账号只管理特定地域的ECS实例，可以写自定义策略，用条件限制地域。动手前先想清楚要允许哪些操作、拒绝哪些操作，资源范围尽量收窄。策略写完，先在测试环境跑一遍，确认该能做的能做、不该做的做不了，再应用到生产账号。权限收得太紧，业务中断往往比误操作来得还快，这一步不能省。
密钥管理需要特别注意
子账号可以创建AccessKey，供程序调用API。长期密钥一旦写进代码仓库或配置文件，就可能被别人拿到。几个做法比较实际。不要把AccessKey硬编码在代码里。定期轮换，删掉不再使用的密钥。能用临时凭证（STS）的场景，优先用临时凭证替代长期密钥。
常见误区
- 所有子账号都绑定管理员策略，等于没有做权限隔离。
- 子账号离职后没有停用，相当于留着一个长期有效的入口。
- 只管控制台登录，忘了API密钥同样需要管理。
- 建了子账号却不配合操作审计，追溯价值就打了折扣。
小结
子账号的作用，是把协作方式从共用一个身份，换成每人一个身份、按需授权。配置本身不复杂，难的是权限范围要贴着实际工作走，并且持续复核。人员流动频繁的团队，越早做这件事，之后管理起来越省心。
