第50章 权限管理

阿里云百炼权限管理支持基于控制台页面级、模型级的多维度权限控制，满足多地域、多用户的复杂组织架构需求。 ​阿里云百炼身份管理 单个业务空间是进行精细化权限管理（模型、用户）和阿里云账单分账的最小管理单元。 百炼的业务空间权限管理基于三种角色： 超级管理员：可跨空间统一管理用户权限、空间可用模型、空间模型限流和 API Key。 业务空间管理员：只负责某个特定业务空间内的用户权限和资源管理。 普通用户：根据分配的权限使用资源。 业务空间权限超级管理员（拥有AliyunBailianFullAccess系统策略）业务空间管理员普通用户允许特定模型调用 & 限流支持不支持不支持允许特定模型调优支持不支持不支持允许特定模型部署支持不支持不支持用户管理支持支持不支持用户可用页面管理支持支持不支持API Key 管理支持支持不支持访问/使用被授权的空间、页面、资源支持支持支持OpenAPI 接口权限不支持不支持不支持 ​超级管理员 包含以下两类账号： 阿里云主账号，可在百炼控制台右上角看到： 单击头像图标展开账号下拉面板，带有主账号标识的条目即为超级管理员账号。 拥有AliyunBailianFullAccess （百炼管理员）系统策略的 RAM 用户（账号）。可在百炼控制台右上角单击头像图标展开账号下拉面板，查看当前登录的RAM用户账号信息。该 RAM 用户可以通过百炼的全局管理菜单（北京 | 新加坡 | 弗吉尼亚 | 法兰克福），为任意 RAM 用户（包括自己）授权任意地域、任意空间的几乎所有权限。（仅 OpenAPI 接口权限 | 中国香港 需要阿里云主账号可以添加） RAM用户是阿里云主账号创建的子账号，用于安全地向团队内成员分配云资源和权限。 超级管理员可以使用百炼的全局管理菜单（北京 | 新加坡 | 弗吉尼亚 | 法兰克福 | 中国香港），进行多业务空间管理。功能包含： 新建业务空间，管理业务空间名称。 对所有业务空间进行模型管理、模型限流。 对所有业务空间进行账号（用户）管理。 管理所有的 API Key。 如需开通 AI 安全护栏服务、模型监控、应用观测等功能，建议使用阿里云主账号在控制台进行一次性授权和开通。 ​业务空间管理员 指的是拥有访问某个业务空间权限管理页面的阿里云 RAM 用户。可以通过该页面管理该业务空间。 管理员权限包含可访问该业务空间下所有页面的权限。 在编辑权限弹窗中，选择其他页签，在权限名称列表中勾选管理员，然后单击确定。 ​业务空间权限管理 百炼按地理区域划分资源和业务空间，单个业务空间不能跨地域存在。即使各个地域的默认业务空间，也是不同的空间。单击前往全局管理菜单（北京 | 新加坡 | 弗吉尼亚 | 法兰克福 | 中国香港）。 同时百炼的业务空间是进行精细化权限管理的最小管理单元，它可管理： 业务空间权限超级管理员（拥有AliyunBailianFullAccess系统策略）业务空间管理员普通用户允许特定模型调用 & 限流支持不支持不支持允许特定模型调优支持不支持不支持允许特定模型部署支持不支持不支持用户管理支持支持不支持用户可用页面管理支持支持不支持API Key 管理支持支持不支持访问/使用被授权的空间、页面、资源支持支持支持OpenAPI 接口权限不支持不支持不支持 限制模型调用：管理某个模型可否在该业务空间调用（控制台& API）并设置该模型的请求数限流和 Token限流。 默认业务空间无法设置此限制，所有模型均可调用，且无法限流。 在模型列表中，通过模型调用列的开关控制模型授权状态，并在当前空间限流列分别设置请求数限流值与Token限流值及对应的时间单位（支持 1 秒、2 秒、3 秒、5 秒、10 秒、30 秒、60 秒）。未设置限流时，该空间将共享账号级别的总限流配额。 限制模型训练：管理某个模型可否在该业务空间进行调优（通过控制台和API）和调优后部署。 默认业务空间无法设置此限制，所有支持调优的模型均可调优以及调优完成后部署。 在业务空间的模型列表页签中，搜索并找到目标模型，在模型授权区域的模型训练列中，打开或关闭授权开关即可控制该模型的训练权限。 限制模型部署：管理某个模型可否在该业务空间直接部署。 默认业务空间无法设置此限制，所有支持部署的模型均可部署。 在模型列表页签中，模型授权区域的模型部署列显示各模型的部署授权状态，通过 toggle 开关可将状态切换为已授权或未授权。 用户（账号）控制台权限管理：管理某个 RAM 用户是否能使用该业务空间控制台的功能以及能使用该业务空间控制台的哪些功能。控制台页面权限不影响该用户通过 API Key 调用模型（API Key 的权限由所属业务空间的模型授权决定）。 阿里云主账号无须设置，可以访问所有业务空间的所有页面。 在编辑权限弹窗中，选择模型页签，在权限列表中找到并勾选模型体验-操作权限项。左侧导航菜单中的体验中心与权限列表中的模型体验-操作相对应。 ​API Key 权限 单个 API Key 只能归属一个地域内的一个业务空间和一个用户，且不能转移给其他业务空间或其他用户。API Key 的可调用的功能和模型限流与归属业务空间的权限保持一致，不受用户（账号）控制台权限管理的影响，也无需为不同模型（如文生文、文生图、语音合成）创建不同的API Key。 API Key 的状态随归属用户（账号）操作的变化： 自 2026年3月25日开始，华北2（北京）地域的所有新创建的 API Key 均归属主账号。 触发操作主账号的 API KeyRAM 账号的 API Key主动删除 API Key不支持 失效，不可恢复不支持 失效，不可恢复将账号移出业务空间—不支持 失效 重新加入业务空间后 API Key 恢复生效 在RAM 控制台删除账号/角色—不支持 失效，不可恢复为 API Key 设置 IP 访问白名单全部地域的 API Key 均支持设置。美国（弗吉尼亚）地域仅支持 IPv4。全部地域的 API Key 均支持设置。美国（弗吉尼亚）地域仅支持 IPv4。 管理 API Key：在百炼控制台左侧导航栏中选择账号管理，找到目标 RAM 用户并单击权限管理，为该用户添加 API Key 权限。赋予对应 RAM 用户创建、删除、查看该空间下所有 API Key的权限。 在编辑权限弹窗中，切换到其他页签，勾选API Key即可。 ​OpenAPI 接口权限 RAM 用户默认无权调用百炼应用的数据、知识库、Prompt工程及长期记忆等功能的Open API。 若需调用，需要阿里云主账号在 RAM 控制台为 RAM 用户添加以下权限之一： AliyunBailianDataFullAccess：可调用百炼应用 API目录下的所有API。 AliyunBailianDataReadOnlyAccess：可调用百炼应用 API目录下的只读类API，例如查询文件状态、查询知识库创建任务状态等。 ​应用于生产环境 空间规划策略 按环境划分（推荐）：为开发、测试、预发和生产环境创建独立的业务空间，实现严格的环境隔离。 project-dev-workspace project-test-workspace project-prod-workspace 按业务线划分：为公司内不同的业务部门（如市场、售后、设计）创建独立的业务空间，便于权限和成本管理。 marketing-team-workspace customer-team-workspace 限流策略 将主账号总配额按比例分配给各业务空间，并预留一部分作为缓冲，以应对突发流量。 示例：账号总配额为 1000 QPM，分配方案。 project-prod-workspace: 600 QPM (60%) project-test-workspace: 200 QPM (20%) project-dev-workspace: 100 QPM (10%) 预留缓冲：100 QPM (10%) ​账单查看与预付费权限管理 RAM 用户默认无权查看阿里云账单和购买阿里云预付费产品，如需为 RAM 用户开通相关权限，需要在 RAM 控制台为 RAM 用户添加特定权限。 以下权限将授予 RAM 用户查看阿里云所有产品的账单或购买阿里云所有预付费产品的权限，请谨慎授权。 查看阿里云账单需要为 RAM 用户添加 AliyunBSSReadOnlyAccess 权限。 购买阿里云预付费产品需要为 RAM 用户添加AliyunBSSOrderAccess 权限 。 细粒度页面权限菜单子菜单AliyunBSSReadOnlyAccessAliyunBSSOrderAccess账户总览页面可查看，无业务操作页面不可查看，不可发起业务操作账户总览充值页面可查看，不可发起业务操作页面不可查看，不可发起业务操作账户总览提现页面可查看，可发起业务操作页面不可查看，不可发起业务操作账户总览退款页面可查看，不可发起业务操作页面不可查看，不可发起业务操作账户总览申请网商贷页面可查看，可发起业务操作页面不可查看，不可发起业务操作账户总览申请支付宝首付款工具页面可查看，可发起业务操作页面不可查看，不可发起业务操作账户总览查看详情页面可查看，无业务操作页面不可查看，不可发起业务操作账户总览代金券管理页面可查看，无业务操作页面不可查看，不可发起业务操作账户总览资源包管理页面可查看，无业务操作页面不可查看，不可发起业务操作账户总览索取发票页面可查看，无业务操作页面不可查看，不可发起业务操作账户总览申请合同页面可查看，无业务操作页面不可查看，不可发起业务操作收支明细页面可查看，不可发起业务操作页面不可查看，不可发起业务操作消费记录消费总览页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录消费明细页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录使用记录页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录实例消费明细页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录月度成本消耗页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录导出记录页面可查看，可发起业务操作页面不可查看，不可发起业务操作消费记录存储到OSS页面可查看，可发起业务操作页面不可查看，不可发起业务操作账单分析产品账单分析页面可查看，可发起业务操作页面不可查看，不可发起业务操作保证金管理页面可查看，不可发起业务操作页面不可查看，不可发起业务操作订单管理页面可查看，不可发起业务操作页面可查看，可发起业务操作代金券管理页面可查看，无业务操作页面不可查看，不可发起业务操作优惠券管理页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作储值卡管理页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作提货券管理页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作采购单页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作资源包管理资源包概览页面可查看，无业务操作页面不可查看，不可发起业务操作资源包管理使用明细页面可查看，无业务操作页面不可查看，不可发起业务操作发票管理发票索取页面可查看，不可发起业务操作页面不可查看，不可发起业务操作发票管理发票列表页面可查看，无业务操作页面不可查看，不可发起业务操作发票管理发票信息管理页面可查看，不可发起业务操作页面不可查看，不可发起业务操作发票管理发票寄送地址管理页面可查看，不可发起业务操作页面不可查看，不可发起业务操作汇款底单管理页面可查看，不可发起业务操作页面不可查看，不可发起业务操作退订管理五天无理由退款页面可查看，不可发起业务操作页面不可查看，不可发起业务操作退订管理退订记录页面可查看，无业务操作页面不可查看，不可发起业务操作合同管理合同申请页面可查看，无业务操作页面不可查看，不可发起业务操作合同管理合同管理页面可查看，无业务操作页面不可查看，不可发起业务操作可用性中心页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作续费管理页面不可查看，不可发起业务操作页面不可查看，不可发起业务操作购买页各产品购买页页面可查看，不可发起业务操作页面可查看，不可发起业务操作 ​常用设置 ​设置超级管理员 需要 阿里云账号（主账号）或具备AliyunRAMFullAccess系统策略的 RAM 用户操作。 前往 RAM 控制台，为 RAM 用户添加 AliyunBailianFullAccess （百炼管理员）权限和 AliyunBSSOrderAccess（购买阿里云预付费产品）权限。 设置完成后即可通过百炼的全局管理菜单（北京 | 新加坡 | 弗吉尼亚 | 法兰克福 | 中国香港），为任意 RAM 用户（包括自己）授权任意地域、任意空间的任意权限，并购买百炼的预付费产品。 ​设置业务空间管理员 需要超级管理员或业务空间管理员操作。 在百炼控制台左侧导航栏中选择账号管理，找到目标 RAM 用户并单击权限管理，为该用户添加管理员权限。 在编辑权限弹窗中，切换到其他页签，勾选管理员。 ​设置模型调用权限 若不使用默认业务空间，需保证业务空间已经为特定模型开通了模型调用权限。（需要超级管理员操作） 若需要通过百炼的控制台调用，需要在百炼控制台左侧导航栏中选择账号管理，找到目标 RAM 用户并单击权限管理，为该用户添加：（需要超级管理员或业务空间管理员操作） 模型体验-操作 权限，用于在控制台上调用模型。 批量推理-操作 权限，用于支持 批量推理功能。 模型监控-操作 权限，用于查看模型调用、评测的 Token 消耗量。 若需要通过百炼的 API 调用，需要为 RAM 用户在对应业务空间创建或分配 API Key，更多细节请参考本文的：API Key 权限。（需要超级管理员或业务空间管理员操作） ​设置控制台模型调优权限 若不使用默认业务空间，需保证业务空间已经为特定模型开通了模型调优（训练）权限。（需要超级管理员操作） 在百炼控制台左侧导航栏中选择账号管理，找到目标 RAM 用户并单击权限管理，为该用户添加几乎所有的模型权限：（需要超级管理员或业务空间管理员操作） 模型体验-操作 权限，用于在控制台上调用调优后的模型。 模型调优-操作 权限。 我的模型-操作 权限，用于管理调优完成后的模型快照。 模型部署-操作 权限，用于部署调优后的模型，模型部署后才能调用、评测。 模型评测-操作 权限。 数据管理-操作 权限，用于管理调优数据集。 模型监控-操作 权限，用于查看模型调用、评测的 Token 消耗量。 ​设置 API 模型调优权限 若不使用默认业务空间，需保证业务空间为特定模型开通了模型调优（训练）权限。（需要超级管理员操作） 为 RAM 用户在对应业务空间创建或分配 API Key，更多细节请参考本文的：API Key 权限。（需要超级管理员或业务空间管理员操作） ​常见问题 ​1. 如何获取业务空间 ID 呢？ 请参考应用开发的获取Workspace ID。 ​2. 如何使用子业务空间调用模型？ 无需特殊设置，使用子业务空间的 API Key 即可。 ​3. 如何使用特定业务空间的应用？ 使用 API 管理、调用特定业务空间的应用需要同时设置 APP ID 和 Workspace ID。 ​4. 已配置 AliyunBailianFullAccess 但仍无法管理业务空间怎么办？ RAM 权限（如 AliyunBailianFullAccess）与百炼平台内部的业务空间级别权限是两套独立的权限体系。RAM 权限仅控制对百炼控制台的访问权限，而业务空间内的管理权限（如编辑空间、管理成员等）需要由主账号或超级管理员在百炼控制台中单独授权。 如果子账号已拥有 AliyunBailianFullAccess 权限但仍提示无权限操作业务空间，请按以下步骤处理： 使用主账号登录百炼控制台。 单击右上角设置图标，在左侧导航栏中选择账号管理。 找到需要授权的子账号，单击权限管理。 为该子账号添加对应业务空间的管理权限。 ​5. 如何删除业务空间？ 访问阿里云百炼控制台，在页面右上角选择目标地域，进入业务空间管理页面，在操作列选择删除；或调用 DeleteWorkspace API（DELETE /modelstudio/workspaces/{workspaceId}）。删除后不可恢复。 删除前提：满足以下条件的业务空间才允许删除： 该业务空间不能是默认业务空间。 该业务空间未用于购买其他产品，如妙笔等。 在权限管理中，该业务空间未被授予给 RAM 用户、RAM 角色。 该业务空间下已不存在任何资源，比如 API Key、模型部署、知识库等。 清理依赖：删除前需先清理该业务空间下各子产品的资源： 子产品清理内容CCAI 对话分析 AIO删除空间下所有应用，确认无数据和 API Key多模交互套件删除所有应用听悟在工作台搜索"听悟"，删除对应空间RAG 知识库知识管理、知识检索、知识问答下的服务全部删除数据连接 / RAG 数据集 / Connector连接器、上传文件、表格、Connector 连接全部删除模型训练 && 推理数据集、训练任务、我的模型、部署全部删除观测资源关闭模型监控、审计日志、推理日志数据投递与应用观测评测资源终止或删除未完成的模型评测、应用评测任务 若删除失败返回 failReasons，按提示清理对应资源后重试。 ​6. 如何对知识库和记忆库实现更细粒度的权限控制？ 可在 RAM 控制台创建自定义策略，仅授予所需操作的权限。 知识库相关 Action：sfm:CreateIndex、sfm:UpdateIndex、sfm:DeleteIndex、sfm:SubmitIndexJob。记忆库相关 Action：sfm:CreateMemory、sfm:UpdateMemory、sfm:DeleteMemory。 自定义策略示例： Copy{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "sfm:CreateIndex", "sfm:UpdateIndex", "sfm:DeleteIndex", "sfm:SubmitIndexJob", "sfm:CreateMemory", "sfm:UpdateMemory", "sfm:DeleteMemory" ], "Resource": "*" } ] } 创建策略后，将其附加到 RAM 子用户，即可授予知识库和记忆库的最小 CRUD 权限。完整 Action 列表请参考「授权信息」。