阿里云starops如何跨租户配置数字员工

参考文档

• https://help.aliyun.com/zh/starops/use-cases/practice-of-starops-cross-account-access-permission

基本思路

目的：
在A账户上starops新建数字员工来操作B账户的资源(实现跨租户资源查询/定位/管理)

1.在A账户上操作

1.1新建角色来扮演B账户角色

• https://ram.console.aliyun.com/roles

权限管理：

• AliyunSTSAssumeRoleAccess：调用STS服务AssumeRole接口的权限
• AliyunSTAROpsReadOnlyAccess： 只读访问全域智能运维平台（STAROps）的权限

信任策略：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "operation-platform.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

RAN
acs:ram::xxxx:role/innovate-starops

2.在B账户上操作

权限管理

• ReadOnlyAccess：只读访问所有阿里云资源的权限

或者按需授权

信任策略：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::xxx:role/innovate-starops"
        ]
      }
    }
  ],
  "Version": "1"
}

3.在A账户上新建数字员工及验证

3.1创建数字员工

• RAM角色类型：自定义角色
• RAM角色ARN：填写A账户自定义角色
• 默认规则：定义规则(默认查询：连接器-资源-xxx(xxx) 可用区: cn-hangzhou)

3.2连接器配置

• 资源->添加资源连接->填写扮演角色信息(测试权限)

  3.3进入数字员工测试验证