操作场景

准备工作

• 获取阿里云账号（主账号）A和阿里云账号B（主账号）的账号ID。

  获取方式：将鼠标移至控制台右上角的用户头像，在弹出的用户信息框中，如果标识了账号为主账号，则显示的账号ID即为阿里云账号ID。

• 阿里云账号B需授予RAM用户B1（阿里云账号B的子账号）创建ECS实例的权限，添加的权限策略示例如下：

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                  "ecs:RunInstances",
                  "ecs:CreateInstance"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]}

• 如果您共享的是加密自定义镜像，还需要添加其他相应的权限策略。具体操作，请参见共享加密自定义镜像。

仅允许RAM用户B1使用阿里云账号A共享的自定义镜像创建ECS实例

添加权限

1. 阿里云账号B创建自定义权限策略。

   具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   创建自定义权限策略如下，请您根据实际情况将ImageOwnerId替换为阿里云账号A的账号ID，表示仅允许使用"123456789012****"账号共享的自定义镜像创建ECS实例。

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "ecs:RunInstances",
           "ecs:CreateInstance"
         ],
         "Effect": "Deny",
         "Resource": "acs:ecs:cn-hangzhou:*:image/*",
         "Condition": {
           "StringNotEquals": {
             "ecs:ImageOwnerId": "123456789012****"
           }
         }
       }
     ]}

2. 阿里云账号B为RAM用户B1添加已创建的自定义权限策略。

   具体操作，请参见为RAM用户授权。

结果验证

仅允许RAM用户B1使用自定义镜像创建ECS实例

添加权限

1. 阿里云账号B创建自定义权限策略。

   具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   创建自定义权限策略如下， "ecs:ImageSource": "Custom"表示仅允许使用自定义镜像创建ECS实例。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "ecs:RunInstances",
                   "ecs:CreateInstance"
               ],
               "Effect": "Deny",
               "Resource": "acs:ecs:cn-hangzhou:*:instance/*",
               "Condition": {
                   "StringNotEquals": {
                       "ecs:ImageSource": "Custom"
                   }
               }
           }
       ]}

2. 阿里云账号B为RAM用户B1添加已创建的自定义权限策略。

   具体操作，请参见为RAM用户授权。

结果验证