本文介绍如何通过RAM限制只有启用了多因素认证（MFA）的RAM用户才能访问云资源，比如ECS。

前提条件

步骤1：为RAM用户设置MFA

  1. 使用阿里云账号登录RAM控制台。
  2. 在左侧导航栏的人员管理菜单下，单击用户。
  3. 在用户登录名称/显示名称列表下，单击目标RAM用户名称。
  4. 在认证管理页签下，单击启用虚拟MFA设备。
  5. 在移动端，下载并登录阿里云应用。
  6. 在移动端，扫码添加多因素认证设备。
  7. 在RAM控制台，输入移动端显示的两组连续的动态验证码，单击确定启用，完成绑定。
说明 更多关于MFA的操作，请参见为RAM用户设置多因素认证。

步骤2：创建自定义权限策略

  1. 在左侧导航栏的权限管理菜单下，单击权限策略管理。
  2. 单击创建权限策略。
  3. 输入策略名称和备注。
  4. 配置模式选择脚本配置。
  5. 输入策略内容。
    {
    "Statement": [
        {
            "Action": "ecs:*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent": "true"
                }
            }
        }
    ],
    "Version": "1"
}

    上述策略表示：只有启用了MFA的RAM用户才能在控制台访问ECS资源。您可以通过设置Condition下acs:MFAPresent的值为true来实现。

    您可以根据实际情况修改策略内容，限制访问其他云资源。

  6. 单击确定。

步骤3：为RAM用户授权

  1. 在左侧导航栏的人员管理菜单下，单击用户。
  2. 在用户登录名称/显示名称列表下，找到目标RAM用户。
  3. 单击添加权限，被授权主体会自动填入。
  4. 在左侧权限策略名称列表下，单击步骤2创建的自定义权限策略。
  5. 单击确定。
  6. 单击完成。