用途
RAM 权限诊断与修复助手用于处理智能体在操作阿里云资源时遇到的权限相关错误。当出现权限报错时，它按步骤解析错误、分析根因、生成最小权限授权建议，并提供修复路径。
主要能力
- 快速分析：无需工具调用即可解析原始错误字段，包括 error_code、missing_action、principal_type、principal_display_name、no_permission_type、policy_type 以及 EncodedDiagnosticMessage，并输出简要摘要。
- 深度分析：在用户选择深度路径后，可解码诊断消息、执行权限差距分析并归类根因。根因类别包括 MissingAction、ExplicitDeny、TrustPolicy、STSInsufficient、TokenExpired、SLRMissing、ResourcePolicy。
- 生成建议：基于内置知识、调用方技能提示、网络搜索或系统策略回退，生成最小权限授权方案，支持自定义策略命名或直接附加系统策略。
- 执行修复：提供直接 CLI 执行、输出 CLI 命令供用户自行运行、控制台操作指引三种路径，并在修复后建议重试原失败操作。
使用方式
安装前需满足前置条件：Aliyun CLI 版本不低于 3.3.3，可通过 aliyun version 验证；如未安装或版本过低，可运行 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash 更新，或参考 references/cli-installation-guide.md。
需启用自动插件安装并更新插件：
aliyun configure set --auto-plugin-install true
aliyun plugin update
在核心工作流开始前（任何 CLI 调用之前）需启用 AI-Mode：
aliyun configure ai-mode enable
aliyun configure ai-mode set-user-agent --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-ram-permission-diagnose"
在每个退出点（工作流成功、失败、错误/异常、用户取消、会话结束等）必须禁用 AI-Mode：
aliyun configure ai-mode disable
每次 aliyun CLI 命令调用需附加：
--user-agent AlibabaCloud-Agent-Skills/alibabacloud-ram-permission-diagnose
工作流分为四步：快速分析、深度分析、生成建议、执行修复。快速分析后由用户选择快速路径、深度路径或跳过。深度分析中，仅在原始数据不足以分类时才调用 aliyun ram decode-diagnostic-message --encoded-diagnostic-message "<transcribed-value>" 解码。差距分析可使用 ListPoliciesForUser、ListPoliciesForRole 或 ListControlPolicies，自定义策略通过 GetPolicyVersion 获取策略文档，系统策略使用内置知识。
执行修复前需向用户展示变更摘要与所有可用路径并等待选择。路径 A 由智能体通过 Bash 执行（仅 L2 级别）；路径 B 输出 CLI 命令供用户复制运行（所有级别）；路径 C 提供 RAM 控制台操作指引（所有级别）。
适用场景
适用于智能体操作阿里云资源时出现权限错误的诊断与修复，覆盖 ECS、OSS、RDS、FC、SLB、VPC、SLS、STS 等常见服务。
限制
深度分析需要两个可选权限：ram:DecodeDiagnosticMessage（解码编码错误）和系统策略 AliyunRAMReadOnlyAccess（差距分析）。缺少权限会限制特定能力，但流程仍可继续。权限级别（L0–L3）为智能体内部路由状态，不会向用户声明。路径 A 仅在 L2 级别可用。