714      阿裏雲

權限檢查規則__附錄1: 授權策略語言_用戶指南_訪問控製-阿裏雲

基本模型

• 當主賬號身份訪問資源時，如果主賬號是資源Owner，則允許訪問；否則不允許訪問。該規則的例外情況說明：存在極少數雲產品（如SLS）直接支持對跨雲賬號ACL授權，如果通過ACL授權檢查，則允許訪問。
• 當RAM用戶身份訪問資源時，如果RAM用戶所屬的主賬號對資源有訪問權限，並且主賬號對RAM用戶有顯式的Allow授權策略，則允許訪問；否則不允許訪問。
• 當RAM角色身份訪問資源時，如果RAM角色所屬的主賬號對資源有訪問權限，並且主賬號對RAM角色有顯式的Allow授權策略，並且角色訪問令牌(STS-Token)有顯式的授權，則允許訪問；否則不允許訪問。

RAM用戶身份的授權策略檢查邏輯

RAM用戶訪問資源時，默認沒有任何權限，除非有進行顯式的授權（給RAM用戶綁定授權策略）。授權策略語句支持Allow(允許)和Deny(禁止)兩種授權類型，當多個授權語句對一個資源操作分別出現Allow和Deny授權時，我們使用Deny優先的原則。

授權策略檢查邏輯如下圖所示：

RAM用戶訪問資源時，權限檢查邏輯如下：

1. 按照RAM用戶身份所綁定的授權策略是否有授權，如果是Deny，則拒絕訪問；否則進入下一步檢查。

2. 檢查RAM角色所屬的主賬號是否有訪問權限。如果是資源Owner，則允許訪問；否則查看該資源是否有支持跨賬號ACL許可，有則允許訪問，否則拒絕訪問。

RAM角色身份的授權策略檢查邏輯

RAM角色（使用角色訪問令牌）訪問資源時，權限檢查邏輯如下：

1. 如果當前訪問令牌有指定授權策略（調用AssumeRole時所傳入的授權策略參數），則按照上述授權策略檢查邏輯進行判斷，如果是Deny，則拒絕訪問；否則進入下一步檢查。 如果當前訪問令牌沒有指定授權策，則直接進入下一步檢查。

2. 檢查RAM角色身份所綁定的授權策略是否有授權。如果是Deny，則拒絕訪問；否則進入下一步檢查。

3. 檢查RAM角色所屬的主賬號是否有訪問權限。如果是資源Owner，則允許訪問；否則查看該資源是否有支持跨賬號ACL許可，有則允許訪問，否則拒絕訪問。

最後更新：2016-11-23 16:04:01

  上一篇： Policy語法結構__附錄1: 授權策略語言_用戶指南_訪問控製-阿裏雲

  下一篇： Google Authenticator安裝及使用指導__附錄2: _用戶指南_訪問控製-阿裏雲