192      阿裏雲  技術社區[雲棲]

授權策略管理__授權管理_用戶指南_訪問控製-阿裏雲

授權策略是一組權限的集合，它以一種策略語言來描述。關於授權策略語言的詳細描述，請參考附錄中的授權策略語言章節。通過給用戶或群組附加授權策略，用戶或群組中的所有用戶就能獲得授權策略中指定的訪問權限。

我們支持兩種類型的授權策略：係統授權策略和客戶自定義授權策略。

係統授權策略

係統授權策略是阿裏雲提供的一組通用授權策略，主要針對不同產品的隻讀權限或所有權限。對於阿裏雲提供的這組授權策略，用戶隻能用於授權，而不能編輯和修改。對於這些係統授權策略，阿裏雲會自動進行更新或修改。

如果要查看阿裏雲支持的所有係統授權策略，請登錄RAM控製台 -> 進入授權策略管理頁麵，用戶就可以看到所有的係統授權策略列表.

RAM支持的係統授權策略列表如下：

自定義授權策略

由於係統授權策略的授權粒度比較粗，如果這種粗粒度授權策略不能滿足您的需要，那麼您可以創建自定義授權策略。比如，你想控製對某個具體的ECS實例的操作權限，或者你要求訪問者的資源操作請求必須來自於指定的IP地址，你必須使用自定義授權策略才能滿足這種細粒度要求。

創建自定義授權策略

如果您有更細粒度的授權需求，比如授權用戶bob隻能對oss://sample_bucket/bob/下的所有對象執行隻讀操作、而且限製IP來源必須為您的公司網絡(可以通過搜索引擎查詢“我的IP”來獲知您的公司網絡IP地址)，那麼您可以通過創建自定義授權策略來進行訪問控製。

在創建自定義授權策略時，您需要了解授權策略語言的基本結構和語法，相關內容的詳細描述請參考授權策略語言描述。

在了解授權策略語言之後，您通過RAM控製台可以很方便地創建滿足上述需求的自定義授權策略。

操作步驟：進入RAM控製台，選擇“授權策略管理”，選擇“自定義授權策略”，然後按如下步驟操作：

Step 1. 點擊“新建授權策略”，打開新建授權策略彈窗：

Step 2. 選擇一個模板（這裏選擇AliyunOSSReadOnlyAccess），我們可以基於這個模板進行Policy編輯，如下圖所示：

我們修改了自定義的授權策略名稱，備注和策略內容。上圖策略內容中的選中部分是我們新增的細粒度授權限製內容。

自定義策略樣例：

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:Get*",
        "oss:List*"
      ],
      "Effect": "Allow",
      "Resource": "acs:oss:*:*:samplebucket/bob/*",
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": "127.0.27.1"
        }
      }
    }
  ]
}

Step 3. 策略內容編輯完成後，點擊 “新建授權策略” 即可新建自定義授權策略。

如果將這個自定義的授權策略附加給用戶bob，那麼bob對oss://samplebucket/bob/下的對象有隻讀操作權限，但限製條件是必須從您的公司網絡（假設為121.0.27.1）進行訪問。

修改自定義授權策略

當用戶的權限發生變更時，比如新增或撤銷權限，你需要修改授權策略。當你修改授權策略時可能會遇到兩個問題：(1) 希望一段時間後，老的授權策略還能繼續使用；(2) 修改完成後，您發現授權策略修改錯了，需要回滾。

為了解決授權策略在使用中存在的問題，我們為授權策略提供了版本管理機製。您可以為一個授權策略保留多個版本。如果超出限製，您需要自主刪除不需要的版本。對於一個存在多版本的授權策略而言，隻有一個版本是活躍的，我們稱之為“默認版本”。

管理授權策略版本的方法：進入RAM控製台 -> 授權策略管理 -> 自定義授權策略 -> 選擇授權策略名稱 -> 在授權策略管理的頁麵，選擇版本管理。

刪除自定義授權策略

您可以創建多個自定義授權策略，每個策略也可以維護多個版本。當您不再需要自定義授權策略時，您應該將授權策略刪除。

當一個授權策略存在多個版本時，授權策略無法被刪除。您必須先刪除除默認版本之外的所有版本。當隻有唯一的默認版本時，授權策略才能被刪除。

刪除一個授權策略的方法：進入RAM控製台 -> 授權策略管理 -> 自定義授權策略 -> 選擇授權策略名稱，點擊“刪除”操作即可。

最後更新：2016-11-23 16:04:01

  上一篇： 權限__授權管理_用戶指南_訪問控製-阿裏雲

  下一篇： 給用戶授權__授權管理_用戶指南_訪問控製-阿裏雲