192      iPhone_iPad_Mac_apple

授权策略管理__授权管理_用户指南_访问控制-阿里云

授权策略是一组权限的集合，它以一种策略语言来描述。关于授权策略语言的详细描述，请参考附录中的授权策略语言章节。通过给用户或群组附加授权策略，用户或群组中的所有用户就能获得授权策略中指定的访问权限。

我们支持两种类型的授权策略：系统授权策略和客户自定义授权策略。

系统授权策略

系统授权策略是阿里云提供的一组通用授权策略，主要针对不同产品的只读权限或所有权限。对于阿里云提供的这组授权策略，用户只能用于授权，而不能编辑和修改。对于这些系统授权策略，阿里云会自动进行更新或修改。

如果要查看阿里云支持的所有系统授权策略，请登录RAM控制台 -> 进入授权策略管理页面，用户就可以看到所有的系统授权策略列表.

RAM支持的系统授权策略列表如下：

自定义授权策略

由于系统授权策略的授权粒度比较粗，如果这种粗粒度授权策略不能满足您的需要，那么您可以创建自定义授权策略。比如，你想控制对某个具体的ECS实例的操作权限，或者你要求访问者的资源操作请求必须来自于指定的IP地址，你必须使用自定义授权策略才能满足这种细粒度要求。

创建自定义授权策略

如果您有更细粒度的授权需求，比如授权用户bob只能对oss://sample_bucket/bob/下的所有对象执行只读操作、而且限制IP来源必须为您的公司网络(可以通过搜索引擎查询“我的IP”来获知您的公司网络IP地址)，那么您可以通过创建自定义授权策略来进行访问控制。

在创建自定义授权策略时，您需要了解授权策略语言的基本结构和语法，相关内容的详细描述请参考授权策略语言描述。

在了解授权策略语言之后，您通过RAM控制台可以很方便地创建满足上述需求的自定义授权策略。

操作步骤：进入RAM控制台，选择“授权策略管理”，选择“自定义授权策略”，然后按如下步骤操作：

Step 1. 点击“新建授权策略”，打开新建授权策略弹窗：

Step 2. 选择一个模板（这里选择AliyunOSSReadOnlyAccess），我们可以基于这个模板进行Policy编辑，如下图所示：

我们修改了自定义的授权策略名称，备注和策略内容。上图策略内容中的选中部分是我们新增的细粒度授权限制内容。

自定义策略样例：

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:Get*",
        "oss:List*"
      ],
      "Effect": "Allow",
      "Resource": "acs:oss:*:*:samplebucket/bob/*",
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": "127.0.27.1"
        }
      }
    }
  ]
}

Step 3. 策略内容编辑完成后，点击 “新建授权策略” 即可新建自定义授权策略。

如果将这个自定义的授权策略附加给用户bob，那么bob对oss://samplebucket/bob/下的对象有只读操作权限，但限制条件是必须从您的公司网络（假设为121.0.27.1）进行访问。

修改自定义授权策略

当用户的权限发生变更时，比如新增或撤销权限，你需要修改授权策略。当你修改授权策略时可能会遇到两个问题：(1) 希望一段时间后，老的授权策略还能继续使用；(2) 修改完成后，您发现授权策略修改错了，需要回滚。

为了解决授权策略在使用中存在的问题，我们为授权策略提供了版本管理机制。您可以为一个授权策略保留多个版本。如果超出限制，您需要自主删除不需要的版本。对于一个存在多版本的授权策略而言，只有一个版本是活跃的，我们称之为“默认版本”。

管理授权策略版本的方法：进入RAM控制台 -> 授权策略管理 -> 自定义授权策略 -> 选择授权策略名称 -> 在授权策略管理的页面，选择版本管理。

删除自定义授权策略

您可以创建多个自定义授权策略，每个策略也可以维护多个版本。当您不再需要自定义授权策略时，您应该将授权策略删除。

当一个授权策略存在多个版本时，授权策略无法被删除。您必须先删除除默认版本之外的所有版本。当只有唯一的默认版本时，授权策略才能被删除。

删除一个授权策略的方法：进入RAM控制台 -> 授权策略管理 -> 自定义授权策略 -> 选择授权策略名称，点击“删除”操作即可。

最后更新：2016-11-23 16:04:01

  上一篇： 权限__授权管理_用户指南_访问控制-阿里云

  下一篇： 给用户授权__授权管理_用户指南_访问控制-阿里云