自定义策略-华为云

统一身份认证服务 IAM-支持IAM资源粒度授权的云服务

支持 IAM 资源粒度授权的云服务如果您需要授予IAM用户特定资源的相应权限，可以创建自定义策略并选择特定资源，该IAM用户将仅拥有对应资源的使用权限。例如创建自定义策略时，选择资源类型并添加资源路径：OBS:*:*:bucket:TestBucket*，即可授予IAM用户以TestBucket命名开头的桶相应权限。下表为当前华为云支持资源级别授权的云服务及对应资源类型。表1 支持资源粒度授权的云服务及其资源类型服务资源类型资源名称 API开放平台SaaS（Apiexplorer-saas） product 产品 portal 门户云堡垒机（CBH） instanceId 实例ID 云容器引擎（CCE） cluster 集群云服务操作中心（COC） schedule 定时运维 document 文档 drillPlan 演练规划 attackTask 攻击任务 contingencyPlan 应急预案 drillTask 演练任务 accountBaseline 账号基线 faultMode 故障模式 drillRecord 演练记录 job 任务 slaTemplate sla模板 attackTargetRecord 攻击任务的攻击目标记录 parameter 配置项凭据管理服务（ CS MS） secretName 凭据名称智能数据洞察（DataArtsInsight） workspace 工作空间分布式缓存服务（DCS） instance 实例文档数据库服务（DDS） instanceName 实例名称数据湖探索（ DLI ） queue 队列 database 数据库 table 表 column 列 datasourceauth 安全认证信息 jobs 作业 resource 资源包 elasticresourcepool 弹性资源池 group 资源包组 variable 全局变量分布式消息服务（DMS） rabbitmq RabbitMQ实例 kafka Kafka实例 rocketmq RocketMQ实例数据仓库服务（DWS） cluster 集群弹性云服务器（ECS） instance 弹性云服务器云硬盘（EVS） volume 云硬盘函数工作流服务（FunctionGraph） function 函数 trigger 触发器图引擎服务（GES） graphName 图名称 backupName 备份名称 metadataName 元数据名称 IAM身份中心（IAM Identity Center） account 账号 permissionSet 权限集 instance 实例智能边缘平台（IEF） product 产品 node 边缘节点 group 边缘节点组 deployment 应用部署 batchjob 批量作业 application 应用模板 appVersion 应用模板版本 IEFInstance IEF实例设备接入（IoTDA） app 资源空间ID instance 实例ID 数据加密服务（KMS） KeyId 密钥ID MapReduce服务（ MRS ） cluster 集群对象存储服务（OBS） bucket 桶 object 对象云数据库（RDS） instance RDS实例资源编排服务（ RFS ） privateModule 私有模块 stack 堆栈 stackSet 堆栈集 privateTemplate 私有模板 privateProvider 私有Provider 应用与数据集成平台 ROMA Connect graph 业务流图ID 证书管理服务（SCM） cert 证书ID 安全云脑（SecMaster） alert 告警 search 查询 playbook 剧本 workflow 流程 subscription 订购 indicator 威胁情报 alertRule 告警模型 connection 资产连接 mapping 分类映射 dataclass 数据类 report 报告 searchCondition 检索条件 agency 委托 resource 资源 layout 布局 dataobject 数据对象 emergencyVulnerability 应急漏洞 workspace 工作空间 metric 指标 dataspace 数据空间 catalogue 目录 task 待办 alertRuleTemplate 告警模板 pipe 数据管道 incident 事件 table 表 vulnerability 漏洞容器镜像服务（SWR） chart Chart repository 仓库 instance 企业版实例虚拟私有云（VPC） publicip 弹性公网IP 父主题：自定义策略

统一身份认证服务 IAM 自定义策略

数据库安全服务 DBSS-添加SQL策略:相关操作

相关操作除了新增操作外，系统还支持对策略组和策略进行以下管理操作：策略组：编辑策略组：鼠标移动到策略组，单击，修改策略组名称。删除策略组：鼠标移动到策略组，单击，删除策略组。复制策略组：鼠标移动到策略组，单击，复制整个策略组。策略：编辑策略信息：单击策略名称，修改策略信息。编辑策略：鼠标移动到策略，单击，修改策略名称。复制策略：鼠标移动到策略，单击，复制整个策略。删除策略：鼠标移动到策略，单击，删除策略。

数据库安全服务 DBSS 自定义策略

统一身份认证服务 IAM-修改委托自定义策略:请求示例

请求示例修改名为“IAMAgencyPolicy”的委托自定义策略。策略表示作用范围为全局服务，委托资源的URI是/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c。 PATCH https://iam.myhuaweicloud.com/v3.0/OS-ROLE/roles/{role_id} { "role": { "display_name": "IAMAgencyPolicy", "type": "AX", "description": "IAMDescription", "description_cn": "中文描述", "policy": { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c" ] } } ] } } }

统一身份认证服务 IAM 自定义策略管理

统一身份认证服务 IAM-修改委托自定义策略:响应示例

响应示例状态码为 200 时: 请求成功。 { "role": { "catalog": "CUSTOMED", "display_name": "IAMAgencyPolicy", "description": "IAMDescription", "links": { "self": "https://iam.myhuaweicloud.com/v3/roles/f67224e84dc849ab954ce29fb4f47f8e" }, "policy": { "Version": "1.1", "Statement": [ { "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c" ] }, "Effect": "Allow" } ] }, "description_cn": "中文描述", "domain_id": "d78cbac186b744899480f25b...", "type": "AX", "id": "f67224e84dc849ab954ce29fb4f47f8e", "name": "custom_d78cbac186b744899480f25bd022f468_0" } }

统一身份认证服务 IAM 自定义策略管理

统一身份认证服务 IAM-修改委托自定义策略:响应参数

响应参数表8 响应Body参数参数参数类型描述 role Object 自定义策略信息。表9 role 参数参数类型描述 catalog String 自定义策略所在目录。 display_name String 自定义策略展示名。 description String 自定义策略的描述信息。 links Object 自定义策略的资源链接信息。 policy Object 自定义策略的具体内容。 description_cn String 自定义策略的中文描述信息，仅在请求中传入了description_cn参数，响应体中才会返回此字段。 domain_id String 自定义策略所属账号ID。 type String 自定义策略的显示模式。说明： AX：全局服务。 XA：区域级项目。自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 id String 自定义策略ID。 name String 自定义策略名。 updated_time String 自定义策略更新时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。 created_time String 自定义策略创建时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。表10 role.links 参数参数类型描述 self String 资源链接地址。表11 role.policy 参数参数类型描述 Version String 权限版本号。说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。 Statement Array of objects 授权语句，描述自定义策略的具体内容。表12 role.policy.Statement 参数参数类型描述 Action Array of strings 授权项，指对资源的具体操作权限。支持的授权项请参考各云服务《API参考》中“权限和授权项”章节。说明：当自定义策略为委托自定义策略时，该字段值为： "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种：允许（Allow）和拒绝（Deny），既有Allow又有Deny的授权语句时，遵循Deny优先的原则。取值范围： Allow Deny Resource Object 委托资源，仅在请求中传递此字段，才会返回此对象。在有其他账号与您创建了多个委托关系，即您是被委托方，需要将委托中的权限授权给不同的用户组，这些用户组中的IAM用户进行角色切换时，仅能切换到被授权的委托中，不能切换其他委托。例： "Resource": {"uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]} 表13 role.policy.Statement.Resource 参数参数类型描述 uri Array of strings 委托资源的URI，长度不超过128。格式为：/iam/agencies/委托ID。例： "uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]

统一身份认证服务 IAM 自定义策略管理

设备发放 IOTDP-添加自定义策略实例

添加自定义策略实例进入“策略”界面，单击展开“自定义策略”，单击“添加函数”。图1 添加自定义策略按照下方参数说明填写关键参数信息后，单击“确定”。参数名称说明示例函数即在函数服务中实现的自定义策略。如果下拉框没有你想要的函数，可以单击创建新函数来实现你的自定义策略需求。将需要通过函数“function”发放的设备发放至华北-北京四的物联网平台。需通过函数“function”发放的设备：WaterMeter-Beijing0001、WaterMeter-Beijing0002 函数：function 发放区域：华北-北京四发放区域发放到指定区域后，设备将接入对应区域的设备接入服务。所选区域未开通设备接入服务时，如果确定添加实例，系统将自动为您开通设备接入服务。不同区域设备接入服务价格不同，收费详情请参考价格说明。父主题：自定义策略

设备发放 IOTDP 自定义策略

数据库安全服务 DBSS-添加SQL策略:相关操作

相关操作除了新增操作外，系统还支持对策略组和策略进行以下管理操作：策略组：编辑策略组：鼠标移动到策略组，单击，修改策略组名称。删除策略组：鼠标移动到策略组，单击，删除策略组。复制策略组：鼠标移动到策略组，单击，复制整个策略组。策略：编辑策略信息：单击策略名称，修改策略信息。编辑策略：鼠标移动到策略，单击，修改策略名称。复制策略：鼠标移动到策略，单击，复制整个策略。删除策略：鼠标移动到策略，单击，删除策略。

数据库安全服务 DBSS 自定义策略

统一身份认证服务 IAM-修改云服务自定义策略:请求示例

请求示例修改名为“IAMCloudServicePolicy”的自定义策略。策略修改为仅允许以项目名称为“cn-north-1”开头的请求获取所有桶ACL的相关信息。 PATCH https://iam.myhuaweicloud.com/v3.0/OS-ROLE/roles/{role_id} { "role": { "display_name": "IAMCloudServicePolicy", "type": "AX", "description": "IAMDescription", "description_cn": "中文描述", "policy": { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "obs:bucket:GetBucketAcl" ], "Condition": { "StringStartWith": { "g:ProjectName": [ "cn-north-1" ] } }, "Resource": [ "obs:*:*:bucket:*" ] } ] } } }

统一身份认证服务 IAM 自定义策略管理

统一身份认证服务 IAM-修改云服务自定义策略:响应示例

响应示例状态码为 200 时: 请求成功。 { "role": { "catalog": "CUSTOMED", "display_name": "IAMCloudServicePolicy", "description": "IAMDescription", "links": { "self": "https://iam.myhuaweicloud.com/v3/roles/93879fd90f1046f69e6e0b31c94d2615" }, "policy": { "Version": "1.1", "Statement": [ { "Action": [ "obs:bucket:GetBucketAcl" ], "Resource": [ "obs:*:*:bucket:*" ], "Effect": "Allow", "Condition": { "StringStartWith": { "g:ProjectName": [ "cn-north-1" ] } } } ] }, "description_cn": "中文描述", "domain_id": "d78cbac186b744899480f25bd0...", "type": "AX", "id": "93879fd90f1046f69e6e0b31c94d2615", "name": "custom_d78cbac186b744899480f25bd022f468_1" } }

统一身份认证服务 IAM 自定义策略管理

设备接入 IOTDA-添加自定义策略实例

添加自定义策略实例进入“策略”界面，单击展开“自定义策略”，单击“添加函数”。按照下方参数说明填写关键参数信息后，单击“确定”。参数名称说明示例函数即在函数服务中实现的自定义策略。如果下拉框没有你想要的函数，可以单击创建新函数来实现你的自定义策略需求。将需要通过函数“function”发放的设备发放至华北-北京四的物联网平台。需通过函数“function”发放的设备：WaterMeter-Beijing0001、WaterMeter-Beijing0002 函数：function 发放区域：华北-北京四发放区域发放到指定区域后，设备将接入对应区域的设备接入服务。所选区域未开通设备接入服务时，如果确定添加实例，系统将自动为您开通设备接入服务。不同区域设备接入服务价格不同，收费详情请参考价格说明。父主题：自定义策略

设备接入 IOTDA 自定义策略

云服务器内容精选

自定义策略

7*24

备案

专业服务

退订

建议反馈

售前咨询热线