• 使用 RAM 可以允許子賬號，查看、創建、管理、刪除 API 分組、API、插件等。但子賬號不是資源的所有者，其操作權限隨時都可以被主賬號收回。

• 可以根據文檔，利用標簽鑒權實現主子賬號的資源隔離。

• 在查看本文前，請確保您已經詳讀了RAM幫助手冊和API 網關API 手冊。

第一部分：策略管理

授權策略（Policy），來描述授權的具體內容，授權內容主要包含效力（Effect）、資源（Resource）、對資源所授予的操作權限（Action）以及限制條件（Condition）這幾個基本元素。

1. 系統授權策略

API 網關已經預置了兩個系統權限，AliyunApiGatewayFullAccess和AliyunApiGatewayReadOnlyAccess，可以到 RAM控制臺-權限管理-權限策略 進行查看。

• AliyunApiGatewayFullAccess：管理員權限，擁有主賬號下包含 API 分組、API、流控策略、應用等所有資源的管理權限。

• AliyunApiGatewayReadOnlyAccess：可以查看主賬號下包含 API 分組、API、流控策略、應用等所有資源，但不可以操作。

2. 自定義授權策略

您可以根據需要自定義管理權限，支持更為精細化的授權，可以為某個操作，也可以是某個資源。如：API GetUsers 的編輯權限。可以在RAM控制臺-策略管理中選擇策略類型為自定義策略，查看已經定義好的自定義授權。

第二部分：授權策略

授權策略是一組權限的集合，它以一種策略語言來描述。通過給用戶或群組附加授權策略，用戶或群組中的所有用戶就能獲得授權策略中指定的訪問權限。

示例：

{
  "Version": "1",
  "Statement": [
    {
  "Action": "apigateway:Describe*",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}
                

 "Action":"<service-name>:<action-name>"

第三部分：Resource（操作對象列表）

Resource 通常指操作對象， API 網關中的 API 分組、流控策略、應用都被稱為 Resource，書寫格式：

acs:<service-name>:<region>:<account-id>:<relative-id>

其中：

• acs：Alibaba Cloud Service 的首字母縮寫，表示阿里云的公有云平臺。

• service-name 為：阿里云產品名稱，請填寫 apigateway。

• region：地區信息，可以使用通配符*號來代替，*表示所有區域。

• account-id：賬號 ID，比如123456789012****，也可以用*代替。

• relative-id：與 API 網關相關的資源描述部分，這部分的格式描述支持類似于一個文件路徑的樹狀結構。

格式：

acs:apigateway:$regionid:$accountid:apigroup/$groupId

示例：

acs:apigateway:*:*:apigroup/cbd157704e624ab58a204fd3e0b5ad79

請結合 API 網關的API 手冊來查看下表：

部分場景示例

授權所有API的查詢操作：

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:Describe*",
                      "Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
                      "Effect": "Allow"
            }
          ]
}                        

授權打了標簽 `version:v1` 的分組查詢操作：

{
	  "Version": "1",
	  "Statement": [
	    {
      		"Action": "apigateway:Describe*",
	      	"Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
	      	"Effect": "Allow"，
                 "Condition": {
                        "StringEquals": {
                             "apigateway:tag/version": "v1"
                        }
                 }
             }
	  ]
}			

授權某個分組下所有API的管理操作：

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:*",
                      "Resource": [
                              "acs:apigateway:$regionid:$accountid:apigroup/$groupId",
                              "acs:apigateway:$regionid:$accountid:app/$appId",
                              "acs:apigateway:$regionid:$accountid:vpcaccess/*"
                      ],
                      "Effect": "Allow"
            }
          ]
}

備注：以上示例中，變量部分可以根據需要配置成*。