什么是自定義權限策略

在基于RAM的訪問控制體系中，自定義權限策略是指在系統權限策略之外，您可以自主創建、更新和刪除的權限策略。自定義權限策略的版本更新需由您來維護。

• 創建自定義權限策略后，需為RAM用戶、用戶組或RAM角色綁定權限策略，這些RAM身份才能獲得權限策略中指定的訪問權限。

• 已創建的權限策略支持刪除，但刪除前需確保該策略未被引用。如果該權限策略已被引用，您需要在該權限策略的引用記錄中移除授權。

• 自定義權限策略支持版本控制，您可以按照RAM規定的版本管理機制來管理您創建的自定義權限策略版本。

操作文檔

• 創建自定義權限策略

• 修改自定義權限策略內容和備注

• 刪除自定義權限策略

• 管理權限策略引用記錄

• 管理自定義權限策略版本

常見自定義權限策略場景及示例

常見的自定義權限策略示例如下，您只需將下述示例代碼中的實例ID替換為實際的實例ID。

• 管理單個實例的所有權限

  以下策略表示：您具有管理指定實例的所有權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "kvstore:*",
              "Resource": "acs:kvstore:*:*:*/<實例ID>",
              "Condition": {}
          },
          {
              "Action": "kvstore:Describe*",
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

• 管理多個實例的所有權限

  以下策略表示：您具有管理多個指定實例的所有權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "kvstore:*",
              "Resource": [
                  "acs:kvstore:*:*:*/<實例ID>",
                  "acs:kvstore:*:*:*/<實例ID>"
              ],
              "Condition": {}
          },
          {
              "Action": "kvstore:Describe*",
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

• 管理指定標簽（Tag）實例的所有權限

  以下策略表示：您具有管理指定標簽（例如下方中的TagKey:TagValue標簽）實例的所有權限，但不支持新增或刪除標簽。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "kvstore:DescribeInstances",
                  "kvstore:ListTagResources",
                  "kvstore:DescribeParameterTemplates",
                  "kvstore:DescribeHistoryMonitorValues",
                  "sts:AssumeRole",
                  "hdm:*"
              ],
              "Resource": "*"
          },
          {
              "Effect": "Deny",
              "Action": [
                  "kvstore:TagResources",
                  "kvstore:UntagResources"
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": "kvstore:*",
              "Resource": "*",
              "Condition": {
                  "StringEquals": {
                      "acs:ResourceTag/TagKey": [
                          "TagValue"
                      ]
                  }
              }
          }
      ]
  }

• 修改單個實例的白名單權限

  以下策略表示：您具有修改指定實例IP白名單的權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "kvstore:ModifySecurityIps",
              "Resource": "acs:kvstore:*:*:*/<實例ID>",
              "Condition": {}
          },
          {
              "Action": "kvstore:Describe*",
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

• 離線全量Key分析的權限

  以下策略表示：您具有對指定實例進行離線全量Key分析的權限。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "hdm:CreateCacheAnalysisTask",
                  "hdm:DescribeCacheAnalysisReportList",
                  "hdm:DescribeCacheAnalysisReport",
                  "hdm:CreateCacheAnalysisJob",
                  "hdm:DescribeCacheAnalysisJob",
                  "hdm:DescribeCacheAnalysisJobs",
                  "hdm:GetInstanceLatestBackup"
              ],
              "Resource": "acs:kvstore:*:*:instance/<實例ID>",
              "Condition": {}
          },
          {
              "Action": "ram:CreateServiceLinkedRole",
              "Resource": "*",
              "Effect": "Allow",
              "Condition": {
                  "StringEquals": {
                      "ram:ServiceName": "hdm.aliyuncs.com"
                  }
              }
          }
      ]
  }

授權信息參考

使用自定義權限策略，您需要了解業務的權限管控需求，并了解云數據庫 Tair（兼容 Redis）的授權信息。詳細內容請參見授權信息。