什么是自定義權(quán)限策略

在基于RAM的訪問控制體系中，自定義權(quán)限策略是指在系統(tǒng)權(quán)限策略之外，您可以自主創(chuàng)建、更新和刪除的權(quán)限策略。自定義權(quán)限策略的版本更新需由您來維護(hù)。

• 創(chuàng)建自定義權(quán)限策略后，需為RAM用戶、用戶組或RAM角色綁定權(quán)限策略，這些RAM身份才能獲得權(quán)限策略中指定的訪問權(quán)限。

• 已創(chuàng)建的權(quán)限策略支持刪除，但刪除前需確保該策略未被引用。如果該權(quán)限策略已被引用，您需要在該權(quán)限策略的引用記錄中移除授權(quán)。

• 自定義權(quán)限策略支持版本控制，您可以按照RAM規(guī)定的版本管理機(jī)制來管理您創(chuàng)建的自定義權(quán)限策略版本。

操作文檔

• 創(chuàng)建自定義權(quán)限策略

• 修改自定義權(quán)限策略內(nèi)容和備注

• 刪除自定義權(quán)限策略

• 管理權(quán)限策略引用記錄

• 管理自定義權(quán)限策略版本

通過腳本編輯模式創(chuàng)建自定義權(quán)限策略

1. 使用阿里云賬號(hào)登錄RAM控制臺(tái)。

2. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理>權(quán)限策略。

3. 在權(quán)限策略頁(yè)面，單擊創(chuàng)建權(quán)限策略。

4. 在創(chuàng)建權(quán)限策略頁(yè)面，單擊腳本編輯頁(yè)簽。

5. 輸入IP白名單權(quán)限策略內(nèi)容。例如，只允許192.0.2.0/24的IP訪問，且只能訪問名為SingleCallByVoice的API方法。腳本配置如下：

   說明

   acs:SourceIp的取值如果是單個(gè)IP地址，需要寫明具體的IP地址，不能使用該IP地址的IP地址段形式xx.xx.xx.xx/32。例如：10.0.0.1不能寫成10.0.0.1/32。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "dyvms:SingleCallByVoice",
         "Resource": "*",
         "Condition": {
           "IpAddress": {
             "acs:SourceIp": [
               "192.0.2.0/24"
             ]
           }
         }
       }
     ]
   }

6. 檢查并優(yōu)化權(quán)限策略內(nèi)容。

   • 基礎(chǔ)權(quán)限策略優(yōu)化

     系統(tǒng)會(huì)對(duì)您添加的權(quán)限策略語(yǔ)句自動(dòng)進(jìn)行基礎(chǔ)優(yōu)化。基礎(chǔ)權(quán)限策略優(yōu)化會(huì)完成以下任務(wù)：

     • 刪除不必要的條件。

     • 刪除不必要的數(shù)組。

   • 可選：高級(jí)權(quán)限策略優(yōu)化

     您可以單擊可選：高級(jí)策略優(yōu)化，單擊彈出框中的執(zhí)行按鈕，對(duì)權(quán)限策略內(nèi)容進(jìn)行高級(jí)優(yōu)化。高級(jí)權(quán)限策略優(yōu)化功能會(huì)完成以下任務(wù)：

     • 拆分不兼容操作的資源或條件。

     • 收縮資源到更小范圍。

     • 去重或合并語(yǔ)句。

7. 點(diǎn)擊左下角確定按鈕并在彈出框內(nèi)輸入權(quán)限策略名稱和備注。

8. 再次點(diǎn)擊彈出框中的確定按鈕，權(quán)限策略創(chuàng)建成功。

授權(quán)信息參考

使用自定義權(quán)限策略，您需要了解業(yè)務(wù)的權(quán)限管控需求，并了解語(yǔ)音服務(wù)的授權(quán)信息。詳細(xì)內(nèi)容請(qǐng)參見授權(quán)信息。