專有網(wǎng)絡VPC自定義權(quán)限策略參考
如果系統(tǒng)權(quán)限策略不能滿足您的要求，您可以創(chuàng)建自定義權(quán)限策略實現(xiàn)最小授權(quán)。使用自定義權(quán)限策略有助于實現(xiàn)權(quán)限的精細化管控，是提升資源訪問安全的有效手段。本文介紹專有網(wǎng)絡 VPC（Virtual Private Cloud）使用自定義權(quán)限策略的場景和策略示例。
什么是自定義權(quán)限策略
在基于RAM的訪問控制體系中，自定義權(quán)限策略是指在系統(tǒng)權(quán)限策略之外，您可以自主創(chuàng)建、更新和刪除的權(quán)限策略。自定義權(quán)限策略的版本更新需由您來維護。
創(chuàng)建自定義權(quán)限策略后，需為RAM用戶、用戶組或RAM角色綁定權(quán)限策略，這些RAM身份才能獲得權(quán)限策略中指定的訪問權(quán)限。
已創(chuàng)建的權(quán)限策略支持刪除，但刪除前需確保該策略未被引用。如果該權(quán)限策略已被引用，您需要在該權(quán)限策略的引用記錄中移除授權(quán)。
自定義權(quán)限策略支持版本控制，您可以按照RAM規(guī)定的版本管理機制來管理您創(chuàng)建的自定義權(quán)限策略版本。
操作文檔
VPC授權(quán)樣例
示例1：對VPC的管理權(quán)限
假設您的賬號為1234567，授權(quán)管理該賬號下的所有VPC，使某個RAM用戶具有操作所有VPC的權(quán)限。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "vpc:*" ], "Resource": [ "acs:vpc:*:1234567:*/*" ] }, { "Effect": "Allow", "Action": [ "ecs:*Describe*" ], "Resource": [ "*" ] } ] }示例2：對VPC中vSwitch的管理授權(quán)
假設您只想授權(quán)青島Region下的vSwitch的管理權(quán)限，使某個RAM用戶可以對青島Region下的vSwitch進行創(chuàng)建/刪除/綁定子網(wǎng)路由/解綁子網(wǎng)路由的操作，對于其它地域的vSwitch只有查看權(quán)限。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "vpc:*Describe*", "vpc:*vSwitch*", "vpc:*RouteTable*" ], "Resource": [ "acs:vpc:cn-qingdao:*:*/*" ] }, { "Effect": "Allow", "Action": [ "ecs:*Describe*" ], "Resource": [ "acs:ecs:cn-qingdao:*:*/*" ] } ] }示例3：只允許操作特定地域下的路由表以及路由表中的路由條目
假設您的賬號為11111111，在多個地域創(chuàng)建了VPC，該權(quán)限只授予某個RAM用戶對杭州地域VPC的操作權(quán)限，且操作權(quán)限僅限于：允許新增/刪除路由條目，允許創(chuàng)建子網(wǎng)路由并綁定vSwitch，對于其它地域的云產(chǎn)品只有查看權(quán)限。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "ecs:*Describe*" ], "Resource": [ "*" ], "Condition": { } }, { "Effect": "Allow", "Action": [ "slb:*Describe*" ], "Resource": [ "*" ], "Condition": { } }, { "Effect": "Allow", "Action": [ "rds:*Describe*" ], "Resource": [ "*" ], "Condition": { } }, { "Effect": "Allow", "Action": [ "vpc:*Describe*", "vpc:*RouteEntry*", "vpc:*RouteTable*" ], "Resource": [ "acs:vpc:cn-hangzhou:11111111:*/*" ], "Condition": { } } ] }示例4：只允許修改特定路由表中的路由條目
假設您只希望RAM用戶新增/刪除特定路由表中的路由條目。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "vpc:*RouteEntry*" ], "Resource": [ "acs:vpc:cn-qingdao:*:routetable/vtb-m5e64ujkb7xn5zlq0xxxx" ] }, { "Effect": "Allow", "Action": [ "vpc:*Describe*" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "ecs:*Describe*" ], "Resource": [ "*" ] } ] }