文档首页/ 资源编排服务 RFS/ API参考/ API/ 权限和授权项
更新时间：2025-10-14 GMT+08:00
查看PDF
分享

权限和授权项

如果您需要对您所拥有的资源编排服务(RFS)进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用RFS服务的其它功能。

默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有的权限对云服务进行操作。

权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。

如果您要允许或是禁止某个接口的操作权限，请使用策略。

帐号具备所有接口的调用权限，如果使用帐号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。例如，用户要调用接口来查询云服务器列表，那么这个IAM用户被授予的策略中必须包含允许“ecs:servers:list”的授权项，该接口才能调用成功。

IAM支持的授权项

策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：

  • 权限：允许或拒绝某项操作。
  • 对应API接口：自定义策略实际调用的API接口。
  • 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。对于v3和v5授权项，RFS服务均支持。
  • 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
  • IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。

“√”表示支持，“x”表示暂不支持。

资源编排服务(RFS) 支持的自定义策略授权项如下所示：

表1 privateTemplate

权限

对应API接口

授权项（Action）

IAM项目(Project)

企业项目 (Enterprise Project)

创建私有模板

POST /v1/{project_id}/templates

rf:privateTemplate:create

√

x

创建新的私有模板版本

POST /v1/{project_id}/templates/{template_name}/versions

rf:privateTemplate:createVersion

√

x

删除私有模板

DELETE /v1/{project_id}/templates/{template_name}

rf:privateTemplate:delete

√

x

删除私有模板版本

DELETE /v1/{project_id}/templates/{template_name}/versions/{version_id}

rf:privateTemplate:deleteVersion

√

x

列举project下所有的私有模板

GET /v1/{project_id}/templates

rf:privateTemplate:list

√

x

展示私有模板下所有模板版本信息

GET /v1/{project_id}/templates/{template_name}/versions

rf:privateTemplate:listVersions

√

x

展示私有模板的信息

GET /v1/{project_id}/templates/{template_name}/metadata

rf:privateTemplate:showMetadata

√

x

获取私有模板版本内容

GET /v1/{project_id}/templates/{template_name}/versions/{version_id}

rf:privateTemplate:showVersionContent

√

x

获取私有模板版本的元数据

GET /v1/{project_id}/templates/{template_name}/versions/{version_id}/metadata

rf:privateTemplate:showVersionMetadata

√

x

更新私有模板元数据

PATCH /v1/{project_id}/templates/{template_name}/metadata

rf:privateTemplate:updateMetadata

√

x
表2 stack

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

应用执行计划

POST /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}

rf:stack:applyExecutionPlan

√

x

继续部署资源栈

POST /v1/{project_id}/stacks/{stack_name}/continuations

rf:stack:continueDeployStack

√

x

继续回滚资源栈

POST /v1/{project_id}/stacks/{stack_name}/rollbacks

rf:stack:continueRollbackStack

√

x

创建执行计划

POST /v1/{project_id}/stacks/{stack_name}/execution-plans

rf:stack:createExecutionPlan

√

x

创建资源栈

POST /v1/{project_id}/stacks

rf:stack:createStack

√

x

删除执行计划

DELETE /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}

rf:stack:deleteExecutionPlan

√

x

删除资源栈

DELETE /v1/{project_id}/stacks/{stack_name}

rf:stack:deleteStack

√

x

条件删除资源栈

POST /v1/{project_id}/stacks/{stack_name}/deletion

rf:stack:deleteStack

√

x

部署资源栈

POST /v1/{project_id}/stacks/{stack_name}/deployments

rf:stack:deployStack

√

x

预估执行计划价格

GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}/prices

rf:stack:estimateExecutionPlanPrice

√

x

获取执行计划信息

GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}

rf:stack:getExecutionPlan

√

x

获取执行计划元数据信息

GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}/metadata

rf:stack:getExecutionPlanMetadata

√

x

获取资源栈元数据信息

GET /v1/{project_id}/stacks/{stack_name}/metadata

rf:stack:getStackMetadata

√

x

获取资源栈模板

GET /v1/{project_id}/stacks/{stack_name}/templates

rf:stack:getStackTemplate

√

x

查询执行计划信息列表

GET /v1/{project_id}/stacks/{stack_name}/execution-plans

rf:stack:listExecutionPlans

√

x

查询资源栈部署事件列表

GET /v1/{project_id}/stacks/{stack_name}/events

rf:stack:listStackEvents

√

x

查询资源栈输出列表

GET /v1/{project_id}/stacks/{stack_name}/outputs

rf:stack:listStackOutputs

√

x

查询资源栈资源信息列表

GET /v1/{project_id}/stacks/{stack_name}/resources

rf:stack:listStackResources

√

x

查询资源栈列表

GET /v1/{project_id}/stacks

rf:stack:listStacks

√

x

更新资源栈

PATCH /v1/{project_id}/stacks/{stack_name}

rf:stack:updateStack

√

x
表3 stackSet

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

创建资源栈集

POST /v1/stack-sets

rf:stackSet:create

√

x

创建资源栈实例

POST /v1/stack-sets/{stack_set_name}/stack-instances

rf:stackSet:createStackInstances

√

x

删除资源栈集

DELETE /v1/stack-sets/{stack_set_name}

rf:stackSet:delete

√

x

删除资源栈实例

POST /v1/stack-sets/{stack_set_name}/stack-instances/deletion

rf:stackSet:deleteStackInstances

√

x

部署资源栈集

POST /v1/stack-sets/{stack_set_name}/deployments

rf:stackSet:deploy

√

x

查询资源栈集列表

GET /v1/stack-sets

rf:stackSet:list

√

x

查询资源栈集操作信息列表

GET /v1/stack-sets/{stack_set_name}/operations

rf:stackSet:listOperations

√

x

查询资源栈实例列表

GET /v1/stack-sets/{stack_set_name}/stack-instances

rf:stackSet:listStackInstances

√

x

获取资源栈集元数据信息

GET /v1/stack-sets/{stack_set_name}/metadata

rf:stackSet:showMetadata

√

x

获取资源栈集操作元数据信息

GET /v1/stack-sets/{stack_set_name}/operations/{stack_set_operation_id}/metadata

rf:stackSet:showOperationMetadata

√

x

获取资源栈实例信息

GET /v1/stack-sets/{stack_set_name}/stack-instances/{stack_instance_addr}

rf:stackSet:showStackInstance

√

x

获取资源栈集模板

GET /v1/stack-sets/{stack_set_name}/templates

rf:stackSet:showTemplate

√

x

更新资源栈集

PATCH /v1/stack-sets/{stack_set_name}

rf:stackSet:update

√

x

更新资源栈实例

PATCH /v1/stack-sets/{stack_set_name}/stack-instances

rf:stackSet:updateStackInstances

√

x
表4 template-analyses

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

解析模板参数

POST /v1/{project_id}/template-analyses/variables

rf:template:parseTemplateVariables

√

x
表5 module

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

获取私有模块版本内容

GET /v1/private-modules/{module_name}/versions/{module_version}

rf:privateModule:showVersionContent

√

x

获取私有模块版本元数据

GET /v1/private-modules/{module_name}/versions/{module_version}/metadata

rf:privateModule:showVersionMetadata

√

x

获取私有模块元数据

GET /v1/private-modules/{module_name}/metadata

rf:privateModule:showMetadata

√

x

更新私有模块元数据

PATCH /v1/private-modules/{module_name}/metadata

rf:privateModule:updateMetadata

√

x

删除私有模块版本

DELETE /v1/private-modules/{module_name}/versions/{module_version}

rf:privateModule:deleteVersion

√

x

创建私有模块

POST /v1/private-modules

rf:privateModule:create

√

x

创建私有模块版本

POST /v1/private-modules/{module_name}/versions

rf:privateModule:createVersion

√

x

删除私有模块

DELETE /v1/private-modules/{module_name}

rf:privateModule:delete

√

x

列举私有模块

GET /v1/private-modules

rf:privateModule:list

√

x

列举私有模块版本

GET /v1/private-modules/{module_name}/versions

rf:privateModule:listVersions

√

x
表6 privateProvider

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

获取私有Provider元数据

GET /v1/private-providers/{provider_name}/metadata

rf:privateProvider:showMetadata

√

x

获取私有Provider版本元数据

GET /v1/private-providers/{provider_name}/versions/{provider_version}/metadata

rf:privateProvider:showVersionMetadata

√

x

删除私有Provider

DELETE /v1/private-providers/{provider_name}

rf:privateProvider:delete

√

x

更新私有Provider元数据

GET /v1/private-providers/{provider_name}/metadata

rf:privateProvider:updateMetadata

√

x

删除私有Provider版本

DELETE /v1/private-providers/{provider_name}/versions/{provider_version}

rf:privateProvider:deleteVersion

√

x

创建私有Provider

POST /v1/private-providers

rf:privateProvider:create

√

x

创建私有Provider版本

POST /v1/private-providers/{provider_name}/versions

rf:privateProvider:createVersion

√

x

列举私有Provider版本

GET /v1/private-providers/{provider_name}/versions

rf:privateProvider:listVersions

√

x

列举私有Provider

GET /v1/private-providers

rf:privateProvider:list

√

x
表7 hook

权限

对应API接口

授权项

IAM项目(Project)

企业项目 (Enterprise Project)

获取私有Hook元数据

GET /v1/private-hooks/{hook_name}/metadata

rf:privateHook:showMetadata

√

x

获取私有Hook版本策略

GET /v1/private-hooks/{hook_name}/versions/{hook_version}/policies

rf:privateHook:showVersionPolicy

√

x

获取私有Hook版本元数据

GET /v1/private-hooks/{hook_name}/versions/{hook_version}/metadata

rf:privateHook:showVersionMetadata

√

x

删除私有Hook

DELETE /v1/private-hooks/{hook_name}

rf:privateHook:delete

√

x

创建私有Hook

POST /v1/private-hooks

rf:privateHook:create

√

x

删除私有Hook版本

DELETE /v1/private-hooks/{hook_name}/versions/{hook_version}

rf:privateHook:deleteVersion

√

x

更新私有Hook元数据

PATCH /v1/private-hooks/{hook_name}/metadata

rf:privateHook:updateMetadata

√

x

创建私有Hook版本

POST /v1/private-hooks/{hook_name}/versions

rf:privateHook:createVersion

√

x

列举私有Hook

GET /v1/private-hooks

rf:privateHook:list

√

x
父主题： API

相关文档