# 创建访问策略 - CreateAccessPolicy #### 功能介绍 该API用于创建访问策略。 #### 调用方法 请参见[如何调用API](https://support.huaweicloud.com/api-cce/cce_02_0099.html)。 #### 授权信息 账号具备所有API的调用权限，如果使用账号下的IAM用户调用当前API，该IAM用户需具备调用API所需的权限。 - 如果使用角色与策略授权，具体权限要求请参见[权限和授权项](https://support.huaweicloud.com/api-cce/cce_02_0395.html)。 - 如果使用身份策略授权，需具备如下身份策略权限。 | 授权项 | 访问级别 | 资源类型（\*为必须） | 条件键 | 别名 | 依赖的授权项 | |:---|:---|:---|:---|:---|:---| | cce:accessPolicy:post | Write | - | - | - | - | #### URI POST /api/v3/access-policies #### 请求参数 表1请求Body参数 | 参数 | 是否必选 | 参数类型 | 描述 | |:---|:---|:---|:---| | kind | 是 | String | **参数解释：** API类型。 **约束限制：** 该值不可修改 **取值范围：** 不涉及 **默认取值：** AccessPolicy | | apiVersion | 是 | String | **参数解释：** API版本。 **约束限制：** 该值不可修改 **取值范围：** 不涉及 **默认取值：** v3 | | name | 是 | String | **参数解释：** 访问策略名称。 **约束限制：** 以小写字母开头，由小写字母、数字、中划线(-)组成，长度范围1-56位，且不能以中划线(-)结尾。 **取值范围：** 不涉及 **默认取值：** 不涉及 | | clusters | 是 | Array of strings | **参数解释：** 集群ID的列表，允许使用通配符（"\*"），表示所有集群。获取方式请参见[如何获取接口URI中参数](https://support.huaweicloud.com/api-cce/cce_02_0271.html)。 **约束限制：** 当前最多支持同时授权200个集群。 **取值范围：** \["\*"\]或者集群ID列表。 **默认取值：** 不涉及 | | accessScope | 是 | [AccessScope] object | **参数解释：** 授权范围，指定需要授权的集群及命名空间。 **约束限制：** 不涉及 | | policyType | 是 | String | **参数解释：** 权限类型。 **约束限制：** 不涉及 **取值范围：** - CCEClusterAdminPolicy：管理员权限。对全部命名空间下所有资源的读写权限。 - CCEAdminPolicy：运维权限。对全部命名空间下大多数资源的读写权限，对节点、存储卷，命名空间和配额管理的只读权限。 - CCEEditPolicy：开发权限。对全部或所选命名空间下多数资源的读写权限。当配置在全部命名空间时能力与运维权限一致。 - CCEViewPolicy：只读权限。对全部或所选命名空间下大多数资源的只读权限。 **默认取值：** 不涉及 | | principal | 是 | [Principal] object | **参数解释：** 授权对象。 **约束限制：** 不涉及 | 表2AccessScope | 参数 | 是否必选 | 参数类型 | 描述 | |:---|:---|:---|:---| | namespaces | 是 | Array of strings | **参数解释：** 集群命名空间的列表，允许使用通配符（"\*"），表示所有命名空间。当选择了不同集群时，命名空间的列表可以为多个集群的集合，在转化成RBAC策略时，会自动判断集群下的命名空间是否存在。 **约束限制：** 当前最多支持同时授权500个命名空间。 **取值范围：** \["\*"\]或者集群命名空间列表。 **默认取值：** 不涉及 | 表3Principal | 参数 | 是否必选 | 参数类型 | 描述 | |:---|:---|:---|:---| | type | 是 | String | **参数解释：** 授权对象的类型。 **约束限制：** 不涉及 **取值范围：** - user：用户 - group：用户组 - agency：委托账号 **默认取值：** 不涉及 | | ids | 是 | Array of strings | **参数解释：** 授权对象ID列表，根据授权对象的类型，用户、用户组和委托账号，填入对应的ID。 **约束限制：** 当前最多支持同时授权500个用户/用户组。 **取值范围：** 不涉及 **默认取值：** 不涉及 | #### 响应参数 **状态码：201** 表4响应Body参数 | 参数 | 参数类型 | 描述 | |:---|:---|:---| | kind | String | **参数解释：** API类型。 **取值范围：** 不涉及 | | apiVersion | String | **参数解释：** API版本。 **取值范围：** 不涉及 | | name | String | **参数解释：** 访问策略名称。 **取值范围：** 不涉及 | | policyId | String | **参数解释：** 权限ID。 **取值范围：** 不涉及 | | clusters | Array of strings | **参数解释：** 集群ID的列表，允许使用通配符（"\*"），表示所有集群。 **取值范围：** \["\*"\]或者集群ID列表。 | | accessScope | [AccessScope] object | **参数解释：** 授权范围，指定需要授权的集群及命名空间。 | | policyType | String | **参数解释：** 权限类型。 **取值范围：** - CCEClusterAdminPolicy：管理员权限。对全部命名空间下所有资源的读写权限。 - CCEAdminPolicy：运维权限。对全部命名空间下大多数资源的读写权限，对节点、存储卷，命名空间和配额管理的只读权限。 - CCEEditPolicy：开发权限。对全部或所选命名空间下多数资源的读写权限。当配置在全部命名空间时能力与运维权限一致。 - CCEViewPolicy：只读权限。对全部或所选命名空间下大多数资源的只读权限。 | | principal | [Principal] object | **参数解释：** 授权对象。 | | createTime | String | **参数解释：** 创建时间。 **取值范围：** 不涉及 | | updateTime | String | **参数解释：** 更新时间。 **取值范围：** 不涉及 | 表5AccessScope | 参数 | 参数类型 | 描述 | |:---|:---|:---| | namespaces | Array of strings | **参数解释：** 集群命名空间的列表，允许使用通配符（"\*"），表示所有命名空间。当选择了不同集群时，命名空间的列表可以为多个集群的集合，在转化成RBAC策略时，会自动判断集群下的命名空间是否存在。 **取值范围：** \["\*"\]或者集群命名空间列表。 | 表6Principal | 参数 | 参数类型 | 描述 | |:---|:---|:---| | type | String | **参数解释：** 授权对象的类型。 **取值范围：** - user：用户 - group：用户组 - agency：委托账号 | | ids | Array of strings | **参数解释：** 授权对象ID列表，根据授权对象的类型，用户、用户组和委托账号，填入对应的ID。 **取值范围：** 不涉及 | #### 请求示例 创建访问策略 ``` POST /api/v3/access-policies { "kind" : "AccessPolicy", "apiVersion" : "v3", "name" : "test-access-policy", "clusters" : [ "*" ], "accessScope" : { "namespaces" : [ "*" ] }, "policyType" : "CCEAdminPolicy", "principal" : { "type" : "user", "ids" : [ "069fcc2116c347b89869eae3cdxxxxxx1", "069fcc2116c347b89869eae3cdxxxxxx2" ] } } ``` #### 响应示例 **状态码：201** ``` { "kind" : "AccessPolicy", "apiVersion" : "v3", "name" : "test-access-policy", "policyId" : "402358e8-2e3a-4531-bae7-fe9cba14d0d1", "clusters" : [ "*" ], "accessScope" : { "namespaces" : [ "*" ] }, "policyType" : "CCEAdminPolicy", "principal" : { "type" : "user", "ids" : [ "069fcc2116c347b89869eae3cdxxxxxx1", "069fcc2116c347b89869eae3cdxxxxxx2" ] }, "createTime" : "", "updateTime" : "" } ``` #### SDK代码示例 SDK代码示例如下。 - [Java] 创建访问策略 ``` package com.huaweicloud.sdk.test; import com.huaweicloud.sdk.core.auth.ICredential; import com.huaweicloud.sdk.core.auth.BasicCredentials; import com.huaweicloud.sdk.core.exception.ConnectionException; import com.huaweicloud.sdk.core.exception.RequestTimeoutException; import com.huaweicloud.sdk.core.exception.ServiceResponseException; import com.huaweicloud.sdk.cce.v3.region.CceRegion; import com.huaweicloud.sdk.cce.v3.*; import com.huaweicloud.sdk.cce.v3.model.*; import java.util.List; import java.util.ArrayList; public class CreateAccessPolicySolution { public static void main(String[] args) { // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security. // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment String ak = System.getenv("CLOUD_SDK_AK"); String sk = System.getenv("CLOUD_SDK_SK"); ICredential auth = new BasicCredentials() .withAk(ak) .withSk(sk); CceClient client = CceClient.newBuilder() .withCredential(auth) .withRegion(CceRegion.valueOf("")) .build(); CreateAccessPolicyRequest request = new CreateAccessPolicyRequest(); AccessPolicy body = new AccessPolicy(); List listPrincipalIds = new ArrayList<>(); listPrincipalIds.add("069fcc2116c347b89869eae3cdxxxxxx1"); listPrincipalIds.add("069fcc2116c347b89869eae3cdxxxxxx2"); Principal principalbody = new Principal(); principalbody.withType(Principal.TypeEnum.fromValue("user")) .withIds(listPrincipalIds); List listAccessScopeNamespaces = new ArrayList<>(); listAccessScopeNamespaces.add("*"); AccessScope accessScopebody = new AccessScope(); accessScopebody.withNamespaces(listAccessScopeNamespaces); List listbodyClusters = new ArrayList<>(); listbodyClusters.add("*"); body.withPrincipal(principalbody); body.withPolicyType("CCEAdminPolicy"); body.withAccessScope(accessScopebody); body.withClusters(listbodyClusters); body.withName("test-access-policy"); body.withApiVersion("v3"); body.withKind("AccessPolicy"); request.withBody(body); try { CreateAccessPolicyResponse response = client.createAccessPolicy(request); System.out.println(response.toString()); } catch (ConnectionException e) { e.printStackTrace(); } catch (RequestTimeoutException e) { e.printStackTrace(); } catch (ServiceResponseException e) { e.printStackTrace(); System.out.println(e.getHttpStatusCode()); System.out.println(e.getRequestId()); System.out.println(e.getErrorCode()); System.out.println(e.getErrorMsg()); } } } ``` - [Python] 创建访问策略 ``` # coding: utf-8 import os from huaweicloudsdkcore.auth.credentials import BasicCredentials from huaweicloudsdkcce.v3.region.cce_region import CceRegion from huaweicloudsdkcore.exceptions import exceptions from huaweicloudsdkcce.v3 import * if __name__ == "__main__": # The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security. # In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"] credentials = BasicCredentials(ak, sk) client = CceClient.new_builder() \ .with_credentials(credentials) \ .with_region(CceRegion.value_of("")) \ .build() try: request = CreateAccessPolicyRequest() listIdsPrincipal = [ "069fcc2116c347b89869eae3cdxxxxxx1", "069fcc2116c347b89869eae3cdxxxxxx2" ] principalbody = Principal( type="user", ids=listIdsPrincipal ) listNamespacesAccessScope = [ "*" ] accessScopebody = AccessScope( namespaces=listNamespacesAccessScope ) listClustersbody = [ "*" ] request.body = AccessPolicy( principal=principalbody, policy_type="CCEAdminPolicy", access_scope=accessScopebody, clusters=listClustersbody, name="test-access-policy", api_version="v3", kind="AccessPolicy" ) response = client.create_access_policy(request) print(response) except exceptions.ClientRequestException as e: print(e.status_code) print(e.request_id) print(e.error_code) print(e.error_msg) ``` - [Go] 创建访问策略 ``` package main import ( "fmt" "github.com/huaweicloud/huaweicloud-sdk-go-v3/core/auth/basic" cce "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/cce/v3" "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/cce/v3/model" region "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/cce/v3/region" ) func main() { // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security. // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak := os.Getenv("CLOUD_SDK_AK") sk := os.Getenv("CLOUD_SDK_SK") auth, err := basic.NewCredentialsBuilder(). WithAk(ak). WithSk(sk). SafeBuild() if err != nil { fmt.Println(err) return } hcClient, err := cce.CceClientBuilder(). WithRegion(region.ValueOf("")). WithCredential(auth). SafeBuild() if err != nil { fmt.Println(err) return } client := cce.NewCceClient(hcClient) request := &model.CreateAccessPolicyRequest{} var listIdsPrincipal = []string{ "069fcc2116c347b89869eae3cdxxxxxx1", "069fcc2116c347b89869eae3cdxxxxxx2", } principalbody := &model.Principal{ Type: model.GetPrincipalTypeEnum().USER, Ids: listIdsPrincipal, } var listNamespacesAccessScope = []string{ "*", } accessScopebody := &model.AccessScope{ Namespaces: listNamespacesAccessScope, } var listClustersbody = []string{ "*", } nameAccessPolicy:= "test-access-policy" apiVersionAccessPolicy:= "v3" kindAccessPolicy:= "AccessPolicy" request.Body = &model.AccessPolicy{ Principal: principalbody, PolicyType: "CCEAdminPolicy", AccessScope: accessScopebody, Clusters: listClustersbody, Name: &nameAccessPolicy, ApiVersion: &apiVersionAccessPolicy, Kind: &kindAccessPolicy, } response, err := client.CreateAccessPolicy(request) if err == nil { fmt.Printf("%+v\n", response) } else { fmt.Println(err) } } ``` - [更多] 更多编程语言的SDK代码示例，请参见[API Explorer](https://console.huaweicloud.com/apiexplorer/#/openapi/CCE/sdk?api=CreateAccessPolicy)的代码示例页签，可生成自动对应的SDK代码示例。 #### 状态码 | 状态码 | 描述 | |:---|:---| | 201 | | #### 错误码 请参见[错误码](https://support.huaweicloud.com/api-cce/ErrorCode.html)。