策略授权参考

本章节介绍CFW策略授权场景下支持的策略授权项。

支持的授权项

策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：

权限：允许或拒绝某项操作。
对应API接口：自定义策略实际调用的API接口。
授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。管理员可以在授权项列表中查看授权项是否支持IAM项目或企业项目，“√”表示支持，“×”表示暂不支持。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。

CFW的支持自定义策略授权项如下所示：

授权列表，包含CFW对应的授权项，如查询防火墙实例、创建云防火墙、查询ACL规则列表等。

授权列表

权限	对应API接口	授权项（Action）	依赖的授权项	IAM项目 (Project)	企业项目 (Enterprise Project)
开启/关闭EIP防护	POST/v1/{project_id}/eip/protect	cfw:eip:operate	无	√	√
查询EIP列表	GET/v1/{project_id}/eips/protect	cfw:eip:list	ecs:cloudServers:list nat:natGateways:list vpc:publicIps:list	√	√
查询EIP统计数据	GET/v1/{project_id}/eip-count/{object_id}	cfw:eipStatistics:get	无	√	√
创建ACL规则	POST/v1/{project_id}/acl-rule	cfw:acl:create	无	√	√
修改ACL规则	PUT/v1/{project_id}/acl-rule/{acl_rule_id}	cfw:acl:put	无	√	√
删除ACL规则	DELETE/v1/{project_id}/acl-rule/{acl_rule_id}	cfw:acl:delete	无	√	√
查询ACL规则列表	GET/v1/{project_id}/acl-rules	cfw:acl:list	无	√	√
设置ACL规则优先级	PUT/v1/{project_id}/acl-rule/order/{acl_rule_id}	cfw:acl:setPriority	无	√	√
创建黑白名单	POST/v1/{project_id}/black-white-list	cfw:blackWhite:create	无	√	√
修改黑白名单	PUT/v1/{project_id}/black-white-list/{list_id}	cfw:blackWhite:put	无	√	√
删除黑白名单	DELETE/v1/{project_id}/black-white-list/{list_id}	cfw:blackWhite:delete	无	√	√
查询黑白名单列表	GET/v1/{project_id}/black-white-lists	cfw:blackWhite:list	无	√	√
创建IP地址组	POST/v1/{project_id}/address-set	cfw:ipGroup:create	无	√	√
修改IP地址组	PUT/v1/{project_id}/address-sets/{set_id}	cfw:ipGroup:put	无	√	√
删除IP地址组	DELETE/v1/{project_id}/address-sets/{set_id}	cfw:ipGroup:delete	无	√	√
查询IP地址组列表	GET/v1/{project_id}/address-sets	cfw:ipGroup:list	无	√	√
查询IP地址组详情	GET/v1/{project_id}/address-sets/{set_id}	cfw:ipGroup:get	无	√	√
添加IP地址组成员	POST/v1/{project_id}/address-items	cfw:ipMember:create	无	√	√
删除IP地址组成员	DELETE/v1/{project_id}/address-items/{item_id}	cfw:ipMember:delete	无	√	√
查询IP地址组成员列表	GET/v1/{project_id}/address-items	cfw:ipMember:list	无	√	√
创建服务组	POST/v1/{project_id}/service-set	cfw:serviceGroup:create	无	√	√
修改服务组	PUT/v1/{project_id}/service-sets/{set_id}	cfw:serviceGroup:put	无	√	√
删除服务组	DELETE/v1/{project_id}/service-sets/{set_id}	cfw:serviceGroup:delete	无	√	√
查询服务组详情	GET/v1/{project_id}/service-sets/{set_id}	cfw:serviceGroup:get	无	√	√
查询服务组列表	GET/v1/{project_id}/service-sets	cfw:serviceGroup:list	无	√	√
添加服务组成员	POST/v1/{project_id}/service-items	cfw:serviceMember:create	无	√	√
删除服务组成员	DELETE/v1/{project_id}/service-items/{item_id}	cfw:serviceMember:delete	无	√	√
查询服务组成员列表	GET/v1/{project_id}/service-items	cfw:serviceMember:list	无	√	√
查询访问控制日志列表	GET/v1/{project_id}/cfw/logs/access-control	cfw:accessControlLog:list	无	√	√
查询流量日志列表	GET/v1/{project_id}/cfw/logs/flow	cfw:flowLog:list	无	√	√
查询攻击日志列表	GET/v1/{project_id}/cfw/logs/attack	cfw:attackLog:list	无	√	√
IPS防护模式设置	POST/v1/{project_id}/ips/protect	cfw:ipsMode:operate	无	√	√
IPS防护模式查询	GET/v1/{project_id}/ips/protect	cfw:ipsMode:get	无	√	√
查询防火墙列表	GET /v1/{project_id}/firewall/exist	cfw:instance:list	无	√	√
更新dns服务器	PUT /v1/{project_id}/dns/servers	cfw:acl:put	无	√	√
查询dns服务器	GET /v1/{project_id}/dns/servers	cfw:domain:get	无	√	√
检查域名	GET /v1/{project_id}/domain/parse/{domain_name}	cfw:domain:get	无	√	√
修改东西向防护状态	POST /v1/{project_id}/firewall/east-west/protect	cfw:instance:create	无	√	√
查询东西向防火墙	GET /v1/{project_id}/firewall/east-west	cfw:instance:list	无	√	√
查询vpc防护	GET /v1/{project_id}/vpcs/protection	cfw:instance:list	无	√	√