策略授权参考
本章节介绍密码安全中心（Data Encryption Workshop, DEW）策略授权场景下支持的策略授权项。
支持的授权项
策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：
- 权限：允许或拒绝某项操作。
- 对应API接口：自定义策略实际调用的API接口。
- 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
- 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
- IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。管理员可以在授权项列表中查看授权项是否支持IAM项目或企业项目，“√”表示支持，“×”表示暂不支持。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。
DEW的支持自定义策略授权项如下所示：
生命周期管理
|
权限 |
对应API接口 |
授权项（Action） |
IAM项目 (Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
|
创建密钥 |
/v1.0/{project_id}/kms/create-key |
kms:cmk:create |
√ |
√ |
|
查询密钥列表 |
/v1.0/{project_id}/kms/list-keys |
kms:cmk:list |
√ |
√ |
|
启用密钥 |
/v1.0/{project_id}/kms/enable-key |
kms:cmk:enable |
√ |
√ |
|
禁用密钥 |
/v1.0/{project_id}/kms/disable-key |
kms:cmk:disable |
√ |
√ |
|
查询密钥详细信息 |
/v1.0/{project_id}/kms/describe-key |
kms:cmk:get |
√ |
√ |
|
创建数据密钥 |
/v1.0/{project_id}/kms/create-datakey |
kms:cmk:createDataKey |
√ |
√ |
|
创建不含明文数据密钥 |
/v1.0/{project_id}/kms/create-datakey-without-plaintext |
kms:cmk:createDataKeyWithoutPlaintext |
√ |
√ |
|
加密数据密钥 |
/v1.0/{project_id}/kms/encrypt-datakey |
kms:cmk:encryptDataKey |
√ |
√ |
|
解密数据密钥 |
/v1.0/{project_id}/kms/decrypt-datakey |
kms:cmk:decryptDataKey |
√ |
√ |
|
加密数据 |
/v1.0/{project_id}/kms/encrypt-data |
kms:cmk:encryptData |
√ |
√ |
|
解密数据 |
/v1.0/{project_id}/kms/decrypt-data |
kms:cmk:decryptData |
√ |
√ |
|
创建随机数 |
/v1.0/{project_id}/kms/gen-random |
kms::generateRandom |
√ |
× |
|
签名数据 |
/v1.0/{project_id}/kms/sign |
kms:cmk:sign |
√ |
√ |
|
验证签名 |
/v1.0/{project_id}/kms/verify |
kms:cmk:verify |
√ |
√ |
|
查询公钥信息 |
/v1.0/{project_id}/kms/get-publickey |
kms:cmk:getPublicKey |
√ |
√ |
|
查询版本 |
/ |
kms::getVersions |
√ |
× |
|
查询密钥API版本信息 |
/v1.0 |
kms::getVersion |
√ |
× |
|
计划删除密钥 |
/v1.0/{project_id}/kms/schedule-key-deletion |
kms:cmk:scheduleKeyDeletion |
√ |
√ |
|
取消计划删除密钥 |
/v1.0/{project_id}/kms/cancel-key-deletion |
kms:cmk:cancelKeyDeletion |
√ |
√ |
|
查询租户密钥实例个数 |
/v1.0/{project_id}/kms/user-instances |
kms::getInstance |
√ |
× |
|
查询租户配额 |
/v1.0/{project_id}/kms/user-quotas |
kms::getQuota |
√ |
× |
|
密钥信息修改-更新密钥别名 |
/v1.0/{project_id}/kms/update-key-alias |
kms:cmk:updateKeyAlias |
√ |
√ |
|
密钥信息修改-更新密钥描述 |
/v1.0/{project_id}/kms/update-key-description |
kms:cmk:updateKeyDescription |
√ |
√ |
|
创建授权 |
/v1.0/{project_id}/kms/create-grant |
kms:cmk:createGrant |
√ |
√ |
|
查询授权列表 |
/v1.0/{project_id}/kms/list-grants |
kms:cmk:listGrants |
√ |
√ |
|
查询可退役授权列表 |
/v1.0/{project_id}/kms/list-retirable-grants |
kms::listRetirableGrants |
√ |
× |
|
退役授权 |
/v1.0/{project_id}/kms/retire-grant |
kms:cmk:retireGrant |
√ |
× |
|
撤销授权 |
/v1.0/{project_id}/kms/revoke-grant |
kms:cmk:revokeGrant |
√ |
√ |
|
获取密钥导入参数 |
/v1.0/{project_id}/kms/get-parameters-for-import |
kms:cmk:getMaterial |
√ |
√ |
|
导入密钥材料 |
/v1.0/{project_id}/kms/import-key-material |
kms:cmk:importMaterial |
√ |
√ |
|
删除密钥材料 |
/v1.0/{project_id}/kms/delete-imported-key-material |
kms:cmk:deleteMaterial |
√ |
√ |
|
开启密钥轮换 |
/v1.0/{project_id}/kms/enable-key-rotation |
kms:cmk:enableRotation |
√ |
√ |
|
修改密钥轮换周期 |
/v1.0/{project_id}/kms/update-key-rotation-interval |
kms:cmk:updateRotation |
√ |
√ |
|
关闭密钥轮换 |
/v1.0/{project_id}/kms/disable-key-rotation |
kms:cmk:disableRotation |
√ |
√ |
|
查询密钥轮换状态 |
/v1.0/{project_id}/kms/get-key-rotation-status |
kms:cmk:getRotation |
√ |
√ |
|
创建专属密钥库 |
/v1.0/{project_id}/keystores/ |
kms:keystore:create |
√ |
× |
|
删除专属密钥库 |
/v1.0/{project_id}/keystores/{keystore_id} |
kms:keystore:delete |
√ |
× |
|
启用专属密钥库 |
/v1.0/{project_id}/keystores/{keystore_id}/enable |
kms:keystore:enable |
√ |
× |
|
禁用专属密钥库 |
/v1.0/{project_id}/keystores/{keystore_id}/disable |
kms:keystore:disable |
√ |
× |
|
查询专属密钥库列表 |
/v1.0/{project_id}/keystores/ |
kms:keystore:list |
√ |
× |
|
获取专属密钥库 |
/v1.0/{project_id}/keystores/{keystore_id} |
kms:keystore:get |
√ |
× |
|
添加密钥标签 |
/v1.0/{project_id}/kms/{resource_id}/tags |
kms:cmk:createTag |
√ |
√ |
|
批量添加删除密钥标签 |
/v1.0/{project_id}/kms/{resource_id}/tags/action |
kms:cmk:createTags |
√ |
√ |
|
查询密钥实例 |
/v1.0/{project_id}/kms/resource_instances/action |
kms:cmk:listKeysByTag |
√ |
× |
|
删除密钥标签 |
/v1.0/{project_id}/kms/{resource_id}/tags/{key} |
kms:cmk:deleteTag |
√ |
√ |
|
查询密钥标签 |
/v1.0/{project_id}/kms/{resource_id}/tags |
kms:cmk:getTags |
√ |
√ |
|
查询项目标签 |
/v1.0/{project_id}/kms/tags |
kms::listAllTags |
√ |
× |
