# 策略授权参考 本章节介绍DMS for Kafka策略授权场景下支持的策略授权项。 #### 支持的授权项 策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下： - 权限：允许或拒绝对指定资源在特定条件下进行某项操作。 - 对应API接口：自定义策略实际调用的API接口。 - 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。 - 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。 - IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。管理员可以在授权项列表中查看授权项是否支持IAM项目或企业项目，"√"表示支持，"×"表示暂不支持。关于IAM项目与企业项目的区别，详情请参见：[IAM与企业管理的区别](https://support.huaweicloud.com/iam_faq/iam_01_0101.html)。 DMS for Kafka的支持自定义策略授权项如下所示： - [生命周期管理]，包含Kafka实例所有生命周期接口对应的授权项，如创建实例、查询实例列表、修改实例信息、批量重启或删除实例等接口。 - [实例管理]，包括Kafka实例管理接口对应的授权项，如重置密码、查询Kafka集群元数据信息等接口。 - [Smart Connect]，包括Smart Connect接口对应的授权项，如开启Smart Connect、关闭Smart Connect、创建Smart Connect任务等接口。 - [规格变更管理]，包括实例规格变更管理接口对应的授权项，如实例扩容、查询实例的扩容规格列表等接口。 - [主题管理]，包括Topic管理接口对应的授权项，如创建Topic、查询Topic、修改Topic等接口。 - [消费组管理]，包括消费组管理接口对应的授权项，如创建消费组、查询消费组、删除消费组等接口。 - [用户管理]，包括用户管理接口对应的授权项，如创建用户、查询用户列表、设置用户权限等接口。 - [消息管理]，包括消息管理接口对应的授权项，如查询消息、删除消息等接口。 - [后台任务管理]，包括实例的后台任务管理接口对应的授权项，如查询实例的后台任务列表、查询后台任务管理中的指定记录等接口。 - [标签管理]，包括实例的标签管理接口对应的授权项，如查询实例标签、查询项目标签等接口。 - [诊断管理]，包括实例诊断管理接口对应的授权项，如创建消息积压诊断任务、查询诊断报告列表等接口。 - [其他接口]，包括查询维护时间窗时间段、查询可用区等接口。 #### 生命周期管理 表1生命周期管理 | 权限 | 对应API接口 | 授权项（Action） | IAM项目 (Project) | 企业项目 (Enterprise Project) | |:---|:---|:---|:---|:---| | 创建实例 | POST /v2/{project_id}/kafka/instances | dms:instance:create | √ | √ | | 查询所有实例列表 | GET /v2/{project_id}/instances | dms:instance:list | √ | √ | | 查询指定实例 | GET /v2/{project_id}/instances/{instance_id} | dms:instance:get | √ | √ | | 删除指定的实例 | DELETE /v2/{project_id}/instances/{instance_id} | dms:instance:delete | √ | √ | | 修改实例信息 | PUT /v2/{project_id}/instances/{instance_id} | dms:instance:modify | √ | √ | | 批量重启或删除实例 | POST /v2/{project_id}/instances/action | 重启：dms:instance:modifyStatus 删除：dms:instance:delete | √ | √ | | 获取实例配置 | GET /v2/{project_id}/instances/{instance_id}/configs | dms:instance:get | √ | √ | | 修改实例配置 | PUT /v2/{project_id}/instances/{instance_id}/configs | dms:instance:modify | √ | √ | | 实例升级 | POST /v2/{project_id}/kafka/instances/{instance_id}/upgrade | dms:instance:modify | √ | √ | | 查询Kafka实例版本信息 | GET /v2/{project_id}/kafka/instances/{instance_id}/upgrade | dms:instance:get | √ | √ | #### 实例管理 表2实例管理 | 权限 | 对应API接口 | 授权项（Action） | IAM项目 (Project) | 企业项目 (Enterprise Project) | |:---|:---|:---|:---|:---| | 重置密码 | POST /v2/{project_id}/instances/{instance_id}/password | dms:instance:resetAuthInfo | √ | √ | | 重置Manager密码 | PUT /v2/{project_id}/instances/{instance_id}/kafka-manager-password | dms:instance:resetAuthInfo | √ | √ | | 重启Manager | PUT /v2/{project_id}/instances/{instance_id}/restart-kafka-manager | dms:instance:modifyStatus | √ | √ | | 修改实例跨VPC访问的内网IP | POST /v2/{project_id}/instances/{instance_id}/crossvpc/modify | dms:instance:modify | √ | √ | | 查询Kafka集群元数据信息 | GET /v2/{project_id}/instances/{instance_id}/management/cluster | dms:instance:get | √ | √ | | 查询Kafka实例的协调器信息 | GET /v2/{project_id}/instances/{instance_id}/management/coordinators | dms:instance:get | √ | √ | | 修改Kafka的接入方式 | POST /v2/{project_id}/{engine}/instances/{instance_id}/plain-ssl-switch | dms:ssl | √ | √ | | 查询Topic的磁盘存储情况 | GET /v2/{project_id}/instances/{instance_id}/topics/diskusage | dms:instance:get | √ | √ | | 关闭Kafka Manager | DELETE /v2/{project_id}/kafka/instances/{instance_id}/management | dms:instance:modify | √ | √ | | 恢复回收站实例 | POST /v2/{project_id}/recycle | dms:instance:modify | √ | √ | | 查询回收站实例列表 | GET /v2/{project_id}/recycle | dms:instance:get | √ | √ | | 更新回收站策略 | PUT /v2/{project_id}/recycle | dms:instance:modify | √ | √ | | 查询Kafka实例重平衡日志详情 | GET /v2/kafka/{project_id}/instances/{instance_id}/log/rebalance-log | dms:instance:get | √ | √ | | 开启Kafka实例重平衡日志功能 | POST /v2/kafka/{project_id}/instances/{instance_id}/log/rebalance-log | dms:instance:modify | √ | √ | | 关闭Kafka实例重平衡日志功能 | DELETE /v2/kafka/{project_id}/instances/{instance_id}/log/rebalance-log | dms:instance:modify | √ | √ | | 开启或者关闭Kafka实例公网访问功能 | POST /v1/{project_id}/instances/{instance_id}/public-boundwidth | dms:instance:modify | √ | √ | | 查询Kafka集群信息 | GET /v2/{project_id}/instances/{instance_id}/manage/cluster | dms:instance:get | √ | √ | #### Smart Connect 表3Smart Connect | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 查询开启Smart Connect功能所需资源信息 | GET /v2/{project_id}/instances/{instance_id}/connector | dms:instance:get | √ | √ | | 开启Smart Connect | POST /v2/{project_id}/instances/{instance_id}/connector | dms:instance:connector | √ | √ | | 关闭Smart Connect | POST /v2/{project_id}/kafka/instances/{instance_id}/delete-connector | dms:instance:connector | √ | √ | | 创建Smart Connect任务 | POST /v2/{project_id}/instances/{instance_id}/connector/tasks | dms:instance:createConnectorSinkTask | √ | √ | | 查询Smart Connect任务列表 | GET /v2/{project_id}/instances/{instance_id}/connector/tasks | dms:instance:listConnectorSinkTask | √ | √ | | 查询Smart Connector任务详情 | GET /v2/{project_id}/instances/{instance_id}/connector/tasks/{task_id} | dms:instance:getConnectorSinkTask | √ | √ | | 删除Smart Connector任务 | DELETE /v2/{project_id}/instances/{instance_id}/connector/tasks/{task_id} | dms:instance:deleteConnectorSinkTask | √ | √ | | 修改Smart Connect任务配置 | PUT /v2/{project_id}/instances/{instance_id}/connector/tasks/{task_id} | dms:instance:modifyConnectorSinkTask | √ | √ | | 校验Connector连通性 | POST /v2/{project_id}/instances/{instance_id}/connector/validate | dms:instance:connector | √ | √ | | 暂停Smart Connect任务 | PUT /v2/{project_id}/instances/{instance_id}/connector/tasks/{task_id}/pause | dms:instance:updateConnectorTask | √ | √ | | 启动已暂停的Smart Connect任务 | PUT /v2/{project_id}/instances/{instance_id}/connector/tasks/{task_id}/resume | dms:instance:updateConnectorTask | √ | √ | | 启动未启动的Smart Connect任务/重启已暂停或者运行中的Smart Connect任务 | PUT /v2/{project_id}/kafka/instances/{instance_id}/connector/tasks/{task_id}/restart | dms:instance:updateConnectorTask | √ | √ | | 查询OBS桶列表 | GET /v1.0/dms/obs/buckets | dms:instance:get | √ | √ | #### 规格变更管理 表4规格变更管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 实例扩容 | POST /v2/{project_id}/kafka/instances/{instance_id}/extend | dms:instance:scale | √ | √ | | 查询实例的扩容规格列表 | GET /v2/{project_id}/kafka/instances/{instance_id}/extend | dms:instance:get | √ | √ | | 查询磁盘自动扩容配置 | GET /v2/{project_id}/instances/{instance_id}/auto-volume-expand | dms:instance:get | √ | √ | | 修改磁盘自动扩容配置 | PUT /v2/{project_id}/instances/{instance_id}/auto-volume-expand | dms:instance:scale | √ | √ | | 获取Kafka实例扩容前置检查信息 | GET /v2/{project_id}/kafka/instances/{instance_id}/extend-check | dms:instance:get | √ | √ | #### 主题管理 表5主题管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 开启或关闭实例自动创建Topic功能 | POST /v2/{project_id}/instances/{instance_id}/autotopic | dms:instance:modify | √ | √ | | Kafka生产消息 | POST /v2/{project_id}/instances/{instance_id}/messages/action | dms:instance:modify | √ | √ | | Kafka实例创建Topic | POST /v2/{project_id}/instances/{instance_id}/topics | dms:instance:modify | √ | √ | | Kafka实例查询Topic | GET /v2/{project_id}/instances/{instance_id}/topics | dms:instance:get | √ | √ | | 修改Kafka实例Topic | PUT /v2/{project_id}/instances/{instance_id}/topics | dms:instance:modify | √ | √ | | 获取Kafka Topic详细信息 | GET /v2/kafka/{project_id}/instances/{instance_id}/topics-detail/{topic} | dms:instance:get | √ | √ | | Kafka实例批量删除Topic | POST /v2/{project_id}/instances/{instance_id}/topics/delete | dms:instance:modify | √ | √ | | 查询Topic的分区列表 | GET /v2/{project_id}/kafka/instances/{instance_id}/topics/{topic}/partitions | dms:instance:get | √ | √ | | 查询Topic的当前生产者列表 | GET /v2/{project_id}/kafka/instances/{instance_id}/topics/{topic}/producers | dms:instance:get | √ | √ | | 删除Topic流控配置 | DELETE /v2/kafka/{project_id}/instances/{instance_id}/kafka-topic-quota | dms:instance:modify | √ | √ | | 创建Topic流控配置 | POST /v2/kafka/{project_id}/instances/{instance_id}/kafka-topic-quota | dms:instance:modify | √ | √ | | 修改Topic流控配置 | PUT /v2/kafka/{project_id}/instances/{instance_id}/kafka-topic-quota | dms:instance:modify | √ | √ | | 查询Topic流控配置 | GET /v2/kafka/{project_id}/instances/{instance_id}/kafka-topic-quota | dms:instance:get | √ | √ | | Kafka实例开始分区平衡任务 | POST /v2/{project_id}/kafka/instances/{instance_id}/reassign | dms:instance:modify | √ | √ | #### 消费组管理 表6消费组管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 查询消费组信息 | GET /v2/{project_id}/instances/{instance_id}/management/groups/{group} | dms:instance:get | √ | √ | | 查询所有消费组 | GET /v2/{project_id}/instances/{instance_id}/groups | dms:instance:get | √ | √ | | Kafka实例批量删除消费组 | POST /v2/{project_id}/instances/{instance_id}/groups/batch-delete | dms:instance:modify | √ | √ | | 创建消费组 | POST /v2/{project_id}/kafka/instances/{instance_id}/group | dms:instance:modify | √ | √ | | 重置消费组消费进度到指定位置 | PUT /v2/kafka/{project_id}/instances/{instance_id}/groups/{group}/reset-message-offset | dms:instance:modify | √ | √ | | 查询消费组消息位点 | GET /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group}/message-offset | dms:instance:get | √ | √ | | 修改所有消费组 | PUT /v2/{engine}/{project_id}/instances/{instance_id}/groups | dms:instance:modify | √ | √ | | 查询指定消费组 | GET /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group} | dms:instance:get | √ | √ | | 删除指定消费组 | DELETE /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group} | dms:instance:modify | √ | √ | | 修改指定消费组 | PUT /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group} | dms:instance:modify | √ | √ | | 查询指定消费组的Topic | GET /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group}/topics | dms:instance:get | √ | √ | | 删除消费组在指定Topic的消费位点 | POST /v2/kafka/{project_id}/instances/{instance_id}/groups/{group}/delete-offset | dms:instance:modify | √ | √ | | 查询指定消费组的消费成员 | GET /v2/{engine}/{project_id}/instances/{instance_id}/groups/{group}/members | dms:instance:get | √ | √ | #### 用户管理 表7用户管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 删除用户/客户端流控配置 | DELETE /v2/kafka/{project_id}/instances/{instance_id}/kafka-user-client-quota | dms:instance:modify | √ | √ | | 查询用户/客户端流控配置 | GET /v2/kafka/{project_id}/instances/{instance_id}/kafka-user-client-quota | dms:instance:get | √ | √ | | 创建用户/客户端流控配置 | POST /v2/kafka/{project_id}/instances/{instance_id}/kafka-user-client-quota | dms:instance:modify | √ | √ | | 修改用户/客户端流控配置 | PUT /v2/kafka/{project_id}/instances/{instance_id}/kafka-user-client-quota | dms:instance:modify | √ | √ | | 查询用户列表 | GET /v2/{project_id}/instances/{instance_id}/users | dms:instance:get | √ | √ | | 创建用户 | POST /v2/{project_id}/instances/{instance_id}/users | dms:instance:modify | √ | √ | | 批量删除用户 | PUT /v2/{project_id}/instances/{instance_id}/users | dms:instance:modify | √ | √ | | 重置用户密码 | PUT /v2/{project_id}/instances/{instance_id}/users/{user_name} | dms:instance:get | √ | √ | | 修改用户参数 | PUT /v2/{engine}/{project_id}/instances/{instance_id}/users/{user_name} | dms:instance:modify | √ | √ | | 查询用户权限 | GET /v1/{project_id}/instances/{instance_id}/topics/{topic_name}/accesspolicy | dms:instance:get | √ | √ | | 设置用户权限 | POST /v1/{project_id}/instances/{instance_id}/topics/accesspolicy | dms:instance:modify | √ | √ | #### 消息管理 表8消息管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 查询消息 | GET /v2/{project_id}/instances/{instance_id}/messages | dms:instance:get | √ | √ | | 查询分区指定偏移量的消息 | GET /v2/{project_id}/instances/{instance_id}/management/topics/{topic}/partitions/{partition}/message | dms:instance:get | √ | √ | | 查询分区指定时间段的消息 | GET /v2/{project_id}/instances/{instance_id}/management/topics/{topic}/messages | dms:instance:get | √ | √ | | 查询分区最早消息的位置 | GET /v2/{project_id}/instances/{instance_id}/management/topics/{topic}/partitions/{partition}/beginning-message | dms:instance:get | √ | √ | | 查询分区最新消息的位置 | GET /v2/{project_id}/instances/{instance_id}/management/topics/{topic}/partitions/{partition}/end-message | dms:instance:get | √ | √ | | 删除Kafka消息 | POST /v2/{project_id}/kafka/instances/{instance_id}/topics/{topic}/messages/delete | dms:instance:modify | √ | √ | #### 后台任务管理 表9后台任务管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 查询实例的后台任务列表 | GET /v2/{project_id}/instances/{instance_id}/tasks | dms:instance:getBackgroundTask | √ | √ | | 查询后台任务管理中的指定记录 | GET /v2/{project_id}/instances/{instance_id}/tasks/{task_id} | dms:instance:getBackgroundTask | √ | √ | | 删除后台任务管理中的指定记录 | DELETE /v2/{project_id}/instances/{instance_id}/tasks/{task_id} | dms:instance:deleteBackgroundTask | √ | √ | | 查询实例的定时任务列表 | GET /v2/{project_id}/instances/{instance_id}/scheduled-tasks | dms:instance:get | √ | √ | | 查询后台任务中的指定实例的变更进度 | GET /v2/{project_id}/instances/{instance_id}/tasks/{task_id}/progress | dms:instance:getBackgroundTask | √ | √ | | 删除指定的定时任务 | DELETE /v2/{project_id}/instances/{instance_id}/scheduled-tasks/{task_id} | dms:instance:modify | √ | √ | | 修改指定的定时任务 | PUT /v2/{project_id}/instances/{instance_id}/scheduled-tasks/{task_id} | dms:instance:modify | √ | √ | #### 标签管理 表10标签管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 批量添加或删除实例标签 | POST /v2/{project_id}/kafka/{instance_id}/tags/action | dms:instance:modify | √ | √ | | 查询实例标签 | GET /v2/{project_id}/kafka/{instance_id}/tags | dms:instance:get | √ | √ | | 查询项目标签 | GET /v2/{project_id}/kafka/tags | dms:instance:get | √ | √ | #### 诊断管理 表11诊断管理 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 消息积压诊断预检查 | GET /v2/{project_id}/kafka/instances/{instance_id}/diagnosis-check | dms:instance:modify | √ | √ | | 创建消息积压诊断任务 | POST /v2/{project_id}/kafka/instances/{instance_id}/message-diagnosis-tasks | dms:instance:modify | √ | √ | | 查询消息积压诊断报告列表 | GET /v2/{project_id}/kafka/instances/{instance_id}/message-diagnosis-tasks | dms:instance:get | √ | √ | | 批量删除消息积压诊断报告 | DELETE /v2/{project_id}/kafka/instances/{instance_id}/message-diagnosis-tasks | dms:instance:modify | √ | √ | | 查询诊断报告详情 | GET /v2/{project_id}/kafka/instances/{instance_id}/message-diagnosis/{report_id} | dms:instance:get | √ | √ | #### 其他接口 表12其他接口 | 权限 | 对应API接口 | 授权项 | IAM项目(Project) | 企业项目(Enterprise Project) | |:---|:---|:---|:---|:---| | 查询维护时间窗时间段 | GET /v2/instances/maintain-windows | dms:instance:get | √ | √ | | 查询可用区信息 | GET /v2/available-zones | dms:instance:get | √ | √ | | 查询产品规格列表 | GET /v2/{engine}/products | dms:instance:get | √ | √ | | 查询实例在CES的监控层级关系 | GET /v2/{project_id}/instances/{instance_id}/ces-hierarchy | dms:instance:get | √ | √ | | 查询Kafka产品规格核数 | GET /v2/kafka/products/cores | dms:instance:get | √ | √ | | 查询特性开关列表 | GET /v2/config/features | dms:instance:get | √ | √ | [表13]展示了DMS for Kafka细粒度权限的相关依赖。 表13DMS for Kafka细粒度权限依赖说明 | 权限名称 | 权限描述 | 权限依赖 | |:---|:---|:---| | dms:instance:list | 查看实例列表 | 无 | | dms:instance:get | 查看实例详情信息 | 无 | | dms:instance:create | 创建实例 | - vpc:vpcs:get - vpc:ports:create - vpc:securityGroups:get - vpc:ports:get - vpc:subnets:get - vpc:vpcs:list - vpc:publicIps:get - vpc:publicIps:list - vpc:ports:update - vpc:publicIps:update - vpc:ports:delete | | dms:instance:getBackgroundTask | 查看实例后台任务详情 | 无 | | dms:instance:deleteBackgroundTask | 删除实例后台任务 | 无 | | dms:instance:modifyStatus | 重启实例 | 无 | | dms:instance:resetAuthInfo | 重置实例访问密码 | 无 | | dms:instance:modifyAuthInfo | 修改实例访问密码 | 无 | | dms:instance:modify | 修改实例 | - vpc:vpcs:get - vpc:ports:create - vpc:securityGroups:get - vpc:ports:get - vpc:subnets:get - vpc:vpcs:list - vpc:publicIps:get - vpc:publicIps:list - vpc:ports:update - vpc:publicIps:update - vpc:ports:delete | | dms:instance:scale | 实例开启扩容功能 | - vpc:vpcs:get - vpc:ports:create - vpc:securityGroups:get - vpc:ports:get - vpc:subnets:get - vpc:vpcs:list - vpc:publicIps:get - vpc:publicIps:list - vpc:ports:update - vpc:publicIps:update | | dms:instance:delete | 删除实例 | 无 | | dms:instance:connector | 实例开启转储功能 | - vpc:vpcs:get - vpc:ports:create - vpc:securityGroups:get - vpc:ports:get - vpc:subnets:get - vpc:vpcs:list - vpc:publicIps:get - vpc:publicIps:list - vpc:ports:update - vpc:publicIps:update | | dms:instance:createConnectorSinkTask | 创建转储任务 | 无 | | dms:instance:getConnectorSinkTask | 查看转储任务详情 | 无 | | dms:instance:listConnectorSinkTask | 查看转储任务列表 | 无 | | dms:instance:deleteConnectorSinkTask | 删除转储任务 | 无 |