Sintaxis de política

Estructura de políticas

Una política consiste en una versión y una o más sentencias (que indican diferentes acciones).

Figura 1 Estructura de políticas

Parámetros de política

Los parámetros de directiva incluyen Version y Statement, que se describen en la tabla siguiente. Puede crear políticas personalizadas especificando los parámetros. Para obtener más información, véase Casos de uso de políticas personalizadas.

• Condition key
  Una clave de condición es una clave en el elemento Condition de una sentencia. Hay claves de condición globales y de nivel de servicio.

  • Las claves de condición globales (comenzando con g:) se aplican a todas las operaciones. IAM proporciona common global condition keys y special global condition keys.
    • Claves de condición globales comunes: Los servicios en la nube no necesitan proporcionar información de identidad del usuario. En su lugar, IAM abstrae automáticamente la información del usuario y autentica a los usuarios. Para obtener más información, véase Tabla 2.
    • Claves de condición global especiales: IAM obtiene información de condición de los servicios en la nube para la autenticación. Solo algunos servicios en la nube admiten claves de condición globales especiales.
  • Las claves de condición de nivel de servicio (comenzando con una abreviatura de nombre de servicio, por ejemplo, obs:) solo se aplican a las operaciones en el servicio especificado. Para obtener más información, consulte la guía del usuario del servicio en la nube correspondiente, por ejemplo, consulte Condiciones de solicitud de OBS.

  Tabla 2 Claves de condición global comunes

  Clave de condición global	Tipo	Descripción
  g:CurrentTime	Time	Tiempo en la que se recibe una solicitud de autenticación. La hora está en formato ISO 8601, por ejemplo 2012-11-11T23:59:59Z. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:DomainName	String	Nombre de la cuenta del solicitante. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:MFAPresent	Boolean	Si se obtiene un token a través de la autenticación MFA. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:MFAAge	Number	Período de validez de un token obtenido mediante autenticación MFA. Esta condición debe usarse junto con g:MFAPresent. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:ProjectName	String	Nombre del proyecto. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:ServiceName	String	Nombre del servicio. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:UserId	String	ID de usuario de IAM. (Ver una política de ejemplo que utiliza esta clave de condición)
  g:UserName	String	Nombre de usuario IAM. (Ver una política de ejemplo que utiliza esta clave de condición)

  Tabla 3 Claves de condición global especiales

  Clave de condición global	Tipo	Descripción
  g:SourceIp	IP Address	Dirección IP del usuario que envía una solicitud.
  g:SourceVpc	String	ID de VPC del usuario que envía una solicitud.
  g:SourceVpce	String	ID de punto de conexión de VPC del usuario que envía una solicitud.
  g:TagKeys	String	Clave de etiqueta de recurso.
  g:ResourceTag/{TagKey}	String	Valor de clave de etiqueta de recurso.

  1. g:CurrentTime

     Ejemplo: La siguiente política otorga permiso para crear roles personalizados en IAM desde el 1 de marzo de 2023, 08:00 GMT+08:00 hasta el 30 de marzo de 2023, 08:00 GMT+08:00. El valor de la clave de condición g:CurrentTime está en formato UTC.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "DateGreaterThan": {
                                        "g:CurrentTime": ["2023-03-01T00:00:00Z"]
                               },
                               "DateLessThan": {
                                        "g:CurrentTime": ["2023-03-30T00:00:00Z"]
                               }
                       }
              }]
     }

  2. g: DomainName

     Ejemplo: La siguiente política solo permite que el usuario zhangsan cree roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g:DomainName": ["zhangsan"]
                               }
                       }
              }]
     }

  3. g:MFAPresent

     Ejemplo: La siguiente política permite a los usuarios que obtengan credenciales mediante MFA crear roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "Bool": {
                                        "g:MFAPresent": ["true"]
                               }
                       }
              }]
     }

  4. g:MFAAge

     Ejemplo: La siguiente política permite a los usuarios que obtengan credenciales mediante MFA con un período válido superior a 900s crear roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               " NumberGreaterThanEquals ": {
                                        "g:MFAAge": ["900"]
                               }
                       }
              }]
     }

  5. g:ProjectName

     Ejemplo: La siguiente política permite a los usuarios que obtengan credenciales de CN North-Beijing crear roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               " StringEquals ": {
                                        "g: ProjectName ": ["cn-north-4"]
                               }
                       }
              }]
     }

  6. g: ServiceName

     Ejemplo: La siguiente política permite a los usuarios acceder a todos los servicios excepto IAM. El valor de esta clave de condición coincide con Service Name en la solicitud de autenticación.

     {
              "Version": "1.1",
              "Statement": [{
                       "Action": [
                               "*:*:*"
                       ],
                       "Effect": "Allow",
                       "Condition": {
                               "StringNotEqualsIgnoreCase": {
                                        "g:ServiceName": [
                                                 "iam"
                                        ]
                               }
                       }
              }]
     }

  7. g: UserId

     Ejemplo: La siguiente política solo permite al usuario cuyo ID sea xxxxxxxxxxx… crear roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g: UserId ": ["xxxxxxxxxxx…"]
                               }
                       }
              }]
     }

  8. g: UserName

     Ejemplo: La siguiente política solo permite que el usuario lisi cree roles personalizados en IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g: UserName ": ["lisi"]
                               }
                       }
              }]
     }

  • Claves de condición multivalor
    1. ForAllValues: Comprueba si el valor de cada miembro del conjunto de solicitudes es un subconjunto del conjunto de claves de condición. La condición devuelve true si cada valor de clave de la solicitud coincide con al menos un valor de la política.

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "ims:images:share"
                   ],
                   "Condition": {
                       "ForAllValues:StringEquals": {
                           "ims:TargetOrgPaths": [
                               "orgPath1",
                               "orgPath2",
                               "orgPath3"
                           ]
                       }
                   }
               }
           ]
       }

       Esta política muestra cómo usar el calificador ForAllValues con el operador de condición StringEquals. La condición determina si se permite el uso compartido con las cuentas de miembro en la ruta de organización orgPath1, orgPath2 o orgPath3.

       Supongamos que un usuario realiza una solicitud para compartir IMS con las cuentas de miembro en las rutas de organización orgPath1 y orgPath3. Se permite la solicitud porque los atributos solicitados del usuario coinciden con los valores especificados en la política.

       Si la solicitud del usuario incluye orgPath1, orgPath2, orgPath3 y orgPath4, la solicitud falla porque orgPath4 no está incluida en el operador de condición.

    2. ForAnyValue: Prueba si al menos un miembro del conjunto de valores de solicitud coincide con al menos un miembro del conjunto de valores de clave de condición. La condición devuelve true si cualquiera de los valores de clave de la solicitud coincide con cualquiera de los valores de condición de la política. Para ninguna clave coincidente o un conjunto de datos nulo, la condición devuelve false.

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "ims:images:share"
                   ],
                   "Condition": {
                       "ForAnyValue:StringEquals": {
                           "ims:TargetOrgPaths": [
                               "orgPath1",
                               "orgPath2",
                               "orgPath3"
                           ]
                       }
                   }
               }
           ]
       }

       Esta política muestra cómo usar el calificador ForAnyValue con el operador de condición StringEquals. La condición determina si se permite el uso compartido con las cuentas de miembro en la ruta de organización orgPath1, orgPath2 o orgPath3.

       Supongamos que un usuario realiza una solicitud para compartir IMS con las cuentas de miembro en la ruta de organización orgPath1 o orgPath4. Se permite la solicitud porque los atributos solicitados del usuario coinciden con los valores especificados en la política.

       Si el usuario inicia una solicitud para compartir IMS con las cuentas de miembro en la ruta de organización orgPath4 o orgPath5, la solicitud falla porque orgPath4 y orgPath5 no están incluidos en el operador de condición.

  Condition operators

  Figura 2 Operadores de condiciones
  
  1. Si un único operador de condición incluye múltiples valores para una clave, ese operador de condición se evalúa usando un OR lógico. La condición devuelve true si alguno de los valores de clave de la solicitud coincide con cualquiera de los valores de condición de la política.
     

     Para los operadores de condiciones coincidentes anulados (como StringNotEquals), el valor de solicitud no puede coincidir con ninguno de los valores de condición basándose en los operadores de condición.

  2. Si la política tiene varios operadores de condiciones o varias claves conectadas a un único operador de condiciones, las condiciones se evalúan mediante un AND lógico.