Permissões

Permissões do IAM

Os novos usuários do IAM não têm nenhuma permissão atribuída por padrão. Primeiro você precisa adicioná-los a um ou mais grupos e anexar políticas ou funções a esses grupos. Em seguida, os usuários herdam permissões dos grupos e podem executar operações especificadas em serviços de nuvem com base nas permissões atribuídas a eles.

O IAM é um serviço global implementado em todas as regiões. Quando você define o escopo de autorização como Global services, os usuários têm permissão para acessar o IAM em todas as regiões.

Você pode conceder permissões usando funções e políticas.

• Funções: uma estratégia de autorização de alta granularidade fornecida pelo IAM para atribuir permissões com base nas responsabilidades de trabalho dos usuários. Apenas um número limitado de funções em nível de serviço está disponível para autorização. Os serviços de nuvem dependem uns dos outros. Ao conceder permissões usando funções, você também precisa anexar quaisquer dependências de função existentes. As funções não são ideais para autorização refinada e acesso de privilégio mínimo.
• Políticas: uma estratégia de autorização refinada que define as permissões necessárias para realizar operações em recursos específicos de nuvem sob determinadas condições. Esse tipo de autorização é mais flexível e é ideal para acesso de privilégio mínimo. Por exemplo, você pode conceder permissão somente aos usuários para gerenciar ECSs de um determinado tipo. A maioria das políticas refinadas contém permissões para APIs específicas, e as permissões são definidas usando ações da API. Para as ações de API suportadas pelo IAM, consulte Permissões e ações suportadas.

Tabela 1 lista todas as permissões definidas pelo sistema para o IAM.

Tabela 2 lista as operações comuns suportadas por permissões definidas pelo sistema para o IAM.

Tenant Guest e Tenant Administrator são funções básicas fornecidas pelo IAM e não contêm permissões específicas para o IAM. Portanto, as duas funções não estão listadas na tabela a seguir.

O gerenciamento de chaves de acesso está desativado por padrão.Quando o gerenciamento de chaves de acesso está ativado, somente os administradores podem gerenciar as chaves de acesso. Se os usuários do IAM precisarem criar, ativar, desativar ou excluir suas próprias chaves de acesso, eles deverão pedir ao administrador para desativar o gerenciamento de chaves de acesso.

Se um usuário do IAM quiser gerenciar as chaves de acesso de outros usuários do IAM, consulte Tabela 3. Por exemplo, se o usuário A do IAM quiser criar uma chave de acesso para o usuário B do IAM, o usuário A do IAM deve ter a permissão Security Administrator ou FullAccess.

Conteúdo da política FullAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "*:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da política IAM ReadOnlyAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "iam:*:get*",
                "iam:*:list*",
                "iam:*:check*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da função Security Administrator

{
    "Version": "1.0",
    "Statement": [
        {
            "Action": [
                "iam:agencies:*",
                "iam:credentials:*",
                "iam:groups:*",
                "iam:identityProviders:*",
                "iam:mfa:*",
                "iam:permissions:*",
                "iam:projects:*",
                "iam:quotas:*",
                "iam:roles:*",
                "iam:users:*",
                "iam:securitypolicies:*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da função Agent Operator

{
    "Version": "1.0",
    "Statement": [
        {
            "Action": [
                "iam:tokens:assume"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da função Tenant Guest

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "obs:*:get*",
                "obs:*:list*",
                "obs:*:head*"
            ],
            "Effect": "Allow"
        },
        {
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "g:ServiceName": [
                        "iam"
                    ]
                }
            },
            "Action": [
                "*:*:get*",
                "*:*:list*",
                "*:*:head*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da função Tenant Administrator

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "obs:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "g:ServiceName": [
                        "iam"
                    ]
                }
            },
            "Action": [
                "*:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}