Sintaxe da política

Estrutura da política

Uma política consiste em uma versão e uma ou mais instruções (indicando ações diferentes).

Figura 1 Estrutura da política

Parâmetros de política

Os parâmetros de política incluem Version e Statement, que são descritos na tabela a seguir. Você pode criar políticas personalizadas especificando os parâmetros. Para mais detalhes, consulte Casos de uso de políticas personalizadas.

• Chave de condição
  Uma chave de condição é uma chave no elemento Condition de uma instrução. Existem chaves de condição globais e de nível de serviço.

  • As chaves de condição global (começando com g:) se aplicam a todas as operações. O IAM fornece common global condition keys e special global condition keys.
    • Chaves de condição global comuns: os serviços de nuvem não precisam fornecer informações de identidade do usuário. Em vez disso, o IAM abstrai automaticamente as informações do usuário e autentica os usuários. Para mais detalhes, consulte Tabela 2.
    • Chaves de condição global especiais: o IAM obtém informações de condição dos serviços de nuvem para autenticação. Apenas determinados serviços de nuvem suportam chaves de condição global especiais.
  • Chaves de condição de nível de serviço (começando com uma abreviação de nome de serviço, por exemplo, obs:) aplicam-se apenas a operações no serviço especificado. Para obter detalhes, consulte o guia do usuário do serviço de nuvem correspondente, por exemplo, consulte Condições de solicitação de OBS.

  Tabela 2 Chaves de condição global comuns

  Chave de condição global	Tipo	Descrição
  g:CurrentTime	Time	Hora em que uma solicitação de autenticação é recebida. A hora está no formato ISO 8601, por exemplo, 2012-11-11T23:59:59Z. (Veja um exemplo de política que usa essa chave de condição)
  g:DomainName	String	Nome da conta do solicitante. (Veja um exemplo de política que usa essa chave de condição)
  g:MFAPresent	Boolean	Se deseja obter um token por meio da autenticação MFA. (Veja um exemplo de política que usa essa chave de condição)
  g:MFAAge	Number	Período de validade de um token obtido por meio da autenticação MFA. Esta condição deve ser usada em conjunto com g:MFAPresent. (Veja um exemplo de política que usa essa chave de condição)
  g:ProjectName	String	Nome do projeto. (Veja um exemplo de política que usa essa chave de condição)
  g:ServiceName	String	Nome do serviço. (Veja um exemplo de política que usa essa chave de condição)
  g:UserId	String	ID do usuário do IAM. (Veja um exemplo de política que usa essa chave de condição)
  g:UserName	String	Nome de usuário do IAM. (Veja um exemplo de política que usa essa chave de condição)

  Tabela 3 Chaves de condição global especiais

  Chave de condição global	Tipo	Descrição
  g:SourceIp	IP Address	Endereço IP do usuário que envia uma solicitação.
  g:SourceVpc	String	ID de VPC do usuário que envia uma solicitação.
  g:SourceVpce	String	ID do ponto de extremidade da VPC do usuário que está enviando uma solicitação.
  g:TagKeys	String	Chave de tag de recurso.
  g:ResourceTag/{TagKey}	String	Valor da chave da tag de recurso.

  1. g:CurrentTime

     Exemplo: a política a seguir concede permissão para criar funções personalizadas no IAM de 1º de março de 2023, 08:00 GMT+08:00 a 30 de março de 2023, 08:00 GMT+08:00. O valor da chave de condição g:CurrentTime está no formato UTC.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "DateGreaterThan": {
                                        "g:CurrentTime": ["2023-03-01T00:00:00Z"]
                               },
                               "DateLessThan": {
                                        "g:CurrentTime": ["2023-03-30T00:00:00Z"]
                               }
                       }
              }]
     }

  2. g: DomainName

     Exemplo: a política a seguir só permite que o usuário zhangsan crie funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g:DomainName": ["zhangsan"]
                               }
                       }
              }]
     }

  3. g:MFAPresent

     Exemplo: a política a seguir permite que os usuários que obtêm credenciais usando a MFA criem funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "Bool": {
                                        "g:MFAPresent": ["true"]
                               }
                       }
              }]
     }

  4. g:MFAAge

     Exemplo: a política a seguir permite que os usuários que obtêm credenciais usando a MFA com o período válido maior que 900s criem funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               " NumberGreaterThanEquals ": {
                                        "g:MFAAge": ["900"]
                               }
                       }
              }]
     }

  5. g:ProjectName

     Exemplo: a política a seguir permite que os usuários que obtêm credenciais em CN North-Beijing criem funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               " StringEquals ": {
                                        "g: ProjectName ": ["cn-north-4"]
                               }
                       }
              }]
     }

  6. g: ServiceName

     Exemplo: a política a seguir permite que os usuários acessem todos os serviços, exceto o IAM. O valor dessa chave de condição corresponde ao Service Name na solicitação de autenticação.

     {
              "Version": "1.1",
              "Statement": [{
                       "Action": [
                               "*:*:*"
                       ],
                       "Effect": "Allow",
                       "Condition": {
                               "StringNotEqualsIgnoreCase": {
                                        "g:ServiceName": [
                                                 "iam"
                                        ]
                               }
                       }
              }]
     }

  7. g: UserId

     Exemplo: a política a seguir só permite o usuário cujo ID é xxxxxxxxxxx… para criar funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g: UserId ": ["xxxxxxxxxxx…"]
                               }
                       }
              }]
     }

  8. g: UserName

     Exemplo: a política a seguir só permite que o usuário lisi crie funções personalizadas no IAM.

     {
              "Version": "1.1",
              "Statement": [{
                       "Effect": "Allow",
                       "Action": ["iam:roles:createRoles"],
                       "Condition": {
                               "StringEquals": {
                                        "g: UserName ": ["lisi"]
                               }
                       }
              }]
     }

  • Chaves de condição multivalorada
    1. ForAllValues: testa se o valor de cada membro do conjunto de solicitações é um subconjunto do conjunto de chaves de condição. A condição retorna true se cada valor de chave na solicitação corresponder a pelo menos um valor na política.

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "ims:images:share"
                   ],
                   "Condition": {
                       "ForAllValues:StringEquals": {
                           "ims:TargetOrgPaths": [
                               "orgPath1",
                               "orgPath2",
                               "orgPath3"
                           ]
                       }
                   }
               }
           ]
       }

       Esta política mostra como usar o qualificador ForAllValues com o operador de condição StringEquals. A condição determina se o compartilhamento deve ser permitido com as contas de membros no caminho de organização orgPath1, orgPath2 ou orgPath3.

       Suponha que um usuário faça uma solicitação para compartilhar o IMS com as contas de membros nos caminhos de organização orgPath1 e orgPath3. A solicitação é permitida porque os atributos solicitados pelo usuário correspondem todos aos valores especificados na política.

       Se a solicitação do usuário incluir orgPath1, orgPath2, orgPath3 e orgPath4, a solicitação falhará porque orgPath4 não está incluído no operador de condição.

    2. ForAnyValue: testa se pelo menos um membro do conjunto de valores de solicitação corresponde a pelo menos um membro do conjunto de valores de chave de condição. A condição retornará true se qualquer um dos valores de chave na solicitação corresponder a qualquer um dos valores de condição na política. Para nenhuma chave correspondente ou um conjunto de dados nulo, a condição retorna false.

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "ims:images:share"
                   ],
                   "Condition": {
                       "ForAnyValue:StringEquals": {
                           "ims:TargetOrgPaths": [
                               "orgPath1",
                               "orgPath2",
                               "orgPath3"
                           ]
                       }
                   }
               }
           ]
       }

       Esta política mostra como usar o qualificador ForAnyValue com o operador de condição StringEquals. A condição determina se o compartilhamento deve ser permitido com as contas de membros no caminho de organização orgPath1, orgPath2 ou orgPath3.

       Suponha que um usuário faça uma solicitação para compartilhar o IMS com as contas de membros no caminho da organização orgPath1 ou orgPath4. A solicitação é permitida porque os atributos solicitados pelo usuário correspondem todos aos valores especificados na política.

       Se o usuário iniciar uma solicitação para compartilhar o IMS com as contas de membros no caminho da organização orgPath4 ou orgPath5, a solicitação falhará porque orgPath4 e orgPath5 não estão incluídos no operador de condição.

  Operadores de condição

  Figura 2 Operadores de condição
  
  1. Se um único operador de condição incluir vários valores para uma chave, esse operador de condição será avaliado usando um OR lógico. A condição retornará true se qualquer um dos valores de chave na solicitação corresponder a qualquer um dos valores de condição na política.
     

     Para operadores de condição de correspondência negada (como StringNotEquals), o valor da solicitação não pode corresponder a nenhum dos valores de condição com base nos operadores de condição.

  2. Se a política tiver vários operadores de condição ou várias chaves anexadas a um único operador de condição, as condições serão avaliadas usando um AND lógico.