文档首页/云解析服务 DNS/API参考/权限和授权项/策略授权参考
更新时间：2025-11-10 GMT+08:00
查看PDF
分享

策略授权参考

本章节介绍DNS策略授权场景下支持的策略授权项。

支持的授权项

策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：

  • 权限：允许或拒绝某项操作。
  • 对应API接口：自定义策略实际调用的API接口。
  • 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
  • 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
  • IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。管理员可以在授权项列表中查看授权项是否支持IAM项目或企业项目，“√”表示支持，“×”表示暂不支持。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。

DNS支持的自定义策略授权项如下所示：

  • Zone：包含DNS所有Zone管理接口对应的授权项，如创建Zone等接口。
  • Record Set：包含DNS所有Record Set管理接口对应的授权项，如创建Record Set等接口。
  • PTR：包含DNS所有PTR管理接口对应的授权项，如设置PTR Record等接口。
  • TAG：包含DNS所有Tag管理接口对应的授权项，如添加资源标签等接口。
  • 导入：包含DNS所有导入管理接口对应的授权项，如创建批量导入公网Record Set任务等接口。

Zone

表1 Zone

权限

对应API接口

授权项（Action）

依赖的授权项

IAM项目(Project)

企业项目(Enterprise Project)

创建Zone

POST /v2/zones

dns:zone:create

vpc:*:get*

vpc:*:list*

√

√

查询Zone

GET /v2/zones/{zone_id}

dns:zone:get

-

√

√

查询Zone列表

GET /v2/zones

dns:zone:list

-

√

支持以下两种过滤条件：

  • 通过企业项目过滤条件。
  • 通过资源ID过滤条件。

更新Zone

PATCH /v2/zones/{zone_id}

dns:zone:update

-

√

√

设置Zone状态

PUT /v2/zones/{zone_id}/statuses

dns:zone:setStatus

-

√

√

删除Zone

DELETE /v2/zones/{zone_id}

dns:zone:delete

ces:remoteChecks:list

ces:siteMonitorHealthCheck:get

ces:siteMonitorHealthCheck:create

ces:siteMonitorRule:delete

ces:siteMonitorRule:put

√

√

批量删除Zone

DELETE /v2.1/zones

dns:zone:delete

ces:remoteChecks:list

ces:siteMonitorHealthCheck:get

ces:siteMonitorHealthCheck:create

ces:siteMonitorRule:delete

ces:siteMonitorRule:put

√

√

内网Zone关联VPC

POST /v2/zones/{zone_id}/associaterouter

dns:zone:associaterouter

vpc:*:get*

vpc:*:list*

√

√

说明：

不含共享资源。

内网Zone解关联VPC

POST /v2/zones/{zone_id}/disassociaterouter

dns:zone:disassociaterouter

vpc:*:get*

vpc:*:list*

√

√

说明：

不含共享资源。

创建公网域名找回

POST /v2/retrieval

dns:zone:createRetrieval

-

√

×

请求立即验证公网域名找回

POST /v2/retrieval/verification/{id}

查询公网域名找回

GET /v2/retrieval

dns:zone:getRetrieval

-

√

×

查询公网域名找回结果

GET /v2/retrieval/verification/{id}

导出Zone

GET /v2/zones/{zone_id}/export

dns:zone:getExport

-

√

√

Record Set

表2 Record Set

权限

对应API接口

授权项（Action）

依赖的授权项

IAM项目(Project)

企业项目(Enterprise Project)

创建Record Set

POST /v2/zones/{zone_id}/recordsets

dns:recordset:create

-

√

√

创建Record Set

POST /v2.1/zones/{zone_id}/recordsets

dns:recordset:create

-

√

√

查询Record Set

GET /v2/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:get

-

√

√

查询Record Set

GET /v2.1/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:get

-

√

√

查询Record Set列表

GET /v2/zones/{zone_id}/recordsets

dns:recordset:list

-

√

list类接口。

支持所属zone ID过滤条件。

GET /v2/recordsets

查询Record Set列表

GET /v2.1/zones/{zone_id}/recordsets

dns:recordset:list

-

√

list类接口。

支持所属zone ID过滤条件。

GET /v2.1/recordsets

更新Record Set

PUT /v2/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:update

-

√

√

更新Record Set

PUT /v2.1/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:update

-

√

√

删除Record Set

DELETE /v2/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:delete

ces:remoteChecks:list

ces:siteMonitorHealthCheck:get

ces:siteMonitorHealthCheck:create

ces:siteMonitorRule:delete

ces:siteMonitorRule:put

√

√

删除Record Set

DELETE /v2.1/zones/{zone_id}/recordsets/{recordset_id}

dns:recordset:delete

ces:remoteChecks:list

ces:siteMonitorHealthCheck:get

ces:siteMonitorHealthCheck:create

ces:siteMonitorRule:delete

ces:siteMonitorRule:put

√

√

批量删除Record Set

DELETE /v2.1/zones/{zone_id}/recordsets

dns:recordset:delete

ces:remoteChecks:list

ces:siteMonitorHealthCheck:get

ces:siteMonitorHealthCheck:create

ces:siteMonitorRule:delete

ces:siteMonitorRule:put

√

√

设置Record Set状态

PUT /v2.1/recordsets/{recordset_id}/statuses/set

dns:recordset:setStatus

-

√

√

PTR

表3 PTR

权限

对应API接口

授权项（Action）

依赖的授权项

IAM项目(Project)

企业项目(Enterprise Project)

设置PTR Record

PATCH /v2/reverse/floatingips/{region}:{floatingip_id}

dns:ptr:set

vpc:*:get*

vpc:*:list*

√

√

修改PTR Record

PATCH /v2/reverse/floatingips/{region}:{floatingip_id}

恢复PTR Record默认值

PATCH /v2/reverse/floatingips/{region}:{floatingip_id}

批量恢复PTR Record默认值

DELETE /v2.1/reverse/floatingips

查询PTR Record

GET /v2/reverse/floatingips/{region}:{floatingip_id}

dns:ptr:get

-

√

√

查询PTR Record列表

GET /v2/reverse/floatingips

dns:ptr:list

-

√

×

list类接口。

支持以下两种过滤条件：
  • 通过企业项目过滤条件。
  • 通过资源ID过滤条件。

    资源ID形式：{region}:{floatingip_id}

TAG

表4 TAG

权限

对应API接口

授权项（Action）

依赖的授权项

IAM项目

(Project)

企业项目(Enterprise Project)

添加资源标签

POST /v2/{project_id}/{resource_type}/{resource_id}/tags

dns:tag:set

-

√

√

批量添加删除资源标签

POST /v2/{project_id}/{resource_type}/{resource_id}/tags/action

删除资源标签

DELETE /v2/{project_id}/{resource_type}/{resource_id}/tags/{key}

dns:tag:get

查询资源标签

GET /v2/{project_id}/{resource_type}/{resource_id}/tags

dns:tag:get

-

√

√

查询项目标签

GET /v2/{project_id}/{resource_type}/tags

dns:tag:get

-

√

×

查询资源实例

POST /v2/{project_id}/{resource_type}/resource_instances/action

dns:tag:get

-

√

×

导入

表5 导入

权限

对应API接口

授权项（Action）

依赖的授权项

IAM项目(Project)

企业项目(Enterprise Project)

创建批量导入公网Record Set任务

POST /v2/zones/{zone_id}/import/recordsets

dns:publicRecordset:createImport

-

√

√

查询批量导入公网Record Set任务

GET /v2/zones/{zone_id}/import/recordsets

dns:publicRecordset:getImport

-

√

√

删除批量导入公网Record Set任务

DELETE /v2/zones/{zone_id}/import/tasks/{task_id}

dns:publicRecordset:deleteImport

-

√

√

创建批量导入内网Record Set任务

POST /v2/zones/{zone_id}/import/private/recordsets

dns:privateRecordset:createImport

-

√

√

查询批量导入内网Record Set任务

GET /v2/zones/{zone_id}/import/private/recordsets

dns:privateRecordset:getImport

-

√

√

删除批量导入内网Record Set任务

DELETE /v2/zones/{zone_id}/import/private/tasks/{task_id}

dns:privateRecordset:deleteImport

-

√

√

父主题： 权限和授权项