策略语言说明

• 作用（Effect）

  作用包含两种：允许（Allow）和拒绝（Deny），一个自定义策略中可以同时包含允许和拒绝的授权语句，当策略中既有允许又有拒绝的授权语句时，遵循Deny优先的原则。

• 授权项（Action）

  对资源的具体操作权限，支持单个或多个操作权限。

  格式为：服务名:资源类型:操作，例如：vpc:ports:create。

• 资源类型（Resource）

  策略所作用的资源。

  格式为：服务名:region:domainId:资源类型:资源路径, 通配符号*表示所有。

  示例：

  • "obs:*:*:bucket:*": 表示所有的OBS桶。
  • "obs:*:*:object:my-bucket/my-object/*": 表示my-bucket桶my-object目录下的所有对象。
• 条件（Condition）

  使策略生效的特定条件，包括条件键和运算符。条件键表示策略语句的 Condition 元素中的键值，分为全局级条件键和服务级条件键（由云服务定义，请参见云服务帮助中心）。全局级条件键（前缀为g:）适用于所有操作，服务级条件键（前缀为服务缩写，如obs:）仅适用于对应服务的操作。运算符与条件键一起使用，构成完整的条件判断语句。

  格式为：条件运算符: {条件名：[条件值1, 条件值2]}。

  示例:

  • "StringEndWithIfExists":{"g:UserName":["specialCharactor"]}：表示当用户输入的用户名以"specialCharactor"结尾时该条statement生效。

  表1 全局级请求条件

  全局条件键	条件类型	说明
  g:CurrentTime	时间	接收到鉴权请求的时间。以 ISO 8601 格式表示，例如：2012-11-11T23:59:59Z。
  g:DomainName	字符串	账号名称
  g:ProjectName	字符串	项目名称
  g:ServiceName	字符串	服务名称
  g:UserId	字符串	IAM用户ID
  g:UserName	字符串	IAM用户名

• 服务名：产品名称，例如ecs、evs和vpc等，服务名仅支持小写。
• 资源类型和操作没有大小写要求，支持通配符号*，用户不需要罗列全部授权项，通过配置通配符号*可以方便快捷地实现授权。

{
        "Version": "1.1",
        "Statement": [
                {
                        "Action": [
                                "obs:bucket:ListAllMybuckets",
                                "obs:bucket:HeadBucket",
                                "obs:bucket:ListBucket",
                                "obs:bucket:GetBucketLocation"
                        ],
                        "Effect": "Deny",
                        "Resource": [
                            "obs:*:*:bucket:TestBucket*"
                        ],
                        "Condition": {
                            "StringStartWith": {
                                "g:UserName": [
                                    "TestUser"
                    ]
                }
            }
                }
        ]
}

当前仅部分服务支持资源级授权，对于不支持资源级别授权的服务，若自定义策略中含有资源类型，则无法创建成功。