策略语法

下面以OBS的自定义策略为例，说明策略的语法。

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "obs:bucket:ListAllMyBuckets",
                "obs:bucket:HeadBucket",
                "obs:bucket:ListBucket",
                "obs:bucket:GetBucketLocation"
            ],
            "Condition": {
                "StringEndWithIfExists": {
                    "g:UserName": [
                        "specialCharacter"
                    ]
                },
                "Bool": {
                    "g:MFAPresent": [
                        "true"
                    ]
                }
            },
            "Resource": [
                "obs:*:*:bucket:*"
            ]
        }
    ]
}

策略结构

策略结构包括Version（策略版本号）和Statement（策略权限语句）两部分，其中Statement可以有多个，表示不同的授权项。

图1 策略结构

• 运算符

  运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，策略才能生效，详情请参见：运算符。运算符可以增加后缀“IfExists”，表示对应请求值为空或满足条件的请求值均使策略生效，如“StringEqualsIfExists”表示请求值为空或请求值等于条件值均使策略生效。

  表3 运算符（字符串型运算符，如未增加说明，不区分大小写。）

  运算符	类型	说明
  StringEquals	字符串	请求值等于条件值（区分大小写）
  StringNotEquals	字符串	请求值不等于条件值（区分大小写）
  StringEqualsIgnoreCase	字符串	请求值等于条件值
  StringNotEqualsIgnoreCase	字符串	请求值不等于条件值
  StringLike	字符串	请求值包含条件值
  StringNotLike	字符串	请求值不包含条件值
  StringStartWith	字符串	请求值以条件值开头
  StringEndWith	字符串	请求值以条件值结尾
  StringNotStartWith	字符串	请求值不以条件值开头
  StringNotEndWith	字符串	请求值不以条件值结尾
  StringEqualsAnyOf	字符串	可配置多个条件值，请求值与任意一个条件值相同（区分大小写）
  StringNotEqualsAnyOf	字符串	可配置多个条件值，请求值与所有条件值都不同（区分大小写）
  StringEqualsIgnoreCaseAnyOf	字符串	可配置多个条件值，请求值与任意一个条件值相同
  StringNotEqualsIgnoreCaseAnyOf	字符串	可配置多个条件值，请求值与所有条件值都不同
  StringLikeAnyOf	字符串	可配置多个条件值，请求值包含任意一个条件值
  StringNotLikeAnyOf	字符串	可配置多个条件值，请求值不包含所有条件值
  StringStartWithAnyOf	字符串	可配置多个条件值，请求值以任意一个条件值开头
  StringEndWithAnyOf	字符串	可配置多个条件值，请求值以任意一个条件值结尾
  StringNotStartWithAnyOf	字符串	可配置多个条件值，请求值不以任意一个条件值开头
  StringNotEndWithAnyOf	字符串	可配置多个条件值，请求值不以任意一个条件值结尾
  NumberEquals	数值	请求值等于条件值
  NumberNotEquals	数值	请求值不等于条件值
  NumberLessThan	数值	请求值小于条件值
  NumberLessThanEquals	数值	请求值小于或等于条件值
  NumberGreaterThan	数值	请求值大于条件值
  NumberGreaterThanEquals	数值	请求值大于或等于条件值
  NumberEqualsAnyOf	数值	可配置多个条件值，请求值与任意一个条件值相同
  NumberNotEqualsAnyOf	数值	可配置多个条件值，请求值与所有条件值都不同
  DateLessThan	时间	请求值早于条件值
  DateLessThanEquals	时间	请求值早于或等于条件值
  DateGreaterThan	时间	请求值晚于条件值
  DateGreaterThanEquals	时间	请求值晚于或等于条件值
  Bool	布尔值	请求值等于条件值
  IpAddress	IP地址	请求值在条件值所设置的IP地址范围内
  NotIpAddress	IP地址	请求值不在条件值所设置的IP地址范围内
  IsNullOrEmpty	空值	请求值为null或者空字符串
  IsNull	空值	请求值为null
  IsNotNull	空值	请求值不为null