更新时间:2024-06-21 GMT+08:00

虚拟私有云 VPC

Organizations服务中的服务控制策略(Service Control Policy,以下简称SCP)可以使用以下授权项元素设置访问控制策略。

SCP不直接进行授权,只划定权限边界。将SCP绑定到组织单元或者成员账号时,并没有直接对组织单元或成员账号授予操作权限,而是规定了成员账号或组织单元包含的成员账号的授权范围。

本章节介绍组织服务中SCP使用的元素,这些元素包含了操作(Action)、资源(Resource)和条件(Condition)。

如何使用这些元素编辑SCP自定义策略,请参考创建SCP

操作(Action)

操作(Action)即为SCP中支持的授权项。

  • “访问级别”列描述如何对操作进行分类(list、read和write等)。此分类可帮助您了解在SCP中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值(-),则必须在SCP语句的Resource元素中指定所有资源类型(“*”)。
    • 如果该列包含资源类型,则必须在具有该操作的语句中指定该资源的URN。
    • 资源类型列中必需资源在表中用星号(*)标识,表示使用此操作必须指定该资源类型。

    关于vpc定义的资源类型的详细信息请参见资源类型(Resource)

  • “条件键”列包括了可以在SCP语句的Condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值,则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值(-),则表示条件键对整个授权项生效。
    • 如果此列没有值(-),表示此操作不支持指定条件键。

    关于vpc定义的条件键的详细信息请参见条件(Condition)

您可以在SCP语句的Action元素中指定以下vpc的相关操作。

表1 vpc支持的授权项

授权项

描述

访问级别

资源类型(*为必须)

条件键

vpc:vpcs:create

授予创建虚拟私有云权限。

write

vpc *

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:vpcs:get

授予查询虚拟私有云详情权限。

read

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:vpcs:list

授予查询虚拟私有云列表权限。

list

vpc *

-

-

g:EnterpriseProjectId

vpc:vpcs:update

授予更新虚拟私有云权限。

write

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:vpcs:delete

授予删除虚拟私有云权限。

write

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:subnets:create

授予创建子网权限。

write

subnet *

-

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:subnets:get

授予查询子网详情权限。

read

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:subnets:list

授予查询子网列表权限。

list

subnet *

-

-

g:EnterpriseProjectId

vpc:subnets:update

授予更新子网权限。

write

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:subnets:delete

授予删除子网权限。

write

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:quotas:list

授予查询资源配额权限。

list

-

-

vpc:privateIps:create

授予创建私有IP权限。

write

privateIp *

-

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId

vpc:privateIps:get

授予查询私有IP详情权限。

read

privateIp *

  • vpc:PrivateIpId
  • vpc:SubnetId

vpc:privateIps:list

授予查询私有IP列表权限。

list

privateIp *

-

vpc:privateIps:delete

授予删除私有IP权限。

write

privateIp *

  • vpc:PrivateIpId
  • vpc:SubnetId

vpc:securityGroups:create

授予创建安全组权限。

write

securityGroup *

-

-

g:EnterpriseProjectId

vpc:securityGroups:get

授予查询安全组详情权限。

read

securityGroup *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroups:list

授予查询安全组列表权限。

list

securityGroup *

-

-

g:EnterpriseProjectId

vpc:securityGroups:update

授予更新安全组权限。

write

securityGroup *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroups:delete

授予删除安全组权限。

write

securityGroup *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroupRules:create

授予创建安全组规则权限。

write

securityGroupRule *

-

securityGroup *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroupRules:get

授予查询安全组规则详情权限。

read

securityGroupRule *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroupRules:list

授予查询安全组规则列表权限。

list

-

g:EnterpriseProjectId

vpc:securityGroupRules:update

授予更新安全组规则权限。

write

securityGroupRule *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:securityGroupRules:delete

授予删除安全组规则权限。

write

securityGroupRule *

  • g:EnterpriseProjectId
  • vpc:SecurityGroupId

vpc:ports:create

授予创建端口权限。

write

port *

-

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:ports:get

授予查询端口详情权限。

read

port *

  • vpc:SubnetId
  • vpc:PortId
  • g:EnterpriseProjectId

vpc:ports:list

授予查询端口列表权限。

list

port *

-

-

g:EnterpriseProjectId

vpc:ports:update

授予更新端口权限。

write

port *

  • vpc:SubnetId
  • vpc:PortId
  • g:EnterpriseProjectId

vpc:ports:delete

授予删除端口权限。

write

port *

  • vpc:SubnetId
  • vpc:PortId
  • g:EnterpriseProjectId

vpc:peerings:create

授予创建对等连接权限。

write

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:AccepterVpcOrgPath
  • vpc:AccepterVpcOwner

vpc *

  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:peerings:get

授予查询对等连接详情权限。

read

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:PeeringId

vpc:peerings:list

授予查询对等连接列表权限。

list

peering *

-

vpc:peerings:accept

授予接受对等连接权限。

write

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:PeeringId
  • vpc:RequesterVpcOrgPath
  • vpc:RequesterVpcOwner

vpc:peerings:reject

授予拒绝对等连接权限。

write

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:PeeringId

vpc:peerings:update

授予更新对等连接权限。

write

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:PeeringId

vpc:peerings:delete

授予删除对等连接权限。

write

peering *

  • vpc:AccepterVpcId
  • vpc:RequesterVpcId
  • vpc:PeeringId

vpc:routeTables:create

授予创建路由表权限。

write

routeTable *

-

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:routeTables:get

授予查询路由表详情权限。

read

routeTable *

  • vpc:RouteTableId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:routeTables:list

授予查询路由表列表权限。

list

routeTable *

-

-

g:EnterpriseProjectId

vpc:routeTables:update

授予更新路由表权限。

write

routeTable *

  • vpc:RouteTableId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:routeTables:associate

授予关联路由表权限。

write

routeTable *

  • vpc:RouteTableId
  • vpc:VpcId

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:routeTables:delete

授予删除路由表权限。

write

routeTable *

  • vpc:RouteTableId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:flowLogs:create

授予创建流日志权限。

write

flowLog *

-

port

vpc:PortId

subnet

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId

vpc

  • g:ResourceTag/<tag-key>
  • vpc:VpcId

vpc:flowLogs:get

授予查询流日志列表或详情权限。

read

flowLog *

vpc:FlowLogId

vpc:flowLogs:list

授予查询流日志列表权限。

read

flowLog *

-

vpc:flowLogs:update

授予更新流日志权限。

write

flowLog *

vpc:FlowLogId

vpc:flowLogs:delete

授予删除流日志权限。

write

flowLog *

vpc:FlowLogId

vpc:addressGroups:create

授予创建IP地址组权限。

write

addressGroup *

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:addressGroups:get

授予查询IP地址组详情权限。

read

addressGroup *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:AddressGroupId

vpc:addressGroups:list

授予查询IP地址组列表权限。

list

addressGroup *

-

-

g:EnterpriseProjectId

vpc:addressGroups:update

授予更新IP地址组权限。

write

addressGroup *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:AddressGroupId

vpc:addressGroups:delete

授予删除IP地址组权限。

write

addressGroup *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:AddressGroupId

vpc:firewalls:create

授予创建网络ACL权限。

write

firewall *

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:firewalls:get

授予查询网络ACL详情权限。

read

firewall *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:FirewallId

vpc:firewalls:list

授予查询网络ACL列表权限。

list

firewall *

-

-

g:EnterpriseProjectId

vpc:firewalls:update

授予更新网络ACL权限。

write

firewall *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:FirewallId
  • vpc:FirewallRuleDirection
  • vpc:FirewallRuleProtocol
  • vpc:FirewallRuleAction
  • vpc:FirewallRuleSourcePort
  • vpc:FirewallRuleDestinationPort
  • vpc:FirewallOperationType

subnet

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId
  • g:EnterpriseProjectId

vpc:firewalls:delete

授予删除网络ACL权限。

write

firewall *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:FirewallId

vpc:vpcs:createTags

授予创建虚拟私有云资源标签权限。

tagging

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:vpcs:listTags

授予查询虚拟私有云资源标签权限。

read

vpc *

-

vpc:vpcs:deleteTags

授予删除虚拟私有云资源标签权限。

tagging

vpc *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId

-

g:TagKeys

vpc:subnets:createTags

授予创建子网资源标签权限。

tagging

subnet *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId
  • vpc:SubnetId

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

vpc:subnets:listTags

授予查询子网资源标签权限。

read

subnet *

-

vpc:subnets:deleteTags

授予删除子网资源标签权限。

tagging

subnet *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>
  • vpc:VpcId
  • vpc:SubnetId

-

g:TagKeys

vpc:subNetworkInterfaces:create

授予创建辅助弹性网卡权限。

write

subNetworkInterface *

-

subnet *

  • g:ResourceTag/<tag-key>
  • vpc:SubnetId
  • vpc:VpcId

vpc:subNetworkInterfaces:get

授予查询辅助弹性网卡详情权限。

read

subNetworkInterface *

  • vpc:SubnetId
  • vpc:SubNetworkInterfaceId

vpc:subNetworkInterfaces:list

授予查询辅助弹性网卡列表权限。

list

subNetworkInterface *

-

vpc:subNetworkInterfaces:update

授予更新辅助弹性网卡权限。

write

subNetworkInterface *

  • vpc:SubnetId
  • vpc:SubNetworkInterfaceId

vpc:subNetworkInterfaces:delete

授予删除辅助弹性网卡权限。

write

subNetworkInterface *

  • vpc:SubnetId
  • vpc:SubNetworkInterfaceId

vpc:networks:create

授予创建网络权限。

write

network *

-

vpc:networks:get

授予查询网络详情权限。

read

network *

-

vpc:networks:list

授予查询网络列表权限。

list

network *

-

vpc:networks:update

授予更新网络权限。

write

network *

-

vpc:networks:delete

授予删除网络权限。

write

addressGroup *

-

vpc的API通常对应着一个或多个授权项。表2展示了API与授权项的关系,以及该API需要依赖的授权项。

表2 API与授权项的关系

API

对应的授权项

依赖的授权项

POST /v1/{project_id}/vpcs

vpc:vpcs:create

-

GET /v1/{project_id}/vpcs/{vpc_id}

vpc:vpcs:get

-

GET /v1/{project_id}/vpcs

vpc:vpcs:list

-

PUT /v1/{project_id}/vpcs/{vpc_id}

vpc:vpcs:update

-

DELETE /v1/{project_id}/vpcs/{vpc_id}

vpc:vpcs:delete

-

POST /v1/{project_id}/subnets

vpc:subnets:create

-

GET /v1/{project_id}/subnets/{subnet_id}

vpc:subnets:get

-

GET /v1/{project_id}/subnets

vpc:subnets:list

-

PUT /v1/{project_id}/vpcs/{vpc_id}/subnets/{subnet_id}

vpc:subnets:update

-

DELETE /v1/{project_id}/vpcs/{vpc_id}/subnets/{subnet_id}

vpc:subnets:delete

-

GET /v1/{project_id}/quotas

vpc:quotas:list

-

POST /v1/{project_id}/privateips

vpc:privateIps:create

-

GET /v1/{project_id}/privateips/{privateip_id}

vpc:privateIps:get

-

GET /v1/{project_id}/subnets/{subnet_id}/privateips

vpc:privateIps:list

-

DELETE /v1/{project_id}/privateips/{privateip_id}

vpc:privateIps:delete

-

POST /v1/{project_id}/security-groups

vpc:securityGroups:create

-

GET /v1/{project_id}/security-groups/{security_group_id}

vpc:securityGroups:get

-

GET /v1/{project_id}/security-groups

vpc:securityGroups:list

-

DELETE /v1/{project_id}/security-groups/{security_group_id}

vpc:securityGroups:delete

-

POST /v1/{project_id}/security-group-rules

vpc:securityGroupRules:create

-

GET /v1/{project_id}/security-group-rules/{security_group_rule_id}

vpc:securityGroupRules:get

-

GET /v1/{project_id}/security-group-rules

vpc:securityGroupRules:list

-

DELETE /v1/{project_id}/security-group-rules/{security_group_rule_id}

vpc:securityGroupRules:delete

-

POST /v1/{project_id}/ports

vpc:ports:create

-

GET /v1/{project_id}/ports/{port_id}

vpc:ports:get

-

GET /v1/{project_id}/ports

vpc:ports:list

-

PUT /v1/{project_id}/ports/{port_id}

vpc:ports:update

-

DELETE /v1/{project_id}/ports/{port_id}

vpc:ports:delete

-

POST /v2.0/vpc/peerings

vpc:peerings:create

-

PUT /v2.0/vpc/peerings/{peering_id}/accept

vpc:peerings:accept

-

PUT /v2.0/vpc/peerings/{peering_id}/reject

vpc:peerings:reject

-

GET /v2.0/vpc/peerings/{peering_id}

vpc:peerings:get

-

GET /v2.0/vpc/peerings

vpc:peerings:list

-

PUT /v2.0/vpc/peerings/{peering_id}

vpc:peerings:update

-

DELETE /v2.0/vpc/peerings/{peering_id}

vpc:peerings:delete

-

POST /v1/{project_id}/routetables

vpc:routeTables:create

-

GET /v1/{project_id}/routetables/{routetable_id}

vpc:routeTables:get

-

GET /v1/{project_id}/routetables

vpc:routeTables:list

-

PUT /v1/{project_id}/routetables/{routetable_id}

vpc:routeTables:update

-

POST /v1/{project_id}/routetables/{routetable_id}/action

vpc:routeTables:associate

-

POST 01 /v1/{project_id}/routetables/{routetable_id}/action

vpc:routeTables:associate

-

DELETE /v1/{project_id}/routetables/{routetable_id}

vpc:routeTables:delete

-

POST /v1/{project_id}/fl/flow_logs

vpc:flowLogs:create

-

GET /v1/{project_id}/fl/flow_logs/{flowlog_id}

vpc:flowLogs:get

-

GET /v1/{project_id}/fl/flow_logs

vpc:flowLogs:list

-

PUT /v1/{project_id}/fl/flow_logs/{flowlog_id}

vpc:flowLogs:update

-

DELETE /v1/{project_id}/fl/flow_logs/{flowlog_id}

vpc:flowLogs:delete

-

PUT /v3/{project_id}/vpc/vpcs/{vpc_id}/add-extend-cidr

vpc:vpcs:update

-

PUT /v3/{project_id}/vpc/vpcs/{vpc_id}/remove-extend-cidr

vpc:vpcs:update

-

PUT /v3/{project_id}/vpc/security-groups/{security_group_id}

vpc:securityGroups:update

-

POST /v3/{project_id}/vpc/address-groups

vpc:addressGroups:create

-

GET /v3/{project_id}/vpc/address-groups/{address_group_id}

vpc:addressGroups:get

-

GET /v3/{project_id}/vpc/address-groups

vpc:addressGroups:list

-

PUT /v3/{project_id}/vpc/address-groups/{address_group_id}

vpc:addressGroups:update

-

DELETE /v3/{project_id}/vpc/address-groups/{address_group_id}

vpc:addressGroups:delete

-

DELETE /v3/{project_id}/vpc/address-groups/{address_group_id}/force

vpc:addressGroups:delete

-

POST /v2.0/{project_id}/vpcs/{vpc_id}/tags/action

vpc:vpcs:createTags

-

POST 01 /v2.0/{project_id}/vpcs/{vpc_id}/tags/action

vpc:vpcs:deleteTags

-

POST /v2.0/{project_id}/vpcs/{vpc_id}/tags

vpc:vpcs:createTags

-

POST /v2.0/{project_id}/vpcs/resource_instances/action

vpc:vpcs:listTags

-

GET /v2.0/{project_id}/vpcs/tags

vpc:vpcs:listTags

-

GET /v2.0/{project_id}/vpcs/{vpc_id}/tags

vpc:vpcs:listTags

-

DELETE /v2.0/{project_id}/vpcs/{vpc_id}/tags/{key}

vpc:vpcs:deleteTags

-

POST 01 /v2.0/{project_id}/subnets/{subnet_id}/tags/action

vpc:subnets:createTags

-

POST /v2.0/{project_id}/subnets/{subnet_id}/tags/action

vpc:subnets:deleteTags

-

POST /v2.0/{project_id}/subnets/{subnet_id}/tags

vpc:subnets:createTags

-

POST /v2.0/{project_id}/subnets/resource_instances/action

vpc:subnets:listTags

-

GET /v2.0/{project_id}/subnets/tags

vpc:subnets:listTags

-

GET /v2.0/{project_id}/subnets/{subnet_id}/tags

vpc:subnets:listTags

-

DELETE /v2.0/{project_id}/subnets/{subnet_id}/tags/{key}

vpc:subnets:deleteTags

-

POST /v3/{project_id}/vpc/sub-network-interfaces

vpc:subNetworkInterfaces:create

-

POST /v3/{project_id}/vpc/sub-network-interfaces/batch-create

vpc:subNetworkInterfaces:create

-

GET /v3/{project_id}/vpc/sub-network-interfaces/{sub_network_interface_id}

vpc:subNetworkInterfaces:get

-

GET /v3/{project_id}/vpc/sub-network-interfaces

vpc:subNetworkInterfaces:list

-

GET /v3/{project_id}/vpc/sub-network-interfaces/count

vpc:subNetworkInterfaces:list

-

PUT /v3/{project_id}/vpc/sub-network-interfaces/migrate

vpc:subNetworkInterfaces:update

-

PUT /v3/{project_id}/vpc/sub-network-interfaces/{sub_network_interface_id}

vpc:subNetworkInterfaces:update

-

DELETE /v3/{project_id}/vpc/sub-network-interfaces/{sub_network_interface_id}

vpc:subNetworkInterfaces:delete

-

资源类型(Resource)

资源类型(Resource)表示SCP所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型,则必须在具有该操作的SCP语句中指定该资源的URN,SCP仅作用于此资源;如未指定,Resource默认为“*”,则SCP将应用到所有资源。您也可以在SCP中设置条件,从而指定资源类型。

vpc定义了以下可以在SCP的Resource元素中使用的资源类型。

表3 vpc支持的资源类型

资源类型

URN

vpc

vpc:<region>:<account-id>:vpc:<vpc-id>

subnet

vpc:<region>:<account-id>:subnet:<subnet-id>

privateIp

vpc:<region>:<account-id>:privateIp:<private-ip-id>

securityGroup

vpc:<region>:<account-id>:securityGroup:<security-group-id>

securityGroupRule

vpc:<region>:<account-id>:securityGroupRule:<security-group-rule-id>

port

vpc:<region>:<account-id>:port:<port-id>

peering

vpc:<region>:<account-id>:peering:<peering-id>

routeTable

vpc:<region>:<account-id>:routeTable:<route-table-id>

flowLog

vpc:<region>:<account-id>:flowLog:<flow-log-id>

addressGroup

vpc:<region>:<account-id>:addressGroup:<address-group-id>

firewall

vpc:<region>:<account-id>:firewall:<firewall-id>

publicip

vpc:<region>:<account-id>:publicip:<publicip-id>

bandwidth

vpc:<region>:<account-id>:bandwidth:<bandwidth-id>

network

vpc:<region>:<account-id>:network:<network-id>

条件(Condition)

条件(Condition)是SCP生效的特定条件,包括条件键运算符

  • 条件键表示SCP语句的Condition元素中的键值。根据适用范围,分为全局级条件键和服务级条件键。
    • 全局级条件键(前缀为g:)适用于所有操作,在鉴权过程中,云服务不需要提供用户身份信息,系统将自动获取并鉴权。详情请参见:全局条件键
    • 服务级条件键(前缀为服务缩写,如vpc:)仅适用于对应服务的操作,详情请参见表4
    • 单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值,多值条件键在API调用时请求可以包含多个值。例如:g:SourceVpce是单值条件键,表示仅允许通过某个VPC终端节点发起请求访问某资源,一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键,表示请求中携带的所有标签的key组成的列表,当用户在调用API请求时传入标签可以传入多个值。
  • 运算符与条件键、条件值一起构成完整的条件判断语句,当请求信息满足该条件时,SCP才能生效。支持的运算符请参见:运算符

vpc定义了以下可以在SCP的Condition元素中使用的条件键,您可以使用这些条件键进一步细化SCP语句应用的条件。

表4 vpc支持的服务级条件键

服务级条件键

类型

单值/多值

说明

vpc:VpcId

string

多值

根据指定的虚拟私有云资源ID过滤访问。

vpc:SubnetId

string

多值

根据指定的子网资源ID过滤访问。

vpc:SecurityGroupId

string

多值

根据指定的安全组资源ID过滤访问。

vpc:PeeringId

string

多值

根据指定的对等连接资源ID过滤访问。

vpc:AccepterVpcId

string

多值

根据指定的接收方VPC资源ID过滤访问。

vpc:AccepterVpcOrgPath

string

多值

根据指定的对等连接接收方VPC资源所有者的OrgPath过滤访问。

vpc:AccepterVpcOwner

string

多值

根据指定的对等连接接收方VPC资源所有者的账号ID过滤访问。

vpc:RequesterVpcOrgPath

string

多值

根据指定的对等连接请求方VPC资源所有者的OrgPath过滤访问。

vpc:RequesterVpcOwner

string

多值

根据指定的对等连接请求方VPC资源所有者的账号ID过滤访问。

vpc:RequesterVpcId

string

多值

根据指定的请求方VPC资源ID过滤访问。

vpc:RouteTableId

string

多值

根据指定的路由表资源ID过滤访问。

vpc:FlowLogId

string

多值

根据指定的流日志资源ID过滤访问。

vpc:AddressGroupId

string

多值

根据指定的IP地址组资源ID过滤访问。

vpc:FirewallId

string

多值

根据指定的网络ACL资源ID过滤访问。

vpc:PrivateIpId

string

多值

根据指定的私有IP资源ID过滤访问。

vpc:PortId

string

多值

根据指定的端口资源ID过滤访问。

vpc:FirewallRuleDirection

string

多值

根据指定的网络ACL规则方向过滤访问,有效的条件值应为ingress、egress。

vpc:FirewallRuleProtocol

string

多值

根据指定的网络ACL规则协议过滤访问,有效的条件值应为tcp、udp、icmp、icmpv6、any。

vpc:FirewallRuleAction

string

多值

根据指定的网络ACL规则策略过滤访问,有效的条件值应为allow、deny。

vpc:FirewallRuleSourcePort

numeric

多值

根据指定的网络ACL规则源端口过滤访问。

vpc:FirewallRuleDestinationPort

numeric

多值

根据指定的网络ACL规则目的端口过滤访问。

vpc:FirewallOperationType

string

多值

根据指定的网络ACL操作类型过滤访问,有效的条件值应为updateAcl、associateSubnet、disassociateSubnet、insertRule、updateRule、removeRule。