更新时间:2024-05-11 GMT+08:00

访问分析 IAM Access Analyzer

Organizations服务中的服务控制策略(Service Control Policy,以下简称SCP)可以使用以下授权项元素设置访问控制策略。

SCP不直接进行授权,只划定权限边界。将SCP绑定到组织单元或者成员账号时,并没有直接对组织单元或成员账号授予操作权限,而是规定了成员账号或组织单元包含的成员账号的授权范围。

本章节介绍组织服务中SCP使用的元素,这些元素包含了操作(Action)、资源(Resource)和条件(Condition)。

如何使用这些元素编辑SCP自定义策略,请参考创建SCP

操作(Action)

操作(Action)即为SCP中支持的授权项。

  • “访问级别”列描述如何对操作进行分类(list、read和write等)。此分类可帮助您了解在SCP中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值(-),则必须在SCP语句的Resource元素中指定所有资源类型(“*”)。
    • 如果该列包含资源类型,则必须在具有该操作的语句中指定该资源的URN。
    • 资源类型列中必需资源在表中用星号(*)标识,表示使用此操作必须指定该资源类型。

    关于IAM Access Analyzer定义的资源类型的详细信息请参见资源类型(Resource)

  • “条件键”列包括了可以在SCP语句的Condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值,则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值(-),则表示条件键对整个授权项生效。
    • 如果此列条件键没有值(-),表示此操作不支持指定条件键。

    关于IAM Access Analyzer定义的条件键的详细信息请参见条件(Condition)

您可以在SCP语句的Action元素中指定以下IAM Access Analyzer的相关操作。

表1 IAM Access Analyzer支持的授权项

授权项

描述

访问级别

资源类型(*为必须)

条件键

AccessAnalyzer:analyzer:create

授予创建分析器的权限。

write

analyzer *

-

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

AccessAnalyzer:analyzer:get

授予查询分析器的权限。

read

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:list

授予查询分析器列表的权限。

list

analyzer *

-

AccessAnalyzer:analyzer:delete

授予删除分析器的权限。

write

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:scan

授予启动分析器扫描的权限。

write

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:getFinding

授予查询分析结果的权限。

read

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:listFindings

授予查询分析结果列表的权限。

list

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:updateFindings

授予更新分析结果的权限。

write

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer::tagResource

授予给资源添加标签的权限。

tagging

analyzer *

g:ResourceTag/<tag-key>

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

AccessAnalyzer::untagResource

授予给资源删除标签的权限。

tagging

analyzer *

g:ResourceTag/<tag-key>

-

g:TagKeys

AccessAnalyzer:archiveRule:create

授予创建存档规则的权限。

write

archiveRule *

-

AccessAnalyzer:archiveRule:get

授予查询存档规则的权限。

read

archiveRule *

-

AccessAnalyzer:archiveRule:list

授予查询存档规则列表的权限。

list

archiveRule *

-

AccessAnalyzer:archiveRule:update

授予更新存档规则的权限。

write

archiveRule *

-

AccessAnalyzer:archiveRule:delete

授予删除存档规则的权限。

write

archiveRule *

-

AccessAnalyzer:archiveRule:apply

授予应用存档规则的权限。

write

archiveRule *

-

AccessAnalyzer:analyzer:createPreview

授予创建访问分析预览的权限。

write

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:getPreview

授予查询访问分析预览的权限。

read

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:listPreviews

授予查询访问分析预览列表的权限。

list

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer:analyzer:listPreviewFindings

授予查询访问分析预览分析结果列表的权限。

list

analyzer *

g:ResourceTag/<tag-key>

AccessAnalyzer::validatePolicy

授予验证策略的权限。

read

-

-

资源类型(Resource)

资源类型(Resource)表示SCP所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型,则必须在具有该操作的SCP语句中指定该资源的URN,SCP仅作用于此资源;如未指定,Resource默认为“*”,则SCP将应用到所有资源。您也可以在SCP中设置条件,从而指定资源类型。

IAM Access Analyzer定义了以下可以在SCP的Resource元素中使用的资源类型。

表2 IAM Access Analyzer支持的资源类型

资源类型

URN

analyzer

AccessAnalyzer:<region>:<account-id>:analyzer:<analyzer-id>

archiveRule

AccessAnalyzer:<region>:<account-id>:archiveRule:<analyzer-id>/<archive-rule-id>

条件(Condition)

IAM Access Analyzer服务不支持在SCP中的条件键中配置服务级的条件键。IAM Access Analyzer可以使用适用于所有服务的全局条件键,请参考全局条件键