更新时间:2024-06-21 GMT+08:00

云专线 DC

Organizations服务中的服务控制策略(Service Control Policy,以下简称SCP)也可以使用这些授权项元素设置访问控制策略。

SCP不直接进行授权,只划定权限边界。将SCP绑定到组织单元或者成员账号时,并没有直接对组织单元或成员账号授予操作权限,而是规定了成员账号或组织单元包含的成员账号的授权范围。

本章节介绍组织服务中SCP使用的元素,这些元素包含了操作(Action)、资源(Resource)和条件(Condition)。

如何使用这些元素编辑SCP自定义策略,请参考创建SCP

操作(Action)

操作(Action)即为SCP中支持的授权项。

  • “访问级别”列描述如何对操作进行分类(list、read和write等)。此分类可帮助您了解在SCP中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值(-),则必须在SCP语句的Resource元素中指定所有资源类型(“*”)。
    • 如果该列包含资源类型,则必须在具有该操作的语句中指定该资源的URN。
    • 资源类型列中必需资源在表中用星号(*)标识,表示使用此操作必须指定该资源类型。

    关于DC定义的资源类型的详细信息请参见资源类型(Resource)

  • “条件键”列包括了可以在SCP语句的Condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值,则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值(-),则表示条件键对整个授权项生效。
    • 如果此列条件键没有值(-),表示此操作不支持指定条件键。

    关于DC定义的条件键的详细信息请参见条件(Condition)

您可以在SCP语句的Action元素中指定以下DC的相关操作。

表1 DC支持的授权项

授权项

描述

访问级别

资源类型(*为必须)

条件键

dcaas:directConnect:create

授予创建物理连接。

write

directConnect *

-

-

  • g:RequestTag/<tag-key>
  • g:TagKeys
  • g:EnterpriseProjectId

dcaas:directConnect:update

授予更新指定物理连接信息。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:delete

授予删除指定物理连接。只适用于按需计费物理连接,对于包周期购买的物理连接通过订单退订的方式删除指定物理连接。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:get

授予查询指定物理连接详细信息。

read

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:list

授予查询租户创建的所有物理连接。

list

directConnect *

-

-

g:EnterpriseProjectId

dcaas:directConnect:createHostedDirectConnect

授予合作伙伴创建托管物理连接。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:updateHostedDirectConnect

授予合作伙伴更新指定托管物理连接。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:deleteHostedDirectConnect

授予合作伙伴删除指定托管物理连接。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:getHostedDirectConnect

授予合作伙伴查询指定托管物理连接。

read

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:listHostedDirectConnect

授予合作伙伴查询所有托管物理连接列表。

list

directConnect *

g:EnterpriseProjectId

dcaas:directConnect:createOnestopDirectConnect

授予创建一站式物理连接。

write

directConnect *

-

-

  • g:RequestTag/<tag-key>
  • g:TagKeys
  • g:EnterpriseProjectId

dcaas:directConnect:updateOnestopDirectConnect

授予更新指定一站式物理连接。

write

directConnect *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:directConnect:createOrder

授予创建订单用来购买物理连接。

write

directConnect *

-

dcaas:directConnect:updateOrder

授予更新指定订单,用于物理连接升配或降配。

write

directConnect *

-

dcaas:vgw:create

授予创建虚拟网关。

write

vgw *

-

vpc

-

instances

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

dcaas:vgw:update

授予更新指定虚拟网关的信息。

write

vgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vgw:delete

授予删除指定的虚拟网关。

write

vgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vgw:get

授予查询指定虚拟网关的详细信息。

read

vgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vgw:list

授予查询虚拟网关列表。

list

vgw *

-

-

g:EnterpriseProjectId

dcaas:vif:create

授予创建虚拟接口。

write

vif *

-

directConnect

-

lag

-

vgw

-

gdgw

-

connectGateway

-

lgw

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

dcaas:vif:update

授予更新指定虚拟接口。

write

vif *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vif:delete

授予删除指定虚拟接口。

write

vif *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vif:get

授予查询指定虚拟接口。

read

vif *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vif:list

授予查询指定租户所有虚拟接口列表。

list

vif *

-

-

g:EnterpriseProjectId

dcaas:vif:updateVifExtendAttribute

授予更新指定虚拟接口扩展属性。

write

vif *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vifPeer:create

授予创建虚拟接口对等体。

write

vifPeer *

-

vif *

-

dcaas:vifPeer:update

授予更新指定虚拟接口对等体信息。

write

vifPeer *

-

dcaas:vifPeer:delete

授予删除指定虚拟接口对等体。

write

vifPeer *

-

dcaas:vifPeer:get

授予查询指定虚拟接口对等体。

read

vifPeer *

-

dcaas:vifPeer:list

授予查询虚拟接口对等体列表。

list

vifPeer *

-

dcaas:gdgw:create

授予创建全球接入网关实例。

write

gdgw *

-

-

  • g:EnterpriseProjectId
  • g:RequestTag/<tag-key>
  • g:TagKeys

dcaas:gdgw:update

授予更新指定全球接入网关信息。

write

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:delete

授予删除指定的全球接入网关。

write

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:get

授予查询指定全球接入网关实例详情信息。

read

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:list

授予查询全球接入网关列表。

list

gdgw *

-

-

g:EnterpriseProjectId

dcaas:gdgw:createPeerlink

授予创建指定全球接入网关的关联连接。

write

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:updatePeerlink

授予更新指定全球接入网关的指定关联连接。

write

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:deletePeerlink

授予删除指定全球接入网关的指定对等连接。

write

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:getPeerlink

授予查询指定全球接入网关的指定关联连接。

read

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:gdgw:listPeerlink

授予查询指定全球接入网关的所有关联连接列表。

list

gdgw *

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

dcaas:vif:switchoverTest

授予权限以进行倒换测试。

write

vif *

-

dcaas:vif:listSwitchoverTestRecord

授予权限以获取倒换测试执行记录。

list

vif *

-

dcaas:vif:getSwitchoverTestRecord

授予权限以获取单条倒换测试执行记录。

read

vif *

-

dcaas:resources:batchTagUntag

授予权限以批量增加删除云专线的资源标签。

tagging

directConnect

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

lag

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vif

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

gdgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

dcaas:resources:listResourceTag

授予权限以查询云专线的资源标签。

list

directConnect

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:listTag

授予权限以查询云专线某个资源类型的标签。

list

directConnect

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:tag

授予权限以添加云专线的资源标签。

tagging

directConnect

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

lag

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vif

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

gdgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

-

  • g:RequestTag/<tag-key>
  • g:TagKeys

dcaas:resources:unTag

授予权限以删除云专线的资源标签。

tagging

directConnect

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

lag

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

vif

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

gdgw

  • g:EnterpriseProjectId
  • g:ResourceTag/<tag-key>

-

g:TagKeys

dcaas:resources:listByTag

授予根据标签查询云专线资源列表权限。

list

directConnect

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:gdgw:listGdgwRouteTable

授予权限以获取专线全球网关的自定义路由表。

list

gdgw *

-

dcaas:gdgw:updateGdgwRouteTable

授予权限以更新专线全球网关的自定义路由表。

write

gdgw *

-

dcaas:quota:listVgwUsage

授予权限以获取专线的VPC下VGW配额。

list

-

-

dcaas:quota:listUsage

授予权限以获取专线的配额。

list

-

-

DC的API通常对应着一个或多个授权项。表2展示了API与授权项的关系,以及该API需要依赖的授权项。

表2 API与授权项的关系

API

对应的授权项

依赖的授权项

GET /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:get

-

GET /v3/{project_id}/dcaas/direct-connects

dcaas:directConnect:list

-

PUT /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:update

-

DELETE /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:delete

-

GET /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directConnect:getHostedDirectConnect

-

GET /v3/{project_id}/dcaas/hosted-connects

dcaas:directConnect:listHostedDirectConnect

-

POST /v3/{project_id}/dcaas/hosted-connects

dcaas:directConnect:createHostedDirectConnect

-

PUT /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directConnect:updateHostedDirectConnect

-

DELETE /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directConnect:deleteHostedDirectConnect

-

GET /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:get

-

GET /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:list

-

PUT /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:update

-

DELETE /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:delete

-

POST /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:create

er:instances:get

vpc:vpcs:get

GET /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:get

-

GET /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:list

-

PUT /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:update

-

DELETE /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:delete

-

POST /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:create

-

PUT /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifPeer:update

-

DELETE /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifPeer:delete

-

POST /v3/{project_id}/dcaas/vif-peers

dcaas:vifPeer:create

-

POST /v3/{project_id}/dcaas/switchover-test

dcaas:vif:switchoverTest

-

GET /v3/{project_id}/dcaas/switchover-test

dcaas:vif:listSwitchoverTestRecord

-

GET /v3/{project_id}/dcaas/quotas

dcaas:quota:listUsage

-

资源类型(Resource)

资源类型(Resource)表示SCP所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型,则必须在具有该操作的SCP语句中指定该资源的URN,SCP仅作用于此资源;如未指定,Resource默认为“*”,则SCP将应用到所有资源。您也可以在SCP中设置条件,从而指定资源类型。

DC定义了以下可以在SCP的Resource元素中使用的资源类型。

表3 DC支持的资源类型

资源类型

URN

instances

er:<region>:<account-id>:instances:<instance-id>

lgw

dcaas:<region>:<account-id>:lgw:<lgw-id>

vif

dcaas:<region>:<account-id>:vif:<vif-id>

lgwTable

dcaas:<region>:<account-id>:lgwTable:<lgwTable-id>

gdgw

dcaas:<region>:<account-id>:gdgw:<gdgw-id>

vifPeer

dcaas:<region>:<account-id>:vifPeer:<vifPeer-id>

vpc

vpc:<region>:<account-id>:vpc:<vpc-id>

vgw

dcaas:<region>:<account-id>:vgw:<vgw-id>

directConnect

dcaas:<region>:<account-id>:directConnect:<directConnect-id>

lag

dcaas:<region>:<account-id>:lag:<lag-id>

connectGateway

dcaas:<region>:<account-id>:connectGateway:<connectGateway-id>

条件(Condition)

DC服务不支持在SCP中的条件键中配置服务级的条件键。DC可以使用适用于所有服务的全局条件键,请参考全局条件键