权限管理

角色与策略权限管理

AstroPro服务支持角色与策略授权。默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

AstroPro部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问AstroPro时，需要先切换至授权区域。

如表2所示，包括了AstroPro的所有系统权限。角色与策略授权场景的系统策略和身份策略授权场景的并不互通。

表3列出了AstroPro常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

Astro Pro FullAccess策略内容

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "astropro:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}

Astro Pro InstanceManagement策略内容

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "astropro:instance:*"
            ],
            "Effect": "Allow"
        }
    ]
}

AstroPro控制台功能依赖的角色或策略

身份策略权限管理

AstroPro服务支持身份策略授权。如表5所示，包括了AstroPro身份策略中的所有系统身份策略。身份策略授权场景的系统身份策略和角色与策略授权场景的并不互通。

表6列出了AstroPro常用操作与系统身份策略的授权关系，您可以参照该表选择合适的系统身份策略。

注：若操作中涉及到支付、续期和退订，需另外赋予billing相关策略。

AstroProReadOnlyPolicy系统身份策略内容

{
  "Version": "5.0",
  "Statement": [
    {
      "Action": [
        "astropro:*:get*"
      ],
      "Effect": "Allow"
    }
  ]
}

AstroProFullAccessPolicy系统身份策略内容

{
  "Version": "5.0",
  "Statement": [
    {
      "Action": [
        "astropro:*:*",
        "billing:subscription:renew"
      ],
      "Effect": "Allow"
    }
  ]
}

AstroPro控制台功能依赖的身份策略

相关链接

• IAM产品介绍