文档首页/统一身份认证服务 IAM_统一身份认证服务（新版）/服务授权参考/身份策略授权参考/网络/云专线 DC
更新时间：2025-12-11 GMT+08:00
查看PDF
分享

云专线 DC

云服务在IAM预置了常用的权限，称为系统身份策略。如果IAM系统身份策略无法满足授权要求，管理员可以根据各服务支持的授权项，创建IAM自定义身份策略来进行精细的访问控制，IAM自定义身份策略是对系统身份策略的扩展和补充。

除IAM服务外，Organizations服务中的服务控制策略（Service Control Policy，以下简称SCP）也可以使用这些授权项元素设置访问控制策略。

SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。IAM身份策略授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。

IAM服务与Organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：IAM服务与Organizations服务权限访问控制的区别。

本章节介绍IAM服务身份策略授权场景中自定义身份策略和组织服务中SCP使用的元素，这些元素包含了操作（Action）、资源（Resource）和条件（Condition）。

操作（Action）

操作（Action）即为身份策略中支持的授权项。

  • “访问级别”列描述如何对操作进行分类（List、Read和Write等）。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在身份策略语句的Resource元素中指定所有资源类型（“*”）。
    • 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的URN。
    • 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。

    关于DC定义的资源类型的详细信息请参见资源类型（Resource）。

  • “条件键”列包括了可以在身份策略语句的Condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
    • 如果此列条件键没有值（-），表示此操作不支持指定条件键。

    关于DC定义的条件键的详细信息请参见条件（Condition）。

  • “别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的API访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的Action元素中指定以下DC的相关操作。

表1 DC支持的授权项

授权项

描述

访问级别

资源类型（*为必须）

条件键

别名

dcaas:directConnect:create

授予创建物理连接。

Write

directConnect *

-

-

-

dcaas:directConnect:update

授予更新指定物理连接信息。

Write

directConnect *

-

dcaas:directConnect:delete

授予删除指定物理连接。只适用于按需计费物理连接，对于包周期购买的物理连接通过订单退订的方式删除指定物理连接。

Write

directConnect *

-

dcaas:directConnect:get

授予查询指定物理连接详细信息。

Read

directConnect *

-

dcaas:directConnect:list

授予查询租户创建的所有物理连接。

List

directConnect *

-

-

-

g:EnterpriseProjectId

dcaas:directConnect:createHostedDirectConnect

授予合作伙伴创建托管物理连接。

Write

directConnect *

  • dcaas:directConnect:create

dcaas:directConnect:updateHostedDirectConnect

授予合作伙伴更新指定托管物理连接。

Write

directConnect *

  • dcaas:directConnect:update

dcaas:directConnect:deleteHostedDirectConnect

授予合作伙伴删除指定托管物理连接。

Write

directConnect *

  • dcaas:directConnect:delete

dcaas:directConnect:getHostedDirectConnect

授予合作伙伴查询指定托管物理连接。

Read

directConnect *

  • dcaas:directConnect:get

dcaas:directConnect:listHostedDirectConnect

授予合作伙伴查询所有托管物理连接列表。

List

directConnect *

g:EnterpriseProjectId

  • dcaas:directConnect:list

dcaas:directConnect:createOnestopDirectConnect

授予创建一站式物理连接。

Write

directConnect *

-

  • dcaas:directConnect:create

-

dcaas:directConnect:updateOnestopDirectConnect

授予更新指定一站式物理连接。

Write

directConnect *

  • dcaas:directConnect:update

dcaas:directConnect:createOrder

授予创建订单用来购买物理连接。

Write

directConnect *

-

  • dcaas:directConnect:create

dcaas:directConnect:updateOrder

授予更新指定订单，用于物理连接升配或降配。

Write

directConnect *

-

  • dcaas:directConnect:update

dcaas:vgw:create

授予创建虚拟网关。

Write

vgw *

-

-

vpc

-

instances

-

-

dcaas:vgw:update

授予更新指定虚拟网关的信息。

Write

vgw *

-

dcaas:vgw:delete

授予删除指定的虚拟网关。

Write

vgw *

-

dcaas:vgw:get

授予查询指定虚拟网关的详细信息。

Read

vgw *

-

dcaas:vgw:list

授予查询虚拟网关列表。

List

vgw *

-

-

-

g:EnterpriseProjectId

dcaas:vif:create

授予创建虚拟接口。

Write

vif *

-

-

directConnect

-

lag

-

vgw

-

gdgw

-

connectGateway

-

lgw

-

-

dcaas:vif:update

授予更新指定虚拟接口。

Write

vif *

-

dcaas:vif:delete

授予删除指定虚拟接口。

Write

vif *

-

dcaas:vif:get

授予查询指定虚拟接口。

Read

vif *

-

dcaas:vif:list

授予查询指定租户所有虚拟接口列表。

List

vif *

-

-

-

g:EnterpriseProjectId

dcaas:vif:updateVifExtendAttribute

授予更新指定虚拟接口扩展属性。

Write

vif *

-

dcaas:vifPeer:create

授予创建虚拟接口对等体。

Write

vifPeer *

-

-

vif *

-

dcaas:vifPeer:update

授予更新指定虚拟接口对等体信息。

Write

vifPeer *

-

-

dcaas:vifPeer:delete

授予删除指定虚拟接口对等体。

Write

vifPeer *

-

-

dcaas:vifPeer:get

授予查询指定虚拟接口对等体。

Read

vifPeer *

-

-

dcaas:vifPeer:list

授予查询虚拟接口对等体列表。

List

vifPeer *

-

-

dcaas:lag:list

授予查询链路聚合组详细信息列表。

List

lag *

-

-

-

g:EnterpriseProjectId

dcaas:gdgw:create

授予创建全域接入网关实例。

Write

gdgw *

-

-

-

dcaas:gdgw:update

授予更新指定全域接入网关信息。

Write

gdgw *

-

dcaas:gdgw:delete

授予删除指定的全域接入网关。

Write

gdgw *

-

dcaas:gdgw:get

授予查询指定全域接入网关实例详情信息。

Read

gdgw *

-

dcaas:gdgw:list

授予查询全域接入网关列表。

List

gdgw *

-

-

-

g:EnterpriseProjectId

dcaas:gdgw:createPeerlink

授予创建指定全域接入网关的关联连接。

Write

gdgw *

-

dcaas:gdgw:updatePeerlink

授予更新指定全域接入网关的指定关联连接。

Write

gdgw *

-

dcaas:gdgw:deletePeerlink

授予删除指定全域接入网关的指定对等连接。

Write

gdgw *

-

dcaas:gdgw:getPeerlink

授予查询指定全域接入网关的指定关联连接。

Read

gdgw *

-

dcaas:gdgw:listPeerlink

授予查询指定全域接入网关的所有关联连接列表。

List

gdgw *

-

dcaas:connectGateway:create

授予权限以创建互联网关。

Write

connectGateway *

-

-

dcaas:connectGateway:update

授予权限以更新互联网关。

Write

connectGateway *

-

-

dcaas:connectGateway:delete

授予权限以删除互联网关。

Write

connectGateway *

-

-

dcaas:connectGateway:get

授予权限以查询互联网关详情。

Read

connectGateway *

-

-

dcaas:connectGateway:list

授予权限以查询互联网关列表。

List

connectGateway *

-

-

dcaas:connectGateway:listGlobalEip

授予权限以查询绑定的geip列表。

List

connectGateway *

-

-

dcaas:connectGateway:bindGlobalEip

授予权限以绑定geip。

Write

connectGateway *

-

-

dcaas:connectGateway:unbindGlobalEip

授予权限以解绑定geip。

Write

connectGateway *

-

-

dcaas:vif:switchoverTest

授予权限以进行倒换测试。

Write

vif *

-

-

dcaas:vif:listSwitchoverTestRecord

授予权限以获取倒换测试执行记录。

List

vif *

-

-

dcaas:vif:getSwitchoverTestRecord

授予权限以获取单条倒换测试执行记录。

Read

vif *

-

-

dcaas:resources:batchTagUntag

授予权限以批量增加删除云专线的资源标签。

Tagging

directConnect

-

lag

vgw

vif

gdgw

-

dcaas:resources:listResourceTag

授予权限以查询云专线的资源标签。

List

directConnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:listTag

授予权限以查询云专线某个资源类型的标签。

List

directConnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:tag

授予权限以添加云专线的资源标签。

Tagging

directConnect

-

lag

vgw

vif

gdgw

-

dcaas:resources:unTag

授予权限以删除云专线的资源标签。

Tagging

directConnect

-

lag

vgw

vif

gdgw

-

g:TagKeys

dcaas:resources:listByTag

授予根据标签查询云专线资源列表权限。

List

directConnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:gdgw:listGdgwRouteTable

授予权限以获取专线全域接入网关的路由表。

List

gdgw *

-

dcaas:gdgw:updateGdgwRouteTable

授予权限以更新专线全域接入网关的路由表。

Write

gdgw *

-

dcaas:vgw:listVgwRouteTable

授予权限以获取专线虚拟网关的路由表。

List

vgw *

-

dcaas:vgw:updateVgwRouteTable

授予权限以更新专线虚拟网关的路由表。

Write

vgw *

-

dcaas:quota:listVgwUsage

授予权限以获取专线的VPC下VGW配额。

List

-

-

-

dcaas:quota:listUsage

授予权限以获取专线的配额。

List

-

-

-

dcaas:lgw:create

授予创建本地网关权限。

Write

lgw *

-

-

dcaas:lgw:update

授予更新本地网关权限。

Write

lgw *

-

-

dcaas:lgw:delete

授予删除本地网关权限。

Write

lgw *

-

-

dcaas:lgw:get

授予查询本地网关详情权限。

Read

lgw *

-

-

dcaas:lgw:list

授予查询本地网关列表权限。

List

lgw *

-

-

dcaas:lgwTable:create

授予创建本地网关路由表权限。

Write

lgwTable *

-

-

lgw *

-

dcaas:lgwTable:update

授予更新本地网关路由表权限。

Write

lgwTable *

-

-

dcaas:lgwTable:delete

授予删除本地网关路由表权限。

Write

lgwTable *

-

-

dcaas:lgwTable:get

授予查询本地网关路由表详情权限。

Read

lgwTable *

-

-

dcaas:lgwTable:list

授予查询本地网关路由表列表权限。

List

lgwTable *

-

-

dcaas:lgwTable:createLgwTableRoute

授予创建本地网关路由表路由权限。

Write

lgwTable *

-

-

dcaas:lgwTable:updateLgwTableRoute

授予更新本地网关路由表路由权限。

Write

lgwTable *

-

-

dcaas:lgwTable:deleteLgwTableRoute

授予删除本地网关路由表路由权限。

Write

lgwTable *

-

-

dcaas:lgwTable:getLgwTableRoute

授予查询本地网关路由表路由详情权限。

Read

lgwTable *

-

-

dcaas:lgwTable:listLgwTableRoute

授予查询本地网关路由表路由列表权限。

List

lgwTable *

-

-

dcaas:lgwTable:batchDeleteLgwTableRoute

授予批量删除本地网关路由表路由权限。

Write

lgwTable *

-

-

dcaas:lgwTable:createLgwTableVpc

授予将本地网关路由表关联至虚拟私有云的权限。

Write

lgwTable *

-

-

vpc *

-

dcaas:lgwTable:updateLgwTableVpc

授予更新本地网关路由表虚拟私有云权限。

Write

lgwTable *

-

-

dcaas:lgwTable:deleteLgwTableVpc

授予解除本地网关路由表与虚拟私有云关联的权限。

Write

lgwTable *

-

-

dcaas:lgwTable:getLgwTableVpc

授予查询本地网关路由表虚拟私有云详情权限。

Read

lgwTable *

-

-

dcaas:lgwTable:listLgwTableVpc

授予查询本地网关路由表虚拟私有云列表权限。

List

lgwTable *

-

-

DC的API通常对应着一个或多个授权项。表2展示了API与授权项的关系，以及该API需要依赖的授权项。

表2 API与授权项的关系

API

对应的授权项

依赖的授权项

GET /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:get

-

GET /v3/{project_id}/dcaas/direct-connects

dcaas:directConnect:list

-

PUT /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:update

-

DELETE /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directConnect:delete

-

GET /v3/{project_id}/dcaas/hosted-connects

dcaas:directConnect:listHostedDirectConnect

-

POST /v3/{project_id}/dcaas/hosted-connects

dcaas:directConnect:createHostedDirectConnect

-

PUT /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directConnect:updateHostedDirectConnect

-

DELETE /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directConnect:deleteHostedDirectConnect

-

GET /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:get

-

GET /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:list

-

PUT /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:update

-

DELETE /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:delete

-

POST /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:create

  • er:instances:get
  • vpc:vpcs:get

GET /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:get

-

GET /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:list

-

PUT /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:update

-

DELETE /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:delete

-

POST /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:create

-

PUT /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifPeer:update

-

DELETE /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifPeer:delete

-

POST /v3/{project_id}/dcaas/vif-peers

dcaas:vifPeer:create

-

GET /v3/{project_id}/dcaas/global-dc-gateways/{global_dc_gateway_id}

dcaas:gdgw:get

-

GET /v3/{project_id}/dcaas/global-dc-gateways/{global_dc_gateway_id}/peer-links/{peer_link_id}

dcaas:gdgw:getPeerlink

-

POST /v3/{project_id}/dcaas/switchover-test

dcaas:vif:switchoverTest

-

GET /v3/{project_id}/dcaas/switchover-test

dcaas:vif:listSwitchoverTestRecord

-

资源类型（Resource）

资源类型（Resource）表示身份策略所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的身份策略语句中指定该资源的URN，身份策略仅作用于此资源；如未指定，Resource默认为“*”，则身份策略将应用到所有资源。您也可以在身份策略中设置条件，从而指定资源类型。

DC定义了以下可以在自定义身份策略的Resource元素中使用的资源类型。

表3 DC支持的资源类型

资源类型

URN

instances

er:<region>:<account-id>:instances:<instance-id>

lgw

dcaas:<region>:<account-id>:lgw:<lgw-id>

vif

dcaas:<region>:<account-id>:vif:<vif-id>

lgwTable

dcaas:<region>:<account-id>:lgwTable:<lgwTable-id>

gdgw

dcaas:<region>:<account-id>:gdgw:<gdgw-id>

vifPeer

dcaas:<region>:<account-id>:vifPeer:<vifPeer-id>

vpc

vpc:<region>:<account-id>:vpc:<vpc-id>

vgw

dcaas:<region>:<account-id>:vgw:<vgw-id>

directConnect

dcaas:<region>:<account-id>:directConnect:<directConnect-id>

lag

dcaas:<region>:<account-id>:lag:<lag-id>

connectGateway

dcaas:<region>:<account-id>:connectGateway:<connectGateway-id>

条件（Condition）

DC服务不支持在身份策略中的条件键中配置服务级的条件键。DC可以使用适用于所有服务的全局条件键，请参考全局条件键。

父主题：网络

相关文档