创建策略

操作说明

当您需要对凭证库中凭据的访问行为进行管控，或现有策略无法满足业务访问需求时，您需要创建策略。例如，限制凭据仅允许访问特定目标服务、设置凭据可执行的操作范围，或按不同业务线配置差异化的访问规则等场景。创建策略时，您可以通过效果、主体范围、主体类型、资源范围、资源类型、操作范围和条件等要素配置访问规则，并使用 Cedar 编辑器完成编写。创建完成后，策略包含在策略集中，随策略集绑定至凭证库后生效。

创建策略

1. 登录智能体身份控制台。
2. 在左侧导航窗格中，选择“策略集”。
3. 在策略集列表找到目标策略集，单击目标策略集名称。
4. 选择“策略”页签，单击“添加策略”。
5. 配置策略的基本信息。输入“名称”。策略名称只能包含英文字母、数字或特殊字符(_)且必须以字母开头，长度不能超过48个字符。
6. 配置策略语句。根据表1中的信息配置策略语句参数。
   图1 配置策略语句
   

   表1 策略语句参数

   参数	说明
   效果	策略对符合条件的访问请求执行的结果，决定访问是放行还是拦截。 允许：放行符合条件的访问请求，允许调用执行。 拒绝：拦截符合条件的访问请求，禁止调用执行。 显式拒绝优先于允许。
   主体范围	策略适用的调用主体范围，即“哪些主体可以使用该策略”。 所有主体：策略对全部调用主体生效，不区分主体类型。 特定主体：策略仅对指定的主体生效，需进一步选择主体及主体类型。 IAM身份：策略仅对IAM身份的主体类型生效，填写URN后策略仅对该主体生效；不填则对该类型下全部主体生效。
   资源范围	策略可访问的资源范围，即“能访问哪些资源”。 所有资源：策略对全部资源生效，不区分资源类型。 特定资源：策略仅对指定的资源生效，需进一步选择资源及资源类型。 OAuth客户端：策略仅对OAuth客户端的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。 API Key：策略仅对API Key的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。 IAM委托：策略仅对IAM委托的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。
   操作范围	策略允许或拒绝执行的操作范围，即“能执行哪些操作”。 所有操作：策略对全部操作生效。 特定操作：策略仅对指定的操作生效，需在“选择操作”中选择具体操作。 GetResourceOAuth2Token：通过OAuth2两方/三方授权流程获取访问令牌，以访问外部资源。 GetResourceApiKey：获取与API密钥凭证提供者关联的API密钥。 GetResourceStsToken：从STS凭证提供者获取IAM临时凭证。
   条件（可选）	策略生效的附加约束条件，通过条件表达式限定访问场景。 不配置：策略对全部场景生效，不做额外约束。 配置：需通过条件表达式进一步限定策略的生效场景。

7. 确认配置无误后，单击“立即创建”。
8. 在弹窗中单击“确定”。

   返回策略列表。查看到新创建的策略存在策略列表中，且“状态”为生效，表示策略创建成功。