# 创建策略
#### 操作说明
当您需要对凭证库中凭据的访问行为进行管控，或现有策略无法满足业务访问需求时，您需要创建策略。例如，限制凭据仅允许访问特定目标服务、设置凭据可执行的操作范围，或按不同业务线配置差异化的访问规则等场景。创建策略时，您可以通过效果、主体范围、主体类型、资源范围、资源类型、操作范围和条件等要素配置访问规则，并使用 Cedar 编辑器完成编写。创建完成后，策略包含在策略集中，随策略集绑定至凭证库后生效。
#### 创建策略
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"策略集"。
3. 在策略集列表找到目标策略集，单击目标策略集名称。
4. 选择"策略"页签，单击"添加策略"。
5. 配置策略的基本信息。输入"名称"。策略名称只能包含英文字母、数字或特殊字符(_)且必须以字母开头，长度不能超过48个字符。
6. 配置策略语句。根据[表1]中的信息配置策略语句参数。
   
   图1配置策略语句   
   ![](https://support.huaweicloud.com/usermanual-agentidentity/zh-cn_image_0000002799682475.png)
    表1策略语句参数 
   | 参数       | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                        |
   |:---|:---|
   | 效果         | 策略对符合条件的访问请求执行的结果，决定访问是放行还是拦截。 - 允许：放行符合条件的访问请求，允许调用执行。  - 拒绝：拦截符合条件的访问请求，禁止调用执行。   显式拒绝优先于允许。                                                                                                                                                                                                                                                                                                                                                                                                                                            |
   | 主体范围       | 策略适用的调用主体范围，即"哪些主体可以使用该策略"。 - 所有主体：策略对全部调用主体生效，不区分主体类型。  - 特定主体：策略仅对指定的主体生效，需进一步选择主体及主体类型。 - IAM身份：策略仅对IAM身份的主体类型生效，填写URN后策略仅对该主体生效；不填则对该类型下全部主体生效。                                                                                                                                                                                                                                                                                           |
   | 资源范围     | 策略可访问的资源范围，即"能访问哪些资源"。 - 所有资源：策略对全部资源生效，不区分资源类型。  - 特定资源：策略仅对指定的资源生效，需进一步选择资源及资源类型。 - OAuth客户端：策略仅对OAuth客户端的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。  - API Key：策略仅对API Key的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。  - IAM委托：策略仅对IAM委托的资源类型生效。填写URN后策略仅对该资源生效；不填则对该类型下全部资源生效。     |
   | 操作范围      | 策略允许或拒绝执行的操作范围，即"能执行哪些操作"。 - 所有操作：策略对全部操作生效。  - 特定操作：策略仅对指定的操作生效，需在"选择操作"中选择具体操作。 - GetResourceOAuth2Token：通过OAuth2两方/三方授权流程获取访问令牌，以访问外部资源。  - GetResourceApiKey：获取与API密钥凭证提供者关联的API密钥。  - GetResourceStsToken：从STS凭证提供者获取IAM临时凭证。                                                        |
   | 条件（可选） | 策略生效的附加约束条件，通过条件表达式限定访问场景。 - 不配置：策略对全部场景生效，不做额外约束。  - 配置：需通过条件表达式进一步限定策略的生效场景。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
      
   
   
7. 确认配置无误后，单击"立即创建"。
8. 在弹窗中单击"确定"。 
   返回策略列表。查看到新创建的策略存在策略列表中，且"状态"为生效，表示策略创建成功。