创建IAM身份中心自定义策略

IAM身份中心自定义策略样例

• 示例1：授权用户创建权限集

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "IdentityCenter:permissionSet:create"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "organizations:delegatedAdministrators:list"
              ]
          }
      ]
  }

• 示例2：拒绝用户删除权限集

  拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。

  如果您给用户授予IdentityCenter FullAccess的系统策略，但不希望用户拥有IdentityCenter FullAccess中定义的删除权限集权限，您可以创建一条拒绝删除权限集的自定义策略，然后同时将IdentityCenter FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对IAM身份中心执行除了删除权限集外的所有操作。拒绝策略示例如下：

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Deny",
              "Action": [
                  "IdentityCenter:permissionSet:delete"
              ]
          }
      ]
  }

• 示例3：多个授权项策略

  一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下：

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "IdentityCenter:permissionSet:delete",
                  "IdentityCenter:user:create",
                  "IdentityCenter:permissionSet:create"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "organizations:delegatedAdministrators:list"
              ]
          }
      ]
  }

IAM身份中心自定义身份策略样例

如果系统预置的IAM身份中心系统身份策略，不满足您的授权要求，可以创建自定义身份策略。自定义身份策略中可以添加的授权项（Action）请参考《IAM身份中心API参考》的“身份策略授权参考”章节。

目前华为云支持以下两种方式创建自定义身份策略：

• 可视化视图创建自定义身份策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。
• JSON视图创建自定义身份策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。

具体创建步骤请参见：创建自定义身份策略并附加至主体。

您可以在创建自定义身份策略时，可以通过资源类型（Resource）元素来选择特定资源，以及条件键（Condition）元素来控制策略何时生效。支持的资源类型和条件键请参考《IAM身份中心API参考》的“身份策略授权参考”章节。

• 自定义身份策略结构：

  如选择“特定资源”可以单击“通过资源路径指定”来指定需要授权的资源。

  身份策略结构包括Version（身份策略版本号）和Statement（身份策略权限语句）两部分，其中Statement可以有多个，表示不同的授权项。

  图1 策略结构
  

  身份策略参数包含Version和Statement两部分，下面介绍身份策略参数详细说明。了解身份策略参数后，您可以根据场景自定义身份策略，如表1。身份策略是由JSON元素组成，例如Version、Statement、Sid、Effect、Action、Condition、Resource元素等，如需了解这些元素的更多信息，请参见JSON元素参考。

  表1 身份策略参数说明

  参数		含义	值
  Version		身份策略的版本。	固定为5.0，不支持修改：代表身份策略JSON语法的版本号。
  Statement： 身份策略的授权语句	Sid：语句ID	Sid（Statement ID）表示语句的可选标识符。	为一个由零个或多个字符组成的字符串。
  	Effect：作用	定义Action中的操作权限是否允许执行。	Allow：允许执行。 Deny：不允许执行。 说明： 当同一个Action的Effect既有Allow又有Deny时，遵循Deny优先的原则。
  	Action/NotAction：授权项	操作权限。	格式为“服务名:资源类型:操作”。授权项支持*和?，*表示任意个字符，?表示恰好一个字符。Action/NotAction不区分大小写。Action表示匹配列表中的所有授权项，NotAction表示匹配列表之外的所有授权项。 示例： "obs:bucket:listAllMyBuckets"：表示查看OBS桶列表权限，其中obs为服务名，bucket为资源类型，listAllMybuckets为操作。 您可以打开身份策略授权参考，导航至云服务的的“操作”小节，查看该服务所有授权项。
  	Resource: 资源类型	身份策略所作用的资源。	资源类型用资源URN表示，格式为“<service-name>:<region>:<account-id>:<type-name>:<resource-path>”, 资源URN支持*和?，*表示任意个字符，?表示恰好一个字符。Resource不区分大小写。资源URN详情可参见使用URN标识华为云资源。 示例： "obs:*:*:bucket:*": 表示所有的OBS桶。 "obs:*:*:object:my-bucket/my-object/*": 表示my-bucket桶my-object目录下的所有对象。
  	Condition：条件	使身份策略生效的特定条件，包括条件键和运算符。	格式为“运算符:{条件键：[条件值1,条件值2]}”。其中，条件键不区分大小写。 如果您设置多个条件，同时满足所有条件时，该身份策略才生效。 示例: "StringEndWithIfExists":{"g:UserName":["specialCharacter"]}：表示当用户输入的用户名以"specialCharacter"结尾时该条statement生效。

下面为您介绍常用的IAM身份中心自定义身份策略样例。

• 示例1：授权用户创建权限集

  {
      "Version": "5.0",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "IdentityCenter:permissionSet:create"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "organizations:delegatedAdministrators:list"
              ]
          }
      ]
  }

• 示例2：多个授权项策略

  一个自定义身份策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项。多个授权语句策略描述如下：

  {
      "Version": "5.0",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "IdentityCenter:permissionSet:create",
                  "IdentityCenter:permissionSet:delete",
                  "IdentityCenter:user:create",
                  "IdentityCenter:user:delete"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "organizations:delegatedAdministrators:list"
              ]
          }
      ]
  }

IAM身份中心资源

资源是服务中存在的对象。在IAM身份中心中，资源包括：account，instance和permissionSet，您可以在创建自定义策略时，通过指定资源路径来选择特定资源。