SCP语法介绍

用户身份主体请求服务A，服务A以用户身份主体请求服务B，服务B以用户身份主体请求服务C。在服务A收到的请求中，因为是用户身份主体直接请求，不会包含g:CalledVia属性；在服务B收到的请求中，因为是服务A代表用户身份主体发起，所以g:CalledVia会包含服务A的服务主体；在服务C收到的请求中g:CalledVia属性会包含服务A和服务B的服务主体，并且顺序与转发访问的请求链顺序一致，此时g:CalledViaFirst为服务A的服务主体，g:CalledViaLast则为服务B的服务主体，通过g:CalledViaFirst和g:CalledViaLast两个条件键可指定由哪个服务在转发访问链中第一个及最后一个调用。

图2 g:CalledVia使用场景

用户通过管理控制台对云服务发起请求时，其CalledVia中将包含service.console。

示例：表示不允许通过管理控制台发起的请求调用RAM服务的查询资源共享接口。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"ram:resourceShares:search"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"ForAnyValue:StringEquals": {
				"g:CalledVia": "service.console"
			}
		}
	}]
}

示例：表示用户通过该属性控制云服务API在2023年3月1日到2023年3月30日的时间段内禁止被访问。

{ 
     "Version": "5.0", 
     "Statement": [ 
         { 
             "Effect": "Deny", 
             "Action": ["ram:resourceShares:search"], 
             "Resource": ["*"], 
             "Condition": { 
                 "DateGreaterThan": {"g:CurrentTime": "2023-03-01T00:00:00Z"}, 
                 "DateLessThan": {"g:CurrentTime": "2023-03-30T23:59:59Z"} 
             } 
         } 
     ] 
 }

示例：此条件键为鉴权场景下使用的条件键，如下策略表示限制用户通过企业项目过滤查询虚拟私有云的访问执行操作：不允许用户请求GET /v1/{project_id}/vpcs时指定enterprise_project_id为xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx，即请求为/v1/{project_id}/vpcs?enterprise_project_id=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx时不可访问。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"vpc:vpcs:list"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringEquals": {
				"g:EnterpriseProjectId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
			}
		}
	}]
}

需要注意的是，g:EnterpriseProjectId并非过滤条件，即不会过滤出符合该条件键所指定的企业项目下的资源。仍以请求GET /v1/{project_id}/vpcs为例，当enterprise_project_id为all_granted_eps时，其接口行为是查询当前用户所有企业项目绑定的虚拟私有云。此时如用户已配置如上策略，接口将不会列出用户在策略中编写的g:EnterpriseProjectId所对应的企业项目下的虚拟私有云列表。

g:MFAPresent仅在STS Security Token版本发出请求时存在，如使用永久凭据发起请求等场景则此条件键不存在。

示例：表示用户可以通过该属性控制云服务API仅能被经过多因素认证的身份调用。需注意搭配IfExists后缀以包括永久凭据发起请求此类g:MFAPresent条件键不存在的场景。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"*"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"BoolIfExists": {
				"g:MFAPresent": "false"
			}
		}
	}]
}

示例：将以下SCP绑定至账号，不允许用户yyy创建资源共享实例。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"ram:resourceShares:create"
		],
		"Condition": {
			"StringEquals": {
				"g:PrincipalUrn": "iam::xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:user:yyy"
			}
		}
	}]
}

示例：表示用户通过该属性限制在组织o-xxxxxxxxxxx中的账号不允许访问RAM服务的查询资源共享接口。

{ 
     "Version": "5.0", 
     "Statement": [ 
         { 
             "Effect": "Deny", 
             "Action": ["ram:resourceShares:search"], 
             "Resource": ["*"], 
             "Condition": { 
                 "StringEquals": {  
                 "g:PrincipalOrgID": "o-xxxxxxxxxxx" 

                 } 
             } 
         } 
     ] 
 }

示例：表示条件键Condition在请求者所在组织的管理账号ID为xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx时视为匹配。

{
	"Condition": {
		"StringEquals": {
			"g:PrincipalOrgManagementAccountId": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
		}
	}
}

示例：表示条件键Condition在请求者账号属于组织单元ou-qqq时视为匹配。

{
	"Condition": {
		"StringMatch": {
			"g:PrincipalOrgPath": "o-xxx/r-yyy/ou-zzz/ou-qqq/*"
		}
	}
}

示例：表示条件键Condition在请求者账号属于组织单元ou-qqq下任意子OU时视为匹配。

{
	"Condition": {
		"StringMatch": {
			"g:PrincipalOrgPath": "o-xxx/r-yyy/ou-zzz/ou-qqq/ou-*"
		}
	}
}

示例：表示条件键Condition在请求者是RAM服务时视为匹配。

{
    "Condition": {
        "StringEquals": {
            "g:PrincipalServiceName": "service.RAM"
        }
    }
}

示例：表示当IAM用户上携带了{"department": "hr"}标签时，不允许访问IAM相关API。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"iam:*"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringEquals": {
				"g:PrincipalTag/department": "hr"
			}
		}
	}]
}

示例：表示策略不允许用户创建带有{"team": "engineering"}标签的资源共享实例。

{
    "Version": "5.0",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": ["ram:resourceShares:create"],
            "Resource": ["*"],
            "Condition": {
                "StringEquals": {
                    "g:RequestTag/team": "engineering"
                }
            }
        }
    ]
}

示例：表示拒绝用户使用指定用户以外的KMS密钥解密数据。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringNotEquals": {
				"g:ResourceAccount": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
			}
		}
	}]
}

示例：表示拒绝用户使用指定组织以外的KMS密钥解密数据。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringNotEquals": {
				"g:ResourceOrgId": "o-xxxxxxxx"
			}
		}
	}]
}

示例：表示不允许用户用组织单元ou-qqq内账号的KMS密钥解密数据。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringMatch": {
				"g:ResourceOrgPath": "o-xxx/r-yyy/ou-zzz/ou-qqq/*"
			}
		}
	}]
}

示例：表示不允许用户用组织单元ou-qqq下子OU内账号的KMS密钥解密数据。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringMatch": {
				"g:ResourceOrgPath": "o-xxx/r-yyy/ou-zzz/ou-qqq/ou-*"
			}
		}
	}]
}

示例：表示策略禁止用户修改带有{"team": "engineering"}标签的资源共享实例。

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ram:resourceShares:delete",
        "ram:resourceShares:update"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "g:ResourceTag/team": "engineering"
        }
      }
    }
  ]
}

示例：Service A是一个用于记录活动的服务，能帮助用户（Account B）把其设备（Account C）触发的活动日志转储到用户指定的OBS桶里。为了能让Service A正常向桶中写入数据，Account B的管理员会为Service A创建一个委托/信任委托X来操作自己账号下的OBS桶。当用户（Account B）或某个设备（Account C）接入了Service A并触发请求后，Service A切换获取指定委托/信任委托X的临时身份凭据，然后向桶中写入数据。

图3 混淆代理

由于委托/信任委托X的名字并非保密内容，如果攻击者（Account D）获取到了委托名并以同样的方式触发Service A，则其活动记录会被错误地记录在用户的OBS桶里。请注意，攻击者利用Service A的委托，间接地修改了用户的OBS桶，Service A的行为即被称为混淆代理。

g:SourceAccount用于控制云服务为了哪个账号访问此次资源。以下策略仅允许Service A为xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx或yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy切换至对应委托的会话。

{
	"Version": "5.0",
	"Statement": [{
		"Principal": {
			"Service": [
				"Service.A"
			]
		},
		"Action": [
			"sts:agencies:assume"
		],
		"Condition": {
			"StringEquals": {
				"g:sourceAccount": [
					"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
					"yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy"
				]
			}
		}
	}]
}

与g:SourceAccount相同，该条件键也用于解决混淆代理问题。假设用户设备（xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx）的资源定义分为手表（watch）和手环（bracelet）两种，每种都有若干个。g:SourceUrn用于控制云服务为了哪个资源访问此次资源。以下策略表示仅允许Service A为符合条件的手表或手环切换至对应委托的会话。

{
	"Version": "5.0",
	"Statement": [{
		"Principal": {
			"Service": [
				"Service.A"
			]
		},
		"Action": [
			"sts:agencies:assume"
		],
		"Condition": {
			"StringEquals": {
				"g:sourceUrn": [
					"alarm:*:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:watch:*",
					"alarm:*:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:bracelet:*"
				]
			}
		}
	}]
}

示例：表示不允许source_identity为yyyyy的身份切换该委托。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Principal": {
			"IAM": [
				"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
			]
		},
		"Action": [
			"sts:agencies:assume"
		],
		"Condition": {
			"StringEquals": {
				"g:SourceIdentity": "yyyyy"
			}
		}
	}]
}

示例：将以下策略绑定至账号，当该账号源IP地址在xxx.xx.xx.0/24范围内时，不允许通过编程或控制台访问KMS。

源IP地址需要为公网IP，请勿在该条件键中包含内网地址。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"IpAddress": {
				"g:SourceIp": "xxx.xx.xx.0/24"
			}
		}
	}]
}

需注意：初始请求上下文中的g:SourceIp、g:SourceVpce、g:SourceVpc、g:VpcSourceIp不会在服务代表身份主体转发访问的后续请求中继续传递，因此使用这些条件键控制访问权限时，可能导致云服务需代表身份主体转发访问的请求被拒绝。实际场景中，建议使用g:CalledVia以允许转发访问请求。

例外：身份主体由控制台发起的公网访问可视为身份主体直接由公网进行编程访问，因此由控制台代表身份主体转发访问的此次请求中将包含有初始的g:SourceIp。

示例：将以下策略绑定至账号，拒绝该账号源IP地址在xxx.xx.xx.0/24范围外时，通过编程或控制台访问KMS；同时该策略允许云服务代表身份主体转发访问请求，即不会禁用其他云服务访问KMS。

{
	"Version": "5.0",
	"Statement": [{
			"Effect": "Deny",
			"Action": [
				"kms:cmk:decryptData"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"NotIpAddress": {
					"g:SourceIp": "xxx.xx.xx.0/24"
				},
				"Bool": {
					"g:ViaService": "false"
				}
			}
		},
		{
			"Effect": "Deny",
			"Action": [
				"kms:cmk:decryptData"
			],
			"Resource": [
				"*"
			],
			"Condition": {
				"NotIpAddress": {
					"g:SourceIp": "xxx.xx.xx.0/24"
				},
				"StringEqualsIfExists": {
					"g:CalledViaFirst": "service.console",
					"g:CalledViaLast": "service.console"
				}
			}
		}
	]
}

示例：将以下策略绑定至账号，拒绝该账号通过VPC终端节点 "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" 外的方式访问KMS；同时该策略允许云服务代表身份主体转发访问请求。

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Deny",
		"Action": [
			"kms:cmk:decryptData"
		],
		"Resource": [
			"*"
		],
		"Condition": {
			"StringNotEquals": {
				"g:SourceVpce": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
			},
			"Bool": {
				"g:ViaService": "false"
			}
		}
	}]
}