云专线 DC
Organizations服务中的服务控制策略（Service Control Policy，以下简称SCP）也可以使用这些授权项元素设置访问控制策略。
SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。
本章节介绍组织服务中SCP使用的元素，这些元素包含了操作（Action）、资源（Resource）和条件（Condition）。
如何使用这些元素编辑SCP自定义策略，请参考创建SCP。
操作（Action）
操作（Action）即为SCP中支持的授权项。
- “访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在SCP中相应操作对应的访问级别。
- “资源类型”列指每个操作是否支持资源级权限。
- 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在SCP语句的Resource元素中指定所有资源类型（“*”）。
- 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的URN。
- 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。
关于DC定义的资源类型的详细信息请参见资源类型（Resource）。
- “条件键”列包括了可以在SCP语句的Condition元素中支持指定的键值。
- 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
- 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
- 如果此列条件键没有值（-），表示此操作不支持指定条件键。
关于DC定义的条件键的详细信息请参见条件（Condition）。
您可以在SCP语句的Action元素中指定以下DC的相关操作。
授权项 |
描述 |
访问级别 |
资源类型（*为必须） |
条件键 |
|---|---|---|---|---|
dcaas:directConnect:create |
授予创建物理连接。 |
write |
directConnect * |
- |
- |
|
|||
dcaas:directConnect:update |
授予更新指定物理连接信息。 |
write |
directConnect * |
|
dcaas:directConnect:delete |
授予删除指定物理连接。只适用于按需计费物理连接，对于包周期购买的物理连接通过订单退订的方式删除指定物理连接。 |
write |
directConnect * |
|
dcaas:directConnect:get |
授予查询指定物理连接详细信息。 |
read |
directConnect * |
|
dcaas:directConnect:list |
授予查询租户创建的所有物理连接。 |
list |
directConnect * |
- |
- |
g:EnterpriseProjectId |
|||
dcaas:directConnect:createHostedDirectConnect |
授予合作伙伴创建托管物理连接。 |
write |
directConnect * |
|
dcaas:directConnect:updateHostedDirectConnect |
授予合作伙伴更新指定托管物理连接。 |
write |
directConnect * |
|
dcaas:directConnect:deleteHostedDirectConnect |
授予合作伙伴删除指定托管物理连接。 |
write |
directConnect * |
|
dcaas:directConnect:getHostedDirectConnect |
授予合作伙伴查询指定托管物理连接。 |
read |
directConnect * |
|
dcaas:directConnect:listHostedDirectConnect |
授予合作伙伴查询所有托管物理连接列表。 |
list |
directConnect * |
g:EnterpriseProjectId |
dcaas:directConnect:createOnestopDirectConnect |
授予创建一站式物理连接。 |
write |
directConnect * |
- |
- |
|
|||
dcaas:directConnect:updateOnestopDirectConnect |
授予更新指定一站式物理连接。 |
write |
directConnect * |
|
dcaas:directConnect:createOrder |
授予创建订单用来购买物理连接。 |
write |
directConnect * |
- |
dcaas:directConnect:updateOrder |
授予更新指定订单，用于物理连接升配或降配。 |
write |
directConnect * |
- |
dcaas:vgw:create |
授予创建虚拟网关。 |
write |
vgw * |
- |
vpc |
- |
|||
instances |
- |
|||
- |
|
|||
dcaas:vgw:update |
授予更新指定虚拟网关的信息。 |
write |
vgw * |
|
dcaas:vgw:delete |
授予删除指定的虚拟网关。 |
write |
vgw * |
|
dcaas:vgw:get |
授予查询指定虚拟网关的详细信息。 |
read |
vgw * |
|
dcaas:vgw:list |
授予查询虚拟网关列表。 |
list |
vgw * |
- |
- |
g:EnterpriseProjectId |
|||
dcaas:vif:create |
授予创建虚拟接口。 |
write |
vif * |
- |
directConnect |
- |
|||
lag |
- |
|||
vgw |
- |
|||
gdgw |
- |
|||
connectGateway |
- |
|||
lgw |
- |
|||
- |
|
|||
dcaas:vif:update |
授予更新指定虚拟接口。 |
write |
vif * |
|
dcaas:vif:delete |
授予删除指定虚拟接口。 |
write |
vif * |
|
dcaas:vif:get |
授予查询指定虚拟接口。 |
read |
vif * |
|
dcaas:vif:list |
授予查询指定租户所有虚拟接口列表。 |
list |
vif * |
- |
- |
g:EnterpriseProjectId |
|||
dcaas:vif:updateVifExtendAttribute |
授予更新指定虚拟接口扩展属性。 |
write |
vif * |
|
dcaas:vifPeer:create |
授予创建虚拟接口对等体。 |
write |
vifPeer * |
- |
vif * |
- |
|||
dcaas:vifPeer:update |
授予更新指定虚拟接口对等体信息。 |
write |
vifPeer * |
- |
dcaas:vifPeer:delete |
授予删除指定虚拟接口对等体。 |
write |
vifPeer * |
- |
dcaas:vifPeer:get |
授予查询指定虚拟接口对等体。 |
read |
vifPeer * |
- |
dcaas:vifPeer:list |
授予查询虚拟接口对等体列表。 |
list |
vifPeer * |
- |
dcaas:gdgw:create |
授予创建全球接入网关实例。 |
write |
gdgw * |
- |
- |
|
|||
dcaas:gdgw:update |
授予更新指定全球接入网关信息。 |
write |
gdgw * |
|
dcaas:gdgw:delete |
授予删除指定的全球接入网关。 |
write |
gdgw * |
|
dcaas:gdgw:get |
授予查询指定全球接入网关实例详情信息。 |
read |
gdgw * |
|
dcaas:gdgw:list |
授予查询全球接入网关列表。 |
list |
gdgw * |
- |
- |
g:EnterpriseProjectId |
|||
dcaas:gdgw:createPeerlink |
授予创建指定全球接入网关的关联连接。 |
write |
gdgw * |
|
dcaas:gdgw:updatePeerlink |
授予更新指定全球接入网关的指定关联连接。 |
write |
gdgw * |
|
dcaas:gdgw:deletePeerlink |
授予删除指定全球接入网关的指定对等连接。 |
write |
gdgw * |
|
dcaas:gdgw:getPeerlink |
授予查询指定全球接入网关的指定关联连接。 |
read |
gdgw * |
|
dcaas:gdgw:listPeerlink |
授予查询指定全球接入网关的所有关联连接列表。 |
list |
gdgw * |
|
dcaas:connectGateway:create |
授予权限以创建互联网关。 |
write |
connectGateway * |
- |
dcaas:connectGateway:update |
授予权限以更新互联网关。 |
write |
connectGateway * |
- |
dcaas:connectGateway:delete |
授予权限以删除互联网关。 |
write |
connectGateway * |
- |
dcaas:connectGateway:get |
授予权限以查询互联网关详情。 |
read |
connectGateway * |
- |
dcaas:connectGateway:list |
授予权限以查询互联网关列表。 |
list |
connectGateway * |
- |
dcaas:connectGateway:listGlobalEip |
授予权限以查询绑定的geip列表。 |
list |
connectGateway * |
- |
dcaas:connectGateway:bindGlobalEip |
授予权限以绑定geip。 |
write |
connectGateway * |
- |
dcaas:connectGateway:unbindGlobalEip |
授予权限以解绑定geip。 |
write |
connectGateway * |
- |
dcaas:vif:switchoverTest |
授予权限以进行倒换测试。 |
write |
vif * |
- |
dcaas:vif:listSwitchoverTestRecord |
授予权限以获取倒换测试执行记录。 |
list |
vif * |
- |
dcaas:vif:getSwitchoverTestRecord |
授予权限以获取单条倒换测试执行记录。 |
read |
vif * |
- |
dcaas:resources:batchTagUntag |
授予权限以批量增加删除云专线的资源标签。 |
tagging |
directConnect |
|
lag |
|
|||
vgw |
|
|||
vif |
|
|||
gdgw |
|
|||
- |
|
|||
dcaas:resources:listResourceTag |
授予权限以查询云专线的资源标签。 |
list |
directConnect |
- |
lag |
- |
|||
vgw |
- |
|||
vif |
- |
|||
gdgw |
- |
|||
dcaas:resources:listTag |
授予权限以查询云专线某个资源类型的标签。 |
list |
directConnect |
- |
lag |
- |
|||
vgw |
- |
|||
vif |
- |
|||
gdgw |
- |
|||
dcaas:resources:tag |
授予权限以添加云专线的资源标签。 |
tagging |
directConnect |
|
lag |
|
|||
vgw |
|
|||
vif |
|
|||
gdgw |
|
|||
- |
|
|||
dcaas:resources:unTag |
授予权限以删除云专线的资源标签。 |
tagging |
directConnect |
|
lag |
|
|||
vgw |
|
|||
vif |
|
|||
gdgw |
|
|||
- |
g:TagKeys |
|||
dcaas:resources:listByTag |
授予根据标签查询云专线资源列表权限。 |
list |
directConnect |
- |
lag |
- |
|||
vgw |
- |
|||
vif |
- |
|||
gdgw |
- |
|||
dcaas:gdgw:listGdgwRouteTable |
授予权限以获取专线全球网关的自定义路由表。 |
list |
gdgw * |
- |
dcaas:gdgw:updateGdgwRouteTable |
授予权限以更新专线全球网关的自定义路由表。 |
write |
gdgw * |
- |
dcaas:quota:listVgwUsage |
授予权限以获取专线的VPC下VGW配额。 |
list |
- |
- |
dcaas:quota:listUsage |
授予权限以获取专线的配额。 |
list |
- |
- |
dcaas:lgw:create |
授予创建本地网关权限。 |
write |
lgw * |
- |
dcaas:lgw:update |
授予更新本地网关权限。 |
write |
lgw * |
- |
dcaas:lgw:delete |
授予删除本地网关权限。 |
write |
lgw * |
- |
dcaas:lgw:get |
授予查询本地网关详情权限。 |
read |
lgw * |
- |
dcaas:lgw:list |
授予查询本地网关列表权限。 |
list |
lgw * |
- |
dcaas:lgwTable:create |
授予创建本地网关路由表权限。 |
write |
lgwTable * |
- |
lgw * |
- |
|||
dcaas:lgwTable:update |
授予更新本地网关路由表权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:delete |
授予删除本地网关路由表权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:get |
授予查询本地网关路由表详情权限。 |
read |
lgwTable * |
- |
dcaas:lgwTable:list |
授予查询本地网关路由表列表权限。 |
list |
lgwTable * |
- |
dcaas:lgwTable:createLgwTableRoute |
授予创建本地网关路由表路由权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:updateLgwTableRoute |
授予更新本地网关路由表路由权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:deleteLgwTableRoute |
授予删除本地网关路由表路由权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:getLgwTableRoute |
授予查询本地网关路由表路由详情权限。 |
read |
lgwTable * |
- |
dcaas:lgwTable:listLgwTableRoute |
授予查询本地网关路由表路由列表权限。 |
list |
lgwTable * |
- |
dcaas:lgwTable:batchDeleteLgwTableRoute |
授予批量删除本地网关路由表路由权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:createLgwTableVpc |
授予将本地网关路由表关联至虚拟私有云的权限。 |
write |
lgwTable * |
- |
vpc * |
- |
|||
dcaas:lgwTable:updateLgwTableVpc |
授予更新本地网关路由表虚拟私有云权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:deleteLgwTableVpc |
授予解除本地网关路由表与虚拟私有云关联的权限。 |
write |
lgwTable * |
- |
dcaas:lgwTable:getLgwTableVpc |
授予查询本地网关路由表虚拟私有云详情权限。 |
read |
lgwTable * |
- |
dcaas:lgwTable:listLgwTableVpc |
授予查询本地网关路由表虚拟私有云列表权限。 |
list |
lgwTable * |
- |
DC的API通常对应着一个或多个授权项。表2展示了API与授权项的关系，以及该API需要依赖的授权项。
API |
对应的授权项 |
依赖的授权项 |
|---|---|---|
GET /v3/{project_id}/dcaas/direct-connects/{direct_connect_id} |
dcaas:directConnect:get |
- |
GET /v3/{project_id}/dcaas/direct-connects |
dcaas:directConnect:list |
- |
PUT /v3/{project_id}/dcaas/direct-connects/{direct_connect_id} |
dcaas:directConnect:update |
- |
DELETE /v3/{project_id}/dcaas/direct-connects/{direct_connect_id} |
dcaas:directConnect:delete |
- |
GET /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id} |
dcaas:directConnect:getHostedDirectConnect |
- |
GET /v3/{project_id}/dcaas/hosted-connects |
dcaas:directConnect:listHostedDirectConnect |
- |
POST /v3/{project_id}/dcaas/hosted-connects |
dcaas:directConnect:createHostedDirectConnect |
- |
PUT /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id} |
dcaas:directConnect:updateHostedDirectConnect |
- |
DELETE /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id} |
dcaas:directConnect:deleteHostedDirectConnect |
- |
GET /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id} |
dcaas:vgw:get |
- |
GET /v3/{project_id}/dcaas/virtual-gateways |
dcaas:vgw:list |
- |
PUT /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id} |
dcaas:vgw:update |
- |
DELETE /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id} |
dcaas:vgw:delete |
- |
POST /v3/{project_id}/dcaas/virtual-gateways |
dcaas:vgw:create |
er:instances:get vpc:vpcs:get |
GET /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id} |
dcaas:vif:get |
- |
GET /v3/{project_id}/dcaas/virtual-interfaces |
dcaas:vif:list |
- |
PUT /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id} |
dcaas:vif:update |
- |
DELETE /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id} |
dcaas:vif:delete |
- |
POST /v3/{project_id}/dcaas/virtual-interfaces |
dcaas:vif:create |
- |
PUT /v3/{project_id}/dcaas/vif-peers/{vif_peer_id} |
dcaas:vifPeer:update |
- |
DELETE /v3/{project_id}/dcaas/vif-peers/{vif_peer_id} |
dcaas:vifPeer:delete |
- |
POST /v3/{project_id}/dcaas/vif-peers |
dcaas:vifPeer:create |
- |
POST /v3/{project_id}/dcaas/switchover-test |
dcaas:vif:switchoverTest |
- |
GET /v3/{project_id}/dcaas/switchover-test |
dcaas:vif:listSwitchoverTestRecord |
- |
GET /v3/{project_id}/dcaas/quotas |
dcaas:quota:listUsage |
- |
资源类型（Resource）
资源类型（Resource）表示SCP所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的SCP语句中指定该资源的URN，SCP仅作用于此资源；如未指定，Resource默认为“*”，则SCP将应用到所有资源。您也可以在SCP中设置条件，从而指定资源类型。
DC定义了以下可以在SCP的Resource元素中使用的资源类型。
资源类型 |
URN |
|---|---|
instances |
er:<region>:<account-id>:instances:<instance-id> |
lgw |
dcaas:<region>:<account-id>:lgw:<lgw-id> |
vif |
dcaas:<region>:<account-id>:vif:<vif-id> |
lgwTable |
dcaas:<region>:<account-id>:lgwTable:<lgwTable-id> |
gdgw |
dcaas:<region>:<account-id>:gdgw:<gdgw-id> |
vifPeer |
dcaas:<region>:<account-id>:vifPeer:<vifPeer-id> |
vpc |
vpc:<region>:<account-id>:vpc:<vpc-id> |
vgw |
dcaas:<region>:<account-id>:vgw:<vgw-id> |
directConnect |
dcaas:<region>:<account-id>:directConnect:<directConnect-id> |
lag |
dcaas:<region>:<account-id>:lag:<lag-id> |
connectGateway |
dcaas:<region>:<account-id>:connectGateway:<connectGateway-id> |
