云监控服务 CES

云服务在IAM预置了常用授权项，称为系统身份策略。如果IAM系统身份策略无法满足授权要求，管理员可以根据各服务支持的授权项，创建IAM自定义身份策略来进行精细的访问控制，IAM自定义身份策略是对系统身份策略的扩展和补充。

除IAM服务外，Organizations服务中的服务控制策略（Service Control Policies，以下简称SCP）也可以使用这些授权项元素设置访问控制策略。

SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。IAM身份策略授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。

IAM服务与Organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：IAM服务与Organizations服务权限访问控制的区别。

本章节介绍IAM服务身份策略授权场景中自定义身份策略和组织服务中SCP使用的元素，这些元素包含了操作（Action）、资源（Resource）和条件（Condition）。

如何使用这些元素编辑IAM自定义身份策略，请参考创建自定义身份策略。
如何使用这些元素编辑SCP自定义策略，请参考创建SCP。

操作（Action）

操作（Action）即为身份策略中支持的授权项。

“访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
“资源类型”列指每个操作是否支持资源级权限。
- 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在身份策略语句的Resource元素中指定所有资源类型（“*”）。
- 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的URN。
- 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。
关于CES定义的资源类型的详细信息请参见资源类型（Resource）。
“条件键”列包括了可以在身份策略语句的Condition元素中支持指定的键值。
- 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
- 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
- 如果此列条件键没有值（-），表示此操作不支持指定条件键。
关于CES定义的条件键的详细信息请参见条件（Condition）。
“别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的API访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的Action元素中指定以下CES的相关操作。

表1 ces支持的授权项
授权项	描述	访问级别	资源类型（*为必须）	条件键	别名
ces:alarms:create	授予创建告警规则的权限。	Write	-	g:EnterpriseProjectId g:RequestTag/<tag-key> g:TagKeys ces:namespace	-
ces:alarms:list	授予查询告警规则列表的权限。	List	-	g:EnterpriseProjectId	-
ces:alarms:put	授予更新告警规则的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarmsonoff:put
ces:alarms:put	授予更新告警规则的权限。	Write	-	g:RequestTag/<tag-key> g:TagKeys	ces:alarmsonoff:put
ces:alarms:putAction	授予启停告警规则的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:put
ces:alarms:get	授予查询指定告警规则的权限。	Read	alarm *	g:EnterpriseProjectId	ces:alarms:list
ces:alarms:delete	授予删除指定告警规则的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	-
ces:alarms:getInstanceStatus	授予查询实例告警状态的权限。	Read	alarm *	g:EnterpriseProjectId	ces:alarmsInstanceStatus:get
ces:alarms:getClassInfo	授予查询不同类型的告警规则数量的权限。	Read	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarmClassInfo:get
ces:alarms:listNamespaces	授予查询告警namespace列表的权限。	List	-	g:EnterpriseProjectId	ces:alarmNamespaces:list
ces:alarms:listOneClickAlarms	授予查询一键告警列表的权限。	List	-	g:EnterpriseProjectId	ces:oneClickAlarms:list
ces:alarms:putOneClickAlarms	授予批量启停一键告警权限。	Write	-	g:EnterpriseProjectId	ces:oneClickAlarms:put
ces:alarms:addResources	授予为指定告警规则批量增加资源的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:put
ces:alarms:deleteResources	授予为指定告警规则批量删除资源的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:put
ces:alarms:getPolicies	授予查询指定告警规则的策略列表权限。	Read	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:get
ces:alarms:getResources	授予查询指定告警规则的资源列表权限。	Read	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:list
ces:alarms:updatePolicies	授予更新指定告警规则的策略列表权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:put
ces:alarms:putAlarmNotifications	授予修改告警通知信息的权限。	Write	alarm *	g:ResourceTag/<tag-key> g:EnterpriseProjectId	ces:alarms:put
ces:alarms:putNotificationMaskRules	授予设置告警通知屏蔽规则的权限。	Write	-	g:EnterpriseProjectId	ces:notificationMasks:update
ces:alarms:listNotificationMaskResources	授予查询告警通知屏蔽资源列表的权限。	List	-	g:EnterpriseProjectId	ces:notificationMasks:list
ces:alarms:deleteNotificationMaskRules	授予批量删除告警通知屏蔽规则的权限。	Write	-	g:EnterpriseProjectId	ces:notificationMasks:delete
ces:alarms:listNotificationMaskRules	授予查询告警通知屏蔽列表的权限。	List	-	g:EnterpriseProjectId	ces:notificationMasks:list
ces:alarms:createOneClickAlarms	授予创建一键告警的权限。	Write	-	g:EnterpriseProjectId	ces:oneClickAlarms:post
ces:alarms:putOneClickAlarmPolicies	授予批量启停一键告警策略权限。	Write	-	g:EnterpriseProjectId	ces:oneClickAlarms:put
ces:alarms:putOneClickAlarmNotifications	授予批量修改一键告警通知规则的权限。	Write	-	g:EnterpriseProjectId	ces:oneClickAlarms:updateNotifications
ces:alarms:deleteOneClickAlarms	授予批量删除一键告警的权限。	Write	-	g:EnterpriseProjectId	ces:oneClickAlarms:delete
ces:notificationGroup:delete	授予删除通知组的权限。	Write	-	-	-
ces:notificationGroup:convertObject	授予对通知对象转换的权限。	Write	-	-	-
ces:notificationGroup:listSubscriptions	授予查询通知组订阅详情列表的权限。	List	-	-	-
ces:widgets:put	授予批量更新视图的权限。	Write	-	ces:namespace	-
ces:widgets:create	授予创建视图的权限。	Write	-	ces:namespace	-
ces:widgets:delete	授予删除指定视图的权限。	Write	-	-	-
ces:dashboards:create	授予创建dashboard的权限。	Write	dashboard *	-	-
ces:dashboards:create	授予创建dashboard的权限。	Write	-	g:EnterpriseProjectId	-
ces:dashboards:get	授予查询指定dashboard的权限。	Read	dashboard *	-	-
ces:dashboards:get	授予查询指定dashboard的权限。	Read	-	g:EnterpriseProjectId	-
ces:dashboards:list	授予批量查询dashboard列表的权限。	List	dashboard *	-	-
ces:dashboards:list	授予批量查询dashboard列表的权限。	List	-	g:EnterpriseProjectId	-
ces:dashboards:put	授予更新指定dashboard的权限。	Write	dashboard *	g:EnterpriseProjectId	-
ces:widgets:list	授予批量查询指定dashboard的视图列表权限。	List	-	-	-
ces:dashboards:delete	授予批量删除dashboard的权限。	Write	dashboard *	g:EnterpriseProjectId	-
ces:systemDashboard:get	授予批量查询系统dashboard的权限。	Read	-	-	-
ces:systemDashboard:put	授予更新指定系统dashboard的权限。	Write	-	-	ces:systemDashboard:update
ces:widgets:get	授予查询指定视图的权限。	Read	-	-	-
ces:dashboard:listServices	授予查询云服务看板列表的权限。	List	-	-	-
ces:dashboard:listResourceStatistics	授予查询云服务看板指定维度下资源统计的权限。	List	-	-	-
ces:dashboard:listAlarmStatistics	授予查询云服务看板告警级别统计的权限。	List	-	-	-
ces:dashboard:listResourceGroupAlarmStatistics	授予查询云服务看板资源分组告警级别统计的权限。	List	-	-	-
ces:dashboardGroups:delete	授予删除监控视图分组的权限。	Write	-	-	-
ces:dashboardGroups:list	授予查看监控视图分组的权限。	List	-	-	-
ces:dashboardGroups:create	授予创建监控视图分组的权限。	Write	-	-	-
ces:dashboardGroups:update	授予批量更新监控视图分组的权限。	Write	-	-	ces:dashboardGroups:put
ces:metrics:list	授予查询指标列表的权限。	List	-	-	-
ces:metricData:create	授予上报指标数据的权限。	Write	-	-	-
ces:metricData:get	授予查询单条指标数据的权限。	Read	-	-	ces:metricData:list
ces:metricData:list	授予批量查询指标数据的权限。	List	-	-	-
ces:namespacesDimensions:listAgentDimensions	授予查询指定实例下agent维度指标信息的权限。	List	-	-	ces:namespacesDimensions:list
ces:namespacesDimensions:list	授予批量查询指定指标维度的权限。	List	-	ces:namespace	-
ces:namespacesDimensions:get	授予批量查询指定命名空间的维度层级关系的权限。	Read	-	ces:namespace	ces:namespacesDimensions:list
ces:agent:putHeartBeat	授予更新指定服务器心跳状态的权限。	Write	-	-	ces:heartbeat:post
ces:agent:putStatus	授予更新指定实例下agent状态的权限。	Write	-	-	ces:heartbeat:post
ces:agent:getStatus	授予查询指定实例下agent状态的权限。	Read	-	-	ces:agentStatus:get
ces:agent:listStatuses	授予批量查询实例下agent状态列表的权限。	List	-	-	ces:agentStatus:get ces:agentStatus:list
ces:agent:putVersion	授予更新指定实例下agent版本的权限。	Write	-	-	ces:agentUpgrade:post
ces:metrics:listSupported	授予批量查询全部支持指标的权限。	List	-	-	ces:currentRegionSupportedMetrics:list
ces:namespacesMetrics:list	授予批量查询指标的权限。	List	-	-	ces:currentRegionSupportedMetrics:list
ces:ecsInstanceStatistics:get	授予批量查询弹性云服务器CPU指标统计信息的权限。	Read	-	-	-
ces:evsInstanceStatistics:get	授予批量查询EVS指标统计信息的权限。	Read	-	-	-
ces:namespacesDimensions:listInstances	授予批量查询指定维度的实例的权限。	List	-	ces:namespace	ces:namespacesDimensions:list
ces:metaData:get	授予批量查询维度元数据的权限。	Read	-	ces:namespace	ces:metaData:list
ces:resourcesMetadata:list	授予批量查询资源元数据的权限。	List	-	ces:namespace	-
ces:metrics:listStatistics	授予批量查询维度指标数据统计的权限。	List	-	-	ces:metrics:list
ces:agent:listPrefixMetrics	授予批量查询有前缀的指标。	List	-	-	ces:prefixMetrics:list
ces:metricData:export	授予创建指标报告的权限。	Write	-	-	-
ces:sortedMetrics:list	授予批量查询指定维度指标排序的权限。	List	-	-	-
ces:sortedMetrics:create	授予创建指定维度的指标排序的权限。	Write	-	-	-
ces:namespaces:list	授予批量查询namespace的权限。	List	-	-	-
ces:vpcInstanceStatistics:get	授予查询VPC指标统计信息的权限。	Read	-	-	-
ces:resourcesConsole:list	授予批量查询指定namespace的资源控制台信息的权限。	List	-	ces:namespace	-
ces:metricData:listPercentile	授予批量查询指标数据百分比的权限。	List	-	-	ces:percentileMetricData:get
ces:metrics:listKeyMetrics	授予查询关键指标的权限。	List	-	ces:namespace	-
ces:alarmHistoriesReportJob:create	授予批量创建告警记录报表任务的权限。	Write	-	-	-
ces:alarmHistoriesReportJob:list	授予批量查询告警记录报表任务的权限。	List	-	-	ces:metricReportJobs:list
ces:alarmHistoriesReportJob:delete	授予批量删除告警记录报表任务的权限。	Write	-	-	-
ces:alarmHistoriesReportJob:download	授予批量查询指定namespace的资源控制台信息的权限。	Read	-	-	-
ces:metricReportJob:download	授予下载指标报表的权限。	Read	-	-	-
ces:metricReportJobs:list	授予批量查询指标报表任务的权限。	List	-	-	-
ces:metricReportJob:create	授予批量创建指标报表任务的权限。	Write	-	-	-
ces:metricReportJobs:delete	授予批量删除指标报表任务的权限。	Write	-	-	-
ces:quotas:get	授予查询配额的权限。	Read	-	-	-
ces:i18n:list	授予获取国际化信息的权限。	List	-	-	ces:i18n:get
ces:resourcesStatistics:list	授予批量查询资源统计信息的权限。	List	-	-	ces:resourcesStatistics:get
ces:supportedFeature:list	授予批量查询支持的特性信息的权限。	List	-	-	-
ces:asyncTasks:list	授予批量查询异步任务的权限。	List	-	-	-
ces:agent:getAgencySecurityInfo	授予查询指定委托安全信息的权限。	Read	-	-	ces:agency:get
ces:agent:putConfigStatus	授予更新主机监控规则配置状态的权限。	Write	-	-	ces:agentConfigStatus:put
ces:agent:getConfigStatus	授予查询指定服务器配置状态的权限。	Read	-	-	ces:agentConfigStatus:get
ces:agent:listExtensionStatuses	授予批量查询指定服务器扩展状态的权限。	List	-	-	ces:agentStatus:get
ces:agent:put	授予更新指定服务器的主机监控指标数据的权限。	Write	-	-	ces:agentClientMonitor:put
ces:agent:createProf	授予创建指定服务器prof的权限。	Write	-	-	ces:agentClientProf:post
ces:agent:listProcesses	授予查询指定服务器监控进程数据的权限。	List	-	-	ces:agentProcessesMetricData:list ces:agentProcesses:list
ces:agent:listPlugins	授予批量查询指定服务器插件信息的权限。	List	-	-	ces:agentClientPluginInfo:get
ces:agent:putPlugins	授予批量更新指定服务器插件信息的权限。	Write	-	-	ces:agentClientPluginInfo:put
ces:agent:putProcessActions	授予批量更新指定服务器的进程动作的权限。	Write	-	-	ces:agentProcesses:put
ces:agentProcesses:list	授予批量查询指定服务器进程信息的权限。	List	-	-	-
ces:agent:putProcesses	授予批量更新指定服务器进程信息的权限。	Write	-	-	ces:agentProcesses:create
ces:agent:createSpecifiedProcess	授予批量创建指定服务器进程信息的权限。	Write	-	-	ces:instanceSpecifiedProcesses:create
ces:agent:listSpecifiedProcess	授予批量查询指定服务器指定进程的权限。	List	-	-	ces:instanceSpecifiedProcesses:list
ces:agent:deleteSpecifiedProcess	授予批量删除指定服务器指定进程的权限。	Write	-	-	ces:instanceSpecifiedProcesses:delete
ces:agent:listTaskInvoke	授予批量查询指定服务器的任务调用的权限。	List	-	-	ces:agentTask:get
ces:agent:submitTaskResult	授予上报指定服务器任务结果的权限。	Write	-	-	ces:agentTask:post
ces:agent:listTelescopeConfigs	授予批量查询指定服务器的嵌套配置的权限。	List	-	-	ces:agentClientTelescopeConfigs:get
ces:agent:listConfChecks	授予批量查询指定服务器的dns的权限。	List	-	-	ces:confChecks:get
ces:agent:listTaskInvocations	授予批量查询指定服务器的agent任务的权限。	List	-	-	ces:taskInvocation:get
ces:agent:createAgentInvocations	授予批量创建agent任务的权限。	Write	-	-	ces:taskInvocation:post
ces:agent:listAgentInstallSteps	授予查询agent安装步骤信息的权限。	List	-	-	-
ces:agent:listMetricData	授予批量查询agent指标数据详情的权限。	List	-	-	ces:agentmetricdata:list
ces:agent:listInstancesWithAgent	授予查询机器有关的agent信息的权限。	List	-	-	-
ces:agent:updateAgentAvailabilityTask	授予修改agent可用性任务的权限。	Write	-	-	ces:agentClientAvailabilityTask:put
ces:agent:getAgentAvailabilityTask	授予查询agent可用性任务的权限。	Read	-	-	ces:agentClientAvailabilityTask:get
ces:availabilityMonitorTask:create	授予批量创建可用性监控任务的权限。	Write	-	-	-
ces:availabilityMonitorTask:list	授予查询可用性监控任务列表的权限。	List	-	-	-
ces:availabilityMonitorTask:get	授予查询可用性监控任务详情的权限。	Read	-	-	-
ces:availabilityMonitorTask:update	授予修改可用性监控任务的权限。	Write	-	-	-
ces:availabilityMonitorTask:delete	授予删除可用性监控任务的权限。	Write	-	-	-
ces:obsTransfers:create	授予配置OBS转储规则的权限。	Write	-	-	-
ces:obsTransfers:listBuckets	授予查询OBS桶列表的权限。	List	-	-	ces:obsBuckets:list
ces:obsTransfers:put	授予修改单个Transfer对象的权限。	Write	-	-	-
ces:obsTransfers:get	授予查询单个Transfer对象的权限。	Read	-	-	-
ces:obsTransfers:list	授予批量查询obs转储信息的权限。	List	-	-	-
ces:alarmHistory:list	授予查询告警历史列表的权限。	List	-	g:EnterpriseProjectId	-
ces:alarmHistory:listNamespaces	授予查询告警记录namespace列表的权限。	List	-	g:EnterpriseProjectId	ces:alarmHistoryNamespaces:list
ces:alarmHistory:statistics	授予查询告警统计信息的权限。	List	-	g:EnterpriseProjectId	ces:alarmsStatistics:get
ces:customAlarmTemplates:create	授予创建自定义告警模板的权限。	Write	-	g:EnterpriseProjectId	-
ces:customAlarmTemplates:delete	授予删除指定自定义告警模板的权限。	Write	-	g:EnterpriseProjectId	-
ces:customAlarmTemplates:get	授予查询指定自定义告警模板的权限。	Read	-	g:EnterpriseProjectId	ces:customAlarmTemplates:list
ces:customAlarmTemplates:list	授予查询自定义告警模板列表的权限。	List	-	g:EnterpriseProjectId	-
ces:customAlarmTemplates:listAssociatedAlarms	授予查询指定自定义告警模板关联的告警规则列表的权限。	List	-	g:EnterpriseProjectId	-
ces:customAlarmTemplates:put	授予更新指定自定义告警模板的权限。	Write	-	g:EnterpriseProjectId	-
ces:customAlarmTemplates:associateResourceGroup	授予修改告警模板异步关联资源分组的权限。	Write	-	g:EnterpriseProjectId	ces:customAlarmTemplates:put
ces:customAlarmTemplates:disassociateResourceGroup	授予解除告警模板关联的权限。	Write	-	g:EnterpriseProjectId	ces:customAlarmTemplates:create
ces:alarmsContacts:list	授予查询联系人列表的权限。	List	-	g:EnterpriseProjectId	-
ces:alarmsContacts:get	授予查询指定联系人信息的权限。	Read	-	g:EnterpriseProjectId	-
ces:notificationGroup:create	授予创建告警通知组的权限。	Write	-	g:EnterpriseProjectId	-
ces:notificationObject:list	授予查询告警通知对象列表的权限。	List	-	g:EnterpriseProjectId	-
ces:notificationObject:create	授予创建告警通知对象的权限。	Write	-	g:EnterpriseProjectId	-
ces:notificationObject:delete	授予批量删除通知对象的权限。	Write	-	g:EnterpriseProjectId	-
ces::listNotificationSubscriptions	授予列出通知订阅的权限。	List	-	-	ces:alarms:listNotificationSubscriptions
ces::batchCreateNotificationSubscriptions	授予批量创建通知订阅的权限。	Write	-	-	ces:alarms:batchCreateNotificationSubscriptions
ces:alarms:listNotificationTemplates	授予查询自定义通知模板的权限。	List	-	-	-
ces:alarms:createNotificationTemplate	授予新增自定义通知模板的权限。	Write	-	-	-
ces:alarms:batchDeleteNotificationTemplates	授予删除自定义通知模板的权限。	Write	-	-	-
ces:alarms:updateNotificationTemplate	授予修改自定义通知模板的权限。	Write	-	-	-
ces:alarms:listPresetNotificationTemplates	授予获取预置模板字段及字段位置信息的权限。	List	-	-	-
ces:alarms:listNotificationTemplateAssociationAlarms	授予查询通知模板相关告警的权限。	List	-	-	-
ces:events:post	授予上报事件的权限。	Write	-	-	-
ces:events:get	授予查询指定事件详情的权限。	Read	-	-	-
ces:events:list	授予查询事件列表的权限。	List	-	-	-
ces:events:listEventStatistics	授予批量查询事件统计信息的权限。	List	-	-	ces:eventData:list ces:eventsStatistics:get
ces:events:listSystemEventNames	授予批量查询系统事件信息的权限。	List	-	-	ces:sysEventsNames:list
ces:events:listCustomEventNames	授予批量查询自定义事件信息的权限。	List	-	-	ces:customEventsNames:list
ces:events:createSubscription	授予创建事件告警的权限。	Write	-	-	ces:eventSubscription:create
ces:events:listSystemEvents	授予查询系统事件列表的权限。	List	-	-	ces:systemEvents:list
ces:events:listSystemEventMeta	授予查询系统事件白名单列表的权限。	List	-	-	ces:sysEventsNames:list
ces:eventData:get	授予查询主机配置的权限。	Read	-	-	ces:sapEventData:list
ces:dataShareJob:list	授予批量查询数据转储任务列表的权限。	List	-	-	-
ces:dataShareJob:create	授予创建数据转储任务的权限。	Write	-	-	-
ces:dataShareJob:delete	授予删除指定数据转储任务的权限。	Write	-	-	-
ces:dataShareJob:get	授予查询指定数据转储任务的权限。	Read	-	-	-
ces:dataShareJob:put	授予修改指定数据转储任务状态的权限。	Write	-	-	ces:dataShareJob:action
ces:resourceGroups:addResources	授予为指定资源分组批量添加关联资源的权限。	Write	-	g:EnterpriseProjectId	ces:resourceGroups:put
ces:resourceGroups:create	授予创建资源分组的权限。	Write	-	g:EnterpriseProjectId	-
ces:resourceGroups:delete	授予删除资源分组的权限。	Write	-	g:EnterpriseProjectId	-
ces:resourceGroups:deleteResources	授予为指定资源分组批量删除关联资源的权限。	Write	-	g:EnterpriseProjectId	ces:resourceGroups:put
ces:resourceGroups:get	授予查询指定资源分组的权限。	Read	-	g:EnterpriseProjectId	-
ces:resourceGroups:getServiceResources	授予查询指定资源分组指定服务类别指定维度的权限。	Read	-	g:EnterpriseProjectId	ces:resourceGroups:get
ces:resourceGroups:list	授予查询所有资源分组的权限。	List	-	g:EnterpriseProjectId	ces:resourceGroups:get
ces:resourceGroups:put	授予更新指定资源分组的权限。	Write	-	g:EnterpriseProjectId	-
ces:resourceGroups:putAssociationAlarmTemplate	授予修改资源分组关联告警模板的权限。	Write	-	g:EnterpriseProjectId	ces:resourceGroups:put
ces:resourceGroups:listServices	授予查询指定资源分组批量服务类别的权限。	List	-	g:EnterpriseProjectId	ces:resourceGroups:get ces:resourceGroupsServices:list
ces:tags:create	授予批量创建CES指定类型标签的权限。	Write	-	g:RequestTag/<tag-key> g:TagKeys	ces:tags:action
ces:tags:list	授予批量查询CES标签列表的权限。	List	-	-	ces:projecttags:list
ces:tags:listByResource	授予列出资源标签的权限。	List	-	-	-
ces:tags:listResources	授予列出标签资源的权限。	List	-	g:RequestTag/<tag-key> g:TagKeys	ces:resourceinstances:list
ces:agency:get	授予查询委托和角色的权限。	Read	-	-	-
ces:agency:post	授予创建委托和角色的权限。	Write	-	-	-
ces:monitorOverview:listServiceResources	授予查询监控概览云服务下资源列表的权限。	List	-	ces:namespace	-
ces:monitorOverview:updateFavorite	授予批量收藏/取消收藏的权限。	Write	-	-	-
ces:monitorOverview:listServiceResourceGroups	授予查询监控概览资源分组列表的权限。	List	-	-	-
ces:monitorOverview:updateKeyMetrics	授予批量设置关键指标的权限。	Write	-	-	-
ces:monitorOverview:listSiteMonitorStatistics	授予查询站点监控统计数据的权限。	List	-	-	-
ces:siteMonitorRule:list	授予批量查询站点监控的权限。	List	-	g:EnterpriseProjectId	ces:remoteChecks:list
ces:siteMonitorRule:listDetectResults	授予批量查询站点监控检测结果的权限。	List	-	-	ces:siteMonitorDetectResult:get
ces:siteMonitorRule:listSites	授予批量查询全部站点监控的权限。	List	-	-	ces:remoteCheckSites:list
ces:siteMonitorRule:delete	授予批量删除站点监控的权限。	Write	-	g:EnterpriseProjectId	-
ces:siteMonitorRule:create	授予创建站点监控的权限。	Write	-	g:EnterpriseProjectId	ces:remoteChecks:create
ces:siteMonitorRule:put	授予更新指定站点监控的权限。	Write	-	g:EnterpriseProjectId	-
ces:siteMonitorRule:get	授予查询指定站点监控规则的权限。	Read	-	g:EnterpriseProjectId	-
ces:siteMonitorRule:listDefaultSites	授予批量查询系统支持的探测点列表的权限。	List	-	-	ces:remoteCheckSites:list
ces:siteMonitorRule:getStatistic	授予查询站点监控统计信息的权限。	Read	-	-	ces:statisticsSiteMonitor:get
ces:siteMonitorRuleDataCenter:put	授予更新指定站点监控数据中心的权限。	Write	-	-	ces:siteMonitorRuleDataCenter:update
ces:siteMonitorRuleDataCenter:get	授予查询指定站点监控数据中心的权限。	Read	-	-	-
ces:siteMonitorRule:showHealthCheck	授予查询站点监控健康检查结果的权限。	Read	-	-	ces:siteMonitorHealthCheck:get
ces:siteMonitorRule:createHealthCheck	授予创建站点监控健康检查规则的权限。	Write	-	-	ces:siteMonitorHealthCheck:create
ces:netTopology:listRegion	授予查询租户vpc所在region信息权限。	List	-	-	-
ces:netTopology:listVpc	授予查询租户指定region的vpc详情权限。	List	-	-	-
ces:netTopology:getVpcTopology	授予查询租户单个vpc拓扑权限。	Read	-	-	-
ces:netTopology:listRouteTableResource	授予查询路由表关联资源信息权限。	List	-	-	-
ces:qualityMonitor:listProbes	授予查询质量监控探测点列表的权限。	List	-	-	-
ces:qualityMonitor:create	授予创建质量监控任务的权限。	Write	-	-	-
ces:qualityMonitor:delete	授予删除质量监控任务的权限。	Write	-	-	-
ces:qualityMonitor:update	授予修改质量监控任务的权限。	Write	-	-	-
ces:qualityMonitor:get	授予查询指定质量监控任务详情的权限。	Read	-	-	-
ces:qualityMonitor:list	授予查询质量监控任务列表的权限。	List	-	-	-
ces:qualityMonitor:listStatistics	授予查询质量监控统计信息的权限。	List	-	-	-
ces:qualityMonitor:queryMapStatus	授予查询地图详情的权限。	List	-	-	-
ces:qualityMonitor:queryMapThresholdConfig	授予查询大陆阈值配置的权限。	List	-	-	-
ces:qualityMonitor:updateMapThresholdConfig	授予更新质量监控地图阈值配置的权限。	Write	-	-	-
ces:qualityMonitor:getDetectRecordDetail	授予查询探测详情的权限。	Read	-	-	-
ces:qualityMonitor:listDetectGroups	授予查询运营商或城市分组列表的权限。	List	-	-	-
ces:qualityMonitor:listDetectRecords	授予查询质量监控探测详情列表的权限。	List	-	-	-
ces:paidContent:update	授予启停ces付费功能的权限。	Write	-	-	-
ces:paidContent:list	授予查询已开通的ces付费功能的权限。	List	-	-	-
ces:notificationObject:update	授予修改消息通知对象权限。	Write	-	-	-
ces:notificationPolicy:create	授予创建通知策略的权限。	Write	-	-	-
ces:notificationPolicy:update	授予更新通知策略的权限。	Write	-	-	-
ces:notificationPolicy:get	授予查询通知策略的权限。	Read	-	-	-
ces:notificationPolicy:list	授予查询通知策略列表的权限。	List	-	-	-
ces:notificationPolicy:delete	授予删除通知策略的权限。	Write	-	-	-
ces:notificationPolicy:updateAlarmRelations	授予更新通知策略与告警规则绑定关系的权限。	Write	-	-	-
ces:dashboard:listServiceResourcesStatistics	授予查询云服务看板资源统计信息的权限。	List	-	ces:namespace	-
ces:serviceProducts:list	授予批量查询云服务产品的权限。	List	-	-	-
ces:dashboard:listCloudServiceResources	授予查询云服务看板资源列表信息的权限。	List	-	ces:namespace	-
ces:metric:createGroups	授予创建指标分组的权限。	Write	-	-	-
ces:metric:listGroups	授予查看指标分组的权限。	List	-	-	-
ces:metric:deleteGroups	授予删除指标分组的权限。	Write	-	-	-
ces:metric:updateGroups	授予更新指标分组的权限。	Write	-	-	-
ces:metric:listConfig	授予获取指标相关配置的权限。	List	-	-	-
ces:metric:createConfig	授予设置指标相关配置的权限。	Write	-	-	-
ces:alarms:publishNotification	授予测试发送告警通知权限。	Write	-	-	-
ces:resourcesReportJob:create	授予创建资源报表任务的权限。	Write	-	-	-
ces:resourcesReportJob:list	授予批量查询资源报表任务的权限。	List	-	-	-
ces:resourcesReportJob:delete	授予批量删除资源报表任务的权限。	Write	-	-	-
ces:resourcesReportJob:download	授予下载资源报表的权限。	Read	-	-	-
ces:agent:listSpecifiedProcResources	授予查询自定义进程指标的权限。	List	-	-	-
ces:dashboard:listAlarmingResources	授予查询云服务看板告警资源详情的权限。	List	-	-	-
ces:alarmHistory:update	授予修改告警历史的权限。	Write	-	-	-
ces:alarmRulesReportJob:create	授予批量创建告警规则报表任务的权限。	Write	-	-	-
ces:alarmRulesReportJob:list	授予批量查询告警规则报表任务的权限。	List	-	-	-
ces:alarmRulesReportJob:delete	授予批量删除告警规则报表任务的权限。	Write	-	-	-
ces:alarmRulesReportJob:download	授予下载告警规则报表的权限。	Read	-	-	-
ces:qualityMonitor:createQuickDetectTask	授予创建质量监控快速探测任务的权限。	Write	-	-	-
ces:qualityMonitor:listQuickDetectTasks	授予查询质量监控快速探测任务列表的权限。	List	-	-	-
ces:qualityMonitor:showQuickDetectTaskDetail	授予查询质量监控快速探测任务单次探测详情的权限。	List	-	-	-
ces:qualityMonitor:showQuickDetectTask	授予查询质量监控快速探测任务详情的权限。	List	-	-	-
ces::listServiceResources	授予查询云服务资源列表的权限。	List	-	-	ces:serviceResources:list
ces:alarmTemplates:list	授予批量查询告警模板的权限。	List	-	-	-
ces:eventsBlackWhiteList:list	授予查询事件黑白名单列表的权限。	List	-	-	-
ces:eventsBlackWhiteList:update	授予更新事件黑白名单列表的权限。	Write	-	-	-
ces:metric:listMetaData	授予查询指标元数据信息的权限。	List	-	-	-
ces:dataShareJob:listAgencyProjects	授予查询数据转储委托方项目列表的权限。	List	-	-	-
ces:dataShareJob:listDmsInstancesByAgency	授予批量查询委托方dms实例列表的权限。	List	-	-	-
ces:dataShareJob:listDmsTopicsByAgency	授予批量查询委托方dms主题列表的权限。	List	-	-	-
ces:processMonitorTasks:list	授予查询进程监控任务列表的权限。	List	-	-	-
ces:processMonitorTasks:create	授予创建进程监控任务的权限。	Write	-	-	-
ces:processMonitorTasks:get	授予查询进程监控任务的权限。	Read	-	-	-
ces:processMonitorTasks:put	授予更新进程监控任务的权限。	Write	-	-	-
ces:processMonitorTasks:delete	授予删除进程监控任务的权限。	Write	-	-	-
ces:dashboard:createMonitorDashboards	授予创建监控大盘的权限。	Write	-	-	-
ces:dashboard:listMonitorDashboards	授予查询监控大盘模板的权限。	List	-	-	-
ces:wecom:create	授予创建企业微信应用的权限。	Write	-	-	-
ces:wecom:update	授予更新企业微信应用的权限。	Write	-	-	-
ces:wecom:delete	授予删除企业微信应用的权限。	Write	-	-	-
ces:wecom:list	授予查询企业微信应用列表的权限。	List	-	-	-
ces:wecom:get	授予查询企业微信应用的权限。	Read	-	-	-
ces:netTopology:listTenantEps	授予查询租户关联企业项目信息权限。	List	-	-	-
ces:netTopology:listGlobalTopology	授予查询租户全局拓扑权限。	List	-	-	-
ces:netDetection:listDetectRecords	授予查询租户探测记录权限。	List	-	-	-
ces:netDetection:createDetectCase	授予新增租户探测用例权限。	Write	-	-	-
ces:netDetection:listDetectCases	授予查询租户探测用例权限。	List	-	-	-
ces:netDetection:updateDetectCase	授予更新租户探测用例权限。	Write	-	-	-
ces:netDetection:deleteDetectCase	授予删除租户探测用例权限。	Write	-	-	-
ces:netDetection:listDetectCaseReports	授予查询租户探测用例报告权限。	List	-	-	-
ces:netDetection:listAndCreateUploadCode	授予查询并创建上传码权限。	List	-	-	-
ces:smartReportTask:create	授予创建智能报告任务的权限。	Write	-	-	-
ces:smartReportTask:list	授予查询智能报告任务列表的权限。	List	-	-	-
ces:smartReportTask:update	授予更新智能报告任务的权限。	Write	-	-	-
ces:smartReportTask:delete	授予批量删除智能报告任务的权限。	Write	-	-	-
ces:smartReportTask:changeStatus	授予批量启停智能报告任务的权限。	Write	-	-	-
ces:smartReportTask:listExecuteHistory	授予查询智能报告任务执行记录的权限。	List	-	-	-
ces:smartReportTask:downloadReportJob	授予下载智能报告任务报表的权限。	Read	-	-	-
ces:smartReportTask:listSupportedServices	授予查询智能报告任务支持的云产品列表的权限。	List	-	-	-
ces:smartReportJob:listResources	授予查询指定智能报告任务资源列表的权限。	List	-	-	-
ces:smartReportJob:show	授予查询指定智能报告任务详情的权限。	Read	-	-	-

CES的API通常对应着一个或多个授权项。表2展示了API与授权项的关系，以及该API需要依赖的授权项。

表2 API与授权项的关系
API	对应的授权项	依赖的授权项
POST /v2/{project_id}/alarms	ces:alarms:create	-
POST /v2/{project_id}/alarms/batch-delete	ces:alarms:delete	-
POST /v2/{project_id}/alarms/action	ces:alarms:putAction	-
GET /v2/{project_id}/alarms	ces:alarms:list	-
POST /v2/{project_id}/alarms/{alarm_id}/resources/batch-create	ces:alarms:addResources	-
POST /v2/{project_id}/alarms/{alarm_id}/resources/batch-delete	ces:alarms:deleteResources	-
GET /v2/{project_id}/alarms/{alarm_id}/resources	ces:alarms:getResources	-
PUT /v2/{project_id}/alarms/{alarm_id}/policies	ces:alarms:updatePolicies	-
GET /v2/{project_id}/alarms/{alarm_id}/policies	ces:alarms:getPolicies	-
PUT /v2/{project_id}/alarms/{alarm_id}/notifications	ces:alarms:putAlarmNotifications	-
GET /v2/{project_id}/alarm-histories	ces:alarmHistory:list	-
POST /v2/{project_id}/alarm-templates	ces:customAlarmTemplates:create	-
POST /v2/{project_id}/alarm-templates/batch-delete	ces:customAlarmTemplates:delete	-
PUT /v2/{project_id}/alarm-templates/{template_id}	ces:customAlarmTemplates:put	-
GET /v2/{project_id}/alarm-templates	ces:customAlarmTemplates:list	-
GET /v2/{project_id}/alarm-templates/{template_id}	ces:customAlarmTemplates:get	-
GET /v2/{project_id}/alarm-templates/{template_id}/association-alarms	ces:customAlarmTemplates:listAssociatedAlarms	-
POST /v2/{project_id}/resource-groups	ces:resourceGroups:create	-
POST /v2/{project_id}/resource-groups/batch-delete	ces:resourceGroups:delete	-
PUT /v2/{project_id}/resource-groups/{group_id}	ces:resourceGroups:put	-
GET /v2/{project_id}/resource-groups/{group_id}	ces:resourceGroups:get	-
GET /v2/{project_id}/resource-groups	ces:resourceGroups:list	-
PUT /v2/{project_id}/resource-groups/{group_id}/alarm-templates/async-association	ces:resourceGroups:putAssociationAlarmTemplate	-
POST /v2/{project_id}/resource-groups/{group_id}/resources/batch-create	ces:resourceGroups:addResources	-
POST /v2/{project_id}/resource-groups/{group_id}/resources/batch-delete	ces:resourceGroups:deleteResources	-
GET /v2/{project_id}/resource-groups/{group_id}/services/{service}/resources	ces:resourceGroups:getServiceResources	-
POST /v2/{project_id}/one-click-alarms	ces:alarms:createOneClickAlarms	-
GET /v2/{project_id}/one-click-alarms	ces:alarms:listOneClickAlarms	-
GET /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarms	ces:alarms:listOneClickAlarms	-
PUT /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarm-rules/action	ces:alarms:putOneClickAlarms	-
POST /v2/{project_id}/one-click-alarms/batch-delete	ces:alarms:deleteOneClickAlarms	-
PUT /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/notifications	ces:alarms:putOneClickAlarmNotifications	-
PUT /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarms/{alarm_id}/policies/action	ces:alarms:putOneClickAlarmPolicies	-
PUT /v2/{project_id}/notification-masks	ces:alarms:putNotificationMaskRules	-
POST /v2/{project_id}/notification-masks/batch-update	ces:alarms:putNotificationMaskRules	-
PUT /v2/{project_id}/notification-masks/{notification_mask_id}	ces:alarms:putNotificationMaskRules	-
POST /v2/{project_id}/notification-masks/batch-delete	ces:alarms:deleteNotificationMaskRules	-
POST /v2/{project_id}/notification-masks/batch-query	ces:alarms:listNotificationMaskRules	-
GET /v2/{project_id}/notification-masks/{notification_mask_id}/resources	ces:alarms:listNotificationMaskResources	-
POST /v2/{project_id}/dashboards	ces:dashboards:create	-
GET /v2/{project_id}/dashboards	ces:dashboards:list	-
PUT /v2/{project_id}/dashboards/{dashboard_id}	ces:dashboards:put	-
POST /v2/{project_id}/dashboards/batch-delete	ces:dashboards:delete	-
POST /v2/{project_id}/dashboards/{dashboard_id}/widgets	ces:widgets:create	-
GET /v2/{project_id}/dashboards/{dashboard_id}/widgets	ces:widgets:list	-
GET /v2/{project_id}/widgets/{widget_id}	ces:widgets:get	-
DELETE /v2/{project_id}/widgets/{widget_id}	ces:widgets:delete	-
POST /v2/{project_id}/widgets/batch-update	ces:widgets:put	-
GET /v2/{project_id}/{resource_type}/tags	ces:tags:list	-
GET /v2/{project_id}/instances/{instance_id}/agent-dimensions	ces:namespacesDimensions:listAgentDimensions	-
POST /v2/{project_id}/batch-query-metric-data	ces:metricData:list	-
POST /V1.0/{project_id}/alarms	ces:alarms:create	-
PUT /V1.0/{project_id}/alarms/{alarm_id}	ces:alarms:put	-
PUT /V1.0/{project_id}/alarms/{alarm_id}/action	ces:alarms:putAction	-
DELETE /V1.0/{project_id}/alarms/{alarm_id}	ces:alarms:delete	-
GET /V1.0/{project_id}/alarms/{alarm_id}	ces:alarms:get	-
GET /V1.0/{project_id}/alarms	ces:alarms:list	-
GET /V1.0/{project_id}/alarm-histories	ces:alarmHistory:list	-
POST /V1.0/{project_id}/events	ces:events:post	-
GET /V1.0/{project_id}/events	ces:events:list	-
GET /V1.0/{project_id}/event/{event_name}	ces:events:get	-
GET /V1.0/{project_id}/metrics	ces:metrics:list	-
POST /V1.0/{project_id}/batch-query-metric-data	ces:metricData:list	-
GET /V1.0/{project_id}/event-data	ces:eventData:get	-
GET /V1.0/{project_id}/metric-data	ces:metricData:get	-
POST /V1.0/{project_id}/metric-data	ces:metricData:create	-
GET /V1.0/{project_id}/quotas	ces:quotas:get	-
GET /V1.0/{project_id}/resource-groups/{group_id}	ces:resourceGroups:get	-
PUT /V1.0/{project_id}/resource-groups/{group_id}	ces:resourceGroups:put	-
DELETE /V1.0/{project_id}/resource-groups/{group_id}	ces:resourceGroups:delete	-
POST /V1.0/{project_id}/resource-groups	ces:resourceGroups:create	-
GET /V1.0/{project_id}/resource-groups	ces:resourceGroups:list	-
POST /V1.0/{project_id}/alarm-template	ces:customAlarmTemplates:create	-
PUT /V1.0/{project_id}/alarm-template/{template_id}	ces:customAlarmTemplates:put	-
DELETE /V1.0/{project_id}/alarm-template/{template_id}	ces:customAlarmTemplates:delete	-
GET /V1.0/{project_id}/alarm-template	ces:customAlarmTemplates:list	-
POST /v3/{project_id}/agent-status/batch-query	ces:agent:listStatuses	-
GET /v3/{project_id}/agent-invocations	ces:agent:listTaskInvocations	-
POST /v3/{project_id}/agent-invocations/batch-create	ces:agent:createAgentInvocations	-

资源类型（Resource）

资源类型（Resource）表示身份策略所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的身份策略语句中指定该资源的URN，身份策略仅作用于此资源；如未指定，Resource默认为“*”，则身份策略将应用到所有资源。您也可以在身份策略中设置条件，从而指定资源类型。

CES定义了以下可以在身份策略的Resource元素中使用的资源类型。

表3 CES支持的资源类型
资源类型	URN
alarm	ces:<region>:<account-id>:alarm:<alarm-id>
dashboard	ces:<region>:<account-id>:dashboard:<dashboard-id>

条件（Condition）

条件键概述

条件（Condition）是身份策略生效的特定条件，包括条件键和运算符。

条件键表示身份策略语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。
- 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。CES服务适用除g:RequestedRegion条件键外所有服务的全局条件键，详情请参见：全局条件键。
  CES有提供全局服务的能力（例如：告警通知、任务中心），所以按全局级服务处理，不支持g:RequestedRegion全局条件键。
- 服务级条件键（前缀通常为服务缩写，如ces:）仅适用于对应服务的操作，详情请参见表4。
- 单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。
运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，身份策略才能生效。支持的运算符请参见：运算符。