VPC终端节点策略

操作场景

VPC终端节点策略是一种附加到VPC终端节点（VPCEP）上的基于资源的访问控制策略。由于SWR企业版的镜像上传和下载均通过VPC终端节点通道进行，您可以通过配置该终端节点的策略，在网络通道入口处直接管控镜像的上传或下载操作，实现对允许上传或下载的镜像范围的精细化控制。

前提条件

已创建VPC终端节点，具体操作步骤请参见通过VPCEP方式访问SWR。

策略语法示例

配置示例1：配置VPC终端节点策略，只允许上传下载指定的镜像。

下面策略的含义：VPC1内的服务器仅拥有目标组织（test-namespace）下特定镜像仓库（test-repo）的上传与下载权限。

{
  "Version": "5.0",
  "Statement": [
    {
      "Action": [
        "swr:repo:upload",
        "swr:repo:download"
      ],
      "Resource": [
        "swr:*:*:repo:test-namespace/test-repo"
      ],
      "Effect": "Allow",
      "Principal": "*"
    }
  ]
}

配置示例2：配置VPC终端节点策略，只允许下载指定的私有镜像，可以下载所有的公开镜像。

下面策略的含义：VPC1内的服务器仅拥有目标组织（test-namespace）下特定镜像仓库（test-repo）的下载权限，公开镜像不受限制。

{
  "Version": "5.0",
  "Statement": [
    {
      "Action": [
        "swr:repo:download"
      ],
      "Resource": [
        "swr:*:*:repo:test-namespace/test-repo"
      ],
      "Effect": "Allow",
      "Principal": "*"
    },
    {
      "Action": [
        "swr:repo:download"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow",
      "Principal": "*",
      "Condition": {
        "Bool": {
          "swr:RepositoryIsPublic": [
            "true"
          ]
        }
      }
    }
  ]
}

配置示例3：放通CCE服务的SWR公开镜像。

若使用VPCEP策略控制了镜像下载的策略，为确保CCE服务的插件能够正常部署，需要在配置VPCEP策略时，允许从SWR服务下载CCE所使用的公开镜像。具体涉及的SWR组织包括：

放通策略配置：

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "swr:repo:download"
      ],
      "Resource": [
        "swr:*:*:repo:hwofficial/*",
        "swr:*:*:repo:autopilot-official/*",
        "swr:*:*:repo:asm/*",
        "swr:*:*:repo:hwofficial-ucs/*",
        "swr:*:*:repo:op_svc_apm/*"
      ]
    }
  ]
}

配置示例4：放通OBS桶的访问权限。

SWR服务的镜像数据实际存储在OBS对象存储中。若您通过VPCEP策略对OBS访问进行管控，需单独为SWR服务使用的OBS桶配置放通策略，否则将影响SWR镜像的正常读写操作。

OBS放通策略配置：

    {
        "Sid": "allow-huaweicloud-public-data",
        "Effect": "Allow",
        "Action": [
            "HeadBucket",
            "ListBucket",
            "GetBucketLocation",
            "GetObject",
            "GetObjectVersion"
        ],
        "Resource": [
            "op-svc-swr-b051-10-22-233-67",  
            "op-svc-swr-b051-10-22-233-67/*",
            "op-svc-swr-sa-brazil-1-backup",
            "op-svc-swr-sa-brazil-1-backup/*"
        ]
    }

策略参数说明

相关文档：

身份策略语法介绍