本文为您介绍了几种不同的权限策略检查规则,掌握权限策略检查规则可以更好的理解权限策略。

权限策略检查规则

在RAM中访问阿里云资源分为三种类型:以主账号身份访问、以RAM用户身份访问、以RAM角色身份访问。

针对上述不同的访问类型,系统的权限检查规则如下表所示。

访问类型 权限检查规则
以主账号身份访问 主账号是资源所有者,默认可以访问该账号下的所有资源。
说明 少数阿里云产品(例如:日志服务)支持跨云账号进行访问控制列表(ACL)授权,如果通过ACL授权检查,则允许访问相应资源。
以RAM用户身份访问
  • 主账号对RAM用户有显式的授权。
  • RAM用户所属的主账号对资源有访问权限。
说明 RAM用户访问资源时,默认没有任何权限,以上条件需同时满足RAM用户才能访问相应资源。

具体权限检查规则请参见RAM用户的权限策略检查规则

以RAM角色身份访问
  • RAM角色令牌有相应的权限策略。

    RAM角色令牌相关信息,请参见什么是STS

  • 主账号对RAM角色有显式的授权。
  • RAM角色所属的主账号对资源有访问权限。
说明 RAM角色访问资源时,默认没有任何权限,以上条件需同时满足RAM角色才能访问相应资源。

具体权限检查规则请参见RAM角色的权限策略检查规则

RAM用户的权限策略检查规则

RAM用户默认没有任何权限,主账号对RAM用户进行显示授权后,RAM用户可以访问相应的资源。

说明 权限策略支持Allow(允许)和Deny(禁止)两种授权类型,当同时出现Allow和Deny授权时,遵循Deny优先原则。

RAM用户的权限策略检查规则
  1. 检查RAM用户所绑定权限策略是否有授权:
    • 如果有Deny授权,判定为:拒绝访问。
    • 否则,需要进行下一步检查。
  2. 检查RAM用户所属的主账号是否有访问权限:
    • 如果有Allow授权,判定为:允许访问。
    • 否则,需要进行下一步检查。
  3. 检查RAM用户所属的主账号是否有跨账号ACL授权:
    • 如果有ACL授权,判定为:允许访问。
    • 否则,判定为:拒绝访问。

RAM角色的权限策略检查规则

RAM角色可以使用角色访问令牌访问阿里云资源。调用API AssumeRole,其中请求参数Policy可以控制访问阿里云资源的权限。


RAM角色的权限策略检查规则
  1. 检查访问令牌是否有指定权限策略:
    • 如果有指定权限策略,需要查看是否有Deny授权:
      • 如果有Deny授权,判定为:拒绝访问。
      • 否则,需要检查RAM角色所绑定的权限策略。
    • 如果没有指定权限策略,需要检查RAM角色所绑定的权限策略。
  2. 检查RAM角色所绑定的权限策略是否有授权:
    • 如果有Deny授权,判定为:拒绝访问。
    • 否则,需要进行下一步检查。
  3. 检查RAM角色所属的主账号是否有访问权限:
    • 如果有Allow授权,判定为:允许访问。
    • 否则,需要进行下一步检查。
  4. 检查RAM角色所属的主账号是否有跨账号ACL授权:
    • 如果有ACL授权,判定为:允许访问。
    • 否则,判定为:拒绝访问。