使用RAM权限策略控制NAS访问权限

为RAM用户授权的流程

1. 创建RAM用户。具体操作，请参见创建RAM用户。
2. 选择需要授予RAM用户的权限策略。
   权限策略分为系统策略和自定义策略。

   • 系统策略：阿里云提供多种具有不同管理目的的默认权限策略。NAS常用的系统策略包括以下两种：
     • AliyunNASFullAccess（不推荐）：为RAM用户授予文NAS文件系统的完全管理权限。该权限风险很高，不推荐使用。
     • AliyunNASReadOnlyAccess：为RAM用户授予文NAS文件系统的只读访问权限。
   • 自定义策略：自定义权限策略可以更大程度的满足您的细粒度的要求，从而实现更灵活的权限管理。

     您可以结合实际使用场景，并参照下文列举的常见自定义策略示例，然后通过脚本配置方式创建自定义策略。具体操作，请参见创建自定义策略。

3. 为RAM用户授权。

   为RAM用户授予步骤2中选择的权限策略。具体操作，请参见为RAM用户授权。

示例一：授权RAM用户对文件系统的权限

• 授予RAM用户拥有对文件系统（实例ID：07d****294）的完全控制权限。
  说明 由于RAM不支持授予RAM用户单一文件系统的查看权限，当要授予RAM用户单一文件系统完全控制权限时，请您先授予RAM用户全部文件系统的查看权限，然后再授予RAM用户单一文件系统的操作（删除、修改）权限。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:*"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
              ]
          },
          {
              "Effect": "Allow",
              "Action": "nas:CreateMountTarget",
              "Resource": [
                  "acs:vpc:*:*:vswitch/*"
              ]
          },
          {
              "Effect": "Allow",
              "Action": "cms:Describe*",
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": "nas:DescribeFileSystems",
              "Resource": "*"
          }
      ],
      "Version": "1"
  }

• 授予RAM用户修改文件系统（实例ID：07d****294）属性的权限。

  {
      "Statement": [{
          "Effect": "Allow",
          "Action": [
              "nas:DescribeFileSystems",
              "nas:ModifyFileSystem"
          ],
          "Resource": "acs:nas:*:*:filesystem/07d****294"
      }],
      "Version": "1"
  }

• 授予RAM用户查看所有文件系统的权限。

  {
      "Statement": [{
          "Effect": "Allow",
          "Action": "nas:DescribeFileSystems",
          "Resource": "*"
      }],
      "Version": "1"
  }

示例二：授权RAM用户对文件系统挂载点的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateMountTarget",
            "nas:DescribeMountTargets",
            "nas:ModifyMountTarget",
            "nas:DeleteMountTarget"
        ],
        "Resource": [
            "acs:nas:*:*:filesystem/07d****294",
            "acs:vpc:*:*:vswitch/*"
        ]
    }],
    "Version": "1"
}

示例三：授权RAM用户对文件系统权限组的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateAccessGroup",
            "nas:DescribeAccessGroups",
            "nas:ModifyAccessGroup",
            "nas:DeleteAccessGroup",
            "nas:CreateAccessRule",
            "nas:DescribeAccessRules",
            "nas:ModifyAccessRule",
            "nas:DeleteAccessRule"
        ],
        "Resource": "acs:nas:*:*:accessgroup/*"
    }],
    "Version": "1"
}

示例四：授权RAM用户查看文件系统性能监控指标的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "cms:Describe*",
        "Resource": "*"
    }],
    "Version": "1"
}

示例五：授权RAM用户对文件系统回收站的管理权限

• 授予RAM用户拥有对文件系统（实例ID：07d****294）回收站完全控制的权限。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:EnableRecycleBin",
                  "nas:DisableAndCleanRecycleBin ",
                  "nas:UpdateRecycleBinAttribute",
                  "nas:GetRecycleBinAttribute",
                  "nas:CreateRecycleBinRestoreJob",
                  "nas:CreateRecycleBinDeleteJob",
                  "nas:CancelRecycleBinJob",
                  "nas:ListRecycleBinJobs",
                  "nas:ListRecycledDirectoriesAndFiles",
                  "nas:ListRecentlyRecycledDirectories"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
              ]
          }
      ],
      "Version": "1"
  }

• 授予RAM用户恢复文件系统（实例ID：07d****294）回收站中暂存文件的权限。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:GetRecycleBinAttribute",
                  "nas:CreateRecycleBinRestoreJob",
                  "nas:CancelRecycleBinJob",
                  "nas:ListRecycleBinJobs",
                  "nas:ListRecycledDirectoriesAndFiles",
                  "nas:ListRecentlyRecycledDirectories"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
              ]
          }
      ],
      "Version": "1"
  }

• 授予RAM用户彻底删除文件系统（实例ID：07d****294）回收站中暂存文件的权限。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:GetRecycleBinAttribute",
                  "nas:CreateRecycleBinDeleteJob",
                  "nas:CancelRecycleBinJob",
                  "nas:ListRecycleBinJobs",
                  "nas:ListRecycledDirectoriesAndFiles",
                  "nas:ListRecentlyRecycledDirectories"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
              ]
          }
      ],
      "Version": "1"
  }

• 授予RAM用户修改文件系统（实例ID：07d****294）回收站配置的权限。

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:EnableRecycleBin",
                  "nas:UpdateRecycleBinAttribute",
                  "nas:DisableAndCleanRecycleBin",
                  "nas:GetRecycleBinAttribute"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d****294"
              ]
          }
      ],
      "Version": "1"
  }

附录：自定义权限策略鉴权列表

FAQ

• 创建经典网络挂载点时为什么需要RAM授权？
• 如何获取AccessKey？