基于RAM Policy的权限控制

为RAM用户授权自定义权限策略

新建的RAM用户或用户组默认没有操作权限，只有在被授予权策略之后，才能通过控制台和API操作资源。

1. 根据下述各场景示例创建相应的自定义策略。关于如何创建自定义策略请参见创建自定义策略。
2. 在左侧导航栏，单击人员管理 > 用户。
3. 在用户登录名称/显示名称列表下，找到目标RAM用户，并在操作列，单击添加权限。
4. 在添加权限面板，被授权主体会自动填入。
5. 在左侧权限策略名称列表下，单击需要授予RAM用户的权限策略。
   说明 在右侧区域框，选择某条策略并单击×，可撤销该策略。
6. 单击确认。
7. 单击完成。

示例一：授权RAM用户对文件系统的权限

• 以下示例为授权RAM用户修改指定文件系统的属性的权限：

  {
      "Statement": [{
          "Effect": "Allow",
          "Action": [
              "nas:DescribeFileSystems",
              "nas:ModifyFileSystem"
          ],
          "Resource": "acs:nas:*:*:filesystem/07d0b4****"
      }],
      "Version": "1"
  }

• 以下示例为授权RAM用户对所有文件系统拥有查看的权限：

  {
      "Statement": [{
          "Effect": "Allow",
          "Action": "nas:DescribeFileSystems",
          "Resource": "*"
      }],
      "Version": "1"
  }

• 以下示例为授权RAM用户对单个文件系统拥有完全控制权限：

  {
      "Statement": [{
              "Effect": "Allow",
              "Action": [
                  "nas:*"
              ],
              "Resource": [
                  "acs:nas:*:*:filesystem/07d0b4****"
              ]
          },
          {
              "Effect": "Allow",
              "Action": "nas:CreateMountTarget",
              "Resource": [
                  "acs:vpc:*:*:vswitch/*"
              ]
          },
          {
              "Effect": "Allow",
              "Action": "cms:Describe*",
              "Resource": "*"
          }
      ],
      "Version": "1"
  }

示例二：授权RAM用户对文件系统挂载点的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateMountTarget",
            "nas:DescribeMountTargets",
            "nas:ModifyMountTarget",
            "nas:DeleteMountTarget"
        ],
        "Resource": [
            "acs:nas:*:*:filesystem/07d0b4****",
            "acs:vpc:*:*:vswitch/*"
        ]
    }],
    "Version": "1"
}

示例三：授权RAM用户对文件系统权限组的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "nas:CreateAccessGroup",
            "nas:DescribeAccessGroups",
            "nas:ModifyAccessGroup",
            "nas:DeleteAccessGroup",
            "nas:CreateAccessRule",
            "nas:DescribeAccessRules",
            "nas:ModifyAccessRule",
            "nas:DeleteAccessRule"
        ],
        "Resource": "acs:nas:*:*:accessgroup/*"
    }],
    "Version": "1"
}

示例四：授权RAM用户查看文件系统性能监控的权限

{
    "Statement": [{
        "Effect": "Allow",
        "Action": "cms:Describe*",
        "Resource": "*"
    }],
    "Version": "1"
}

自定义权限策略鉴权列表