自定义RAM Policy

单个API

"Action": "ots:GetRow"                    

多个API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

所有只读API

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

所有读写API

"Action": "ots:*"               

所有SQL操作API

"Action": "ots:SQL*"

管理类API访问的资源

管理类API主要为实例相关的操作，由控制台和OpenAPI调用。以下访问的资源省略了acs:ots:[region]:[user_id]:前缀，只描述实例部分。

数据类API访问的资源

数据类API主要为表和行相关的操作，控制台和SDK都会调用，对该类API的Action和Resource定义，将影响用户使用控制台。以下访问的资源省略了acs:ots:[region]:[user_id]:前缀，只描述实例和表部分。

Tunnel API访问的资源

Tunnel API主要为通道相关的操作，控制台和SDK都会调用，对该类API的Action和Resource定义，将影响用户使用控制台。以下访问的资源省略了acs:ots:[region]:[user_id]:前缀，只描述实例和表部分。

访问IP限制

通过配置IP白名单限制访问表格存储的源IP地址，并且支持根据网段进行过滤。典型配置如下：

• 限制多个IP地址。

  以下示例用于只允许IP地址为10.10.XX.XX和10.11.XX.XX的请求访问。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 限制单个IP地址和IP网段。

  以下示例用于只允许IP地址为10.10.XX.XX或10.10.XX.XX/24网段的请求访问。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS访问限制

通过自定义权限策略限制是否通过HTTPS访问表格存储。

以下示例用于限制请求必须通过HTTPS访问表格存储。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS版本访问限制

通过自定义权限策略限制是否通过TLSv1.2和TLSv1.3版本访问表格存储。

以下示例用于限制请求必须通过TLSv1.2和TLSv1.3版本访问表格存储。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA访问限制

通过自定义权限策略限制是否通过MFA（多因素认证）访问表格存储。

以下示例用于限制请求必须通过MFA访问表格存储。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

访问时间限制

通过自定义权限策略限制请求的访问时间，即只允许或拒绝在某个时间点范围之前的请求。

以下示例用于限制用户在北京时间2016年1月1日零点之前可以访问表格存储，之后将不能再访问。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

场景一：多种授权条件

对于访问IP地址为10.10.XX.XX/24网段的用户，可以对所有名称为online-01和online-02的实例执行读或者写操作（包括实例下的所有表），且要求只能在2016-01-01 00:00:00之前访问和通过HTTPS访问。

1. 使用阿里云账号登录RAM控制台（默认已开通访问控制服务）。

2. 创建权限策略。

   1. 在左侧导航栏，选择权限管理 > 权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑页签，并将如下内容填写到策略内容中，然后单击确定。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. 在创建权限策略对话框中，输入策略名称和备注，然后单击确定。

3. 为RAM用户授予权限策略。

   1. 在左侧导航栏，选择身份管理 > 用户。

   2. 在用户页面，找到需要授权的RAM用户，单击用户操作列的添加权限。

   3. 在新增授权面板，选择权限为自定义策略后，搜索已新建的策略名称，并选中该策略前的复选框将策略添加到已选择权限策略栏。

   4. 单击确认新增授权。

   5. 单击关闭。

场景二：拒绝请求

对于访问IP地址为10.10.XX.XX的用户，拒绝对华北2（北京）地域名称以online和product开头的实例下的所有表执行写操作（不包括对实例的操作）。

1. 使用阿里云账号登录RAM控制台（默认已开通访问控制服务）。

2. 创建权限策略。

   1. 在左侧导航栏，选择权限管理 > 权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑页签，并将如下内容填写到策略内容中，然后单击确定。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. 在创建权限策略对话框中，输入策略名称和备注，然后单击确定。

3. 为RAM用户授予权限策略。

   1. 在左侧导航栏，选择身份管理 > 用户。

   2. 在用户页面，找到需要授权的RAM用户，单击用户操作列的添加权限。

   3. 在新增授权面板，选择权限为自定义策略后，搜索已新建的策略名称，并选中该策略前的复选框将策略添加到已选择权限策略栏。

   4. 单击确认新增授权。

   5. 单击关闭。

场景三：限制RAM用户管理指定的实例

仅允许RAM用户管理指定的实例，且无权查看和管理其他实例。

1. 使用阿里云账号登录RAM控制台（默认已开通访问控制服务）。

2. 创建权限策略。

   1. 在左侧导航栏，选择权限管理 > 权限策略。

   2. 在权限策略页面，单击创建权限策略。

   3. 在创建权限策略页面，单击脚本编辑页签。

   4. 输入以下权限策略内容，然后单击确定。

      {
        "Version": "1",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "ots:ListInstance",
              "ots:ListTagResources"
            ],
            "Resource": "acs:ots:*:*:instance/*"
          },
          {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": [
              "acs:ots:*:*:instance/yourInstance",
              "acs:ots:*:*:instance/yourInstance/table*"
            ]
          },
          {
            "Effect": "Allow",
            "Action": "cms:Query*",
            "Resource": "*"
          }
        ]
      }

      权限策略的详细说明请参见下表。

      权限策略	描述
      { "Effect": "Allow", "Action": [ "ots:ListInstance", "ots:ListTagResources" ], "Resource": "acs:ots:*:*:instance/*" }	重要 限制RAM用户在控制台管理指定实例时必须配置此项。 表格存储控制台的概览页面需要请求实例列表和标签列表，因此授予RAM用户获取实例列表和标签列表的权限。
      { "Effect": "Allow", "Action": "ots:*", "Resource": [ "acs:ots:*:*:instance/yourInstance", "acs:ots:*:*:instance/yourInstance/table*" ] }	授予RAM用户拥有yourInstance实例及实例下数据表的所有权限。
      { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }	授予RAM用户云监控的权限，允许查看实例和表的监控数据。

3. 在创建权限策略对话框中，输入策略名称和备注，然后单击确定。

4. 为RAM用户授予权限策略。

   1. 在左侧导航栏，选择身份管理 > 用户。

   2. 在用户页面，找到需要授权的RAM用户，单击用户操作列的添加权限。

   3. 在新增授权面板，选择权限为自定义策略后，搜索已新建的策略名称，并选中该策略前的复选框将策略添加到已选择权限策略栏。

   4. 单击确认新增授权。

   5. 单击关闭。