配置审计为RAM权限策略定义的操作/资源和条件_配置审计(CloudConfig)-阿里云帮助中心

访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用 RAM 可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM 中使用权限策略描述授权的具体内容。

本文为您介绍 配置审计 为 RAM 权限策略定义的操作（Action）、资源（Resource）和条件（Condition）。 配置审计 的 RAM 代码（RamCode）为 config ，支持的授权粒度为 资源级 。

权限策略通用结构

权限策略支持 JSON 格式，其通用结构如下：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

各字段含义如下：

Effect：权限策略效果。取值：Allow（允许）、Deny（拒绝）。
Action：授予允许或拒绝权限的具体操作。具体信息，请参见操作（Action）。
Resource：受操作影响的具体对象，您可以使用资源 ARN 来描述指定资源。具体信息，请参见资源（Resource）。
Condition：指授权生效的条件。可选字段。具体信息，请参见条件（Condition）。
- Condition_operator：条件运算符，不同类型的条件对应不同的条件运算符。具体信息，请参见权限策略基本元素。
- Condition_key：条件关键字。
- Condition_value：条件关键字对应的值。

操作（Action）

下表是配置审计定义的操作，这些操作可以在 RAM 权限策略语句的Action元素中使用，用来授予执行该操作的权限。下面对表中的具体项提供说明：

操作：是指具体的权限点。
API：是指操作对应的 API 接口。
访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
资源类型：是指操作中支持授权的资源类型。具体说明如下：
- 对于必选的资源类型，用前面加 * 表示。
- 对于不支持资源级授权的操作，用全部资源表示。
条件关键字：是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。

操作	API	访问级别	资源类型	条件关键字	关联操作
config:GetConfigRule	GetConfigRule	get	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:ListResourceOwnerInAllAggregator	ListResourceOwnerInAllAggregator	list	全部资源 ``	无	无
config:GenerateAggregateResourceInventory	GenerateAggregateResourceInventory	none	全部资源 ``	无	无
config:CreateAggregateCompliancePack	CreateAggregateCompliancePack	create	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/*`	无	无
config:GetAggregateResourceCountsGroupByResourceType	GetAggregateResourceCountsGroupByResourceType	get	全部资源 ``	无	无
config:UpdateAggregateConfigDeliveryChannel	UpdateAggregateConfigDeliveryChannel	update	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:RevertEvaluationResults	RevertEvaluationResults	update	全部资源 ``	无	无
config:UpdateRemediation	UpdateRemediation	update	全部资源 ``	无	无
config:GenerateAggregateCompliancePackReport	GenerateAggregateCompliancePackReport	create	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:DeactiveConfigRules	DeactiveConfigRules	update	全部资源 ``	无	无
config:GetAggregateConfigRule	GetAggregateConfigRule	get	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:UpdateConfigDeliveryChannel	UpdateConfigDeliveryChannel	update	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:ListAggregateConfigRuleEvaluationResults	ListAggregateConfigRuleEvaluationResults	list	全部资源 ``	无	无
config:AttachConfigRuleToCompliancePack	AttachConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:ListAggregateConfigRules	ListAggregateConfigRules	list	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/*`	无	无
config:GetDiscoveredResource	GetDiscoveredResource	get	全部资源 ``	无	无
config:DryRunConfigRule	DryRunConfigRule	none	全部资源 ``	无	无
config:DescribeIntegratedServiceStatus	DescribeIntegratedServiceStatus	get	全部资源 ``	无	无
config:ListResourceRelations	ListResourceRelations	get	全部资源 ``	无	无
config:ListAggregateResourceRelations	ListAggregateResourceRelations	get	全部资源 ``	无	无
config:AttachAggregateConfigRuleToCompliancePack	AttachAggregateConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:GetResourceInventory	GetResourceInventory	get	全部资源 ``	无	无
config:CreateAdvancedSearchFile	CreateAdvancedSearchFile	create	全部资源 ``	无	无
config:GetAggregateCompliancePack	GetAggregateCompliancePack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetConfigDeliveryChannel	GetConfigDeliveryChannel	get	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:DeleteAggregateConfigDeliveryChannel	DeleteAggregateConfigDeliveryChannel	delete	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:UpdateCompliancePack	UpdateCompliancePack	update	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:ListAggregateDiscoveredResourcesByAdvancedSearch	ListAggregateDiscoveredResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:UpdateAggregateConfigRule	UpdateAggregateConfigRule	update	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:CopyConfigRules	CopyConfigRules	update	全部资源 ``	无	无
config:CreateAggregateRemediation	CreateAggregateRemediation	create	全部资源 ``	无	无
config:DeleteAggregateCompliancePacks	DeleteAggregateCompliancePacks	delete	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregateCompliancePackId}`	无	无
config:DeactiveAggregateConfigRules	DeactiveAggregateConfigRules	update	全部资源 ``	无	无
config:GetAdvancedSearchFile	GetAdvancedSearchFile	get	全部资源 ``	无	无
config:CreateAggregateAdvancedSearchFile	CreateAggregateAdvancedSearchFile	create	全部资源 ``	无	无
config:GetAggregateConfigRuleComplianceByPack	GetAggregateConfigRuleComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:ListDiscoveredResources	ListDiscoveredResources	list	全部资源 ``	无	无
config:DescribeRemediation	DescribeRemediation	get	全部资源 ``	无	无
config:ListAggregators	ListAggregators	get	Aggregator `acs:config::{#accountId}:aggregator/*`	无	无
config:ListConfigDeliveryChannels	ListConfigDeliveryChannels	list	全部资源 ``	无	无
config:GetConfigRulesReport	GetConfigRulesReport	get	全部资源 ``	无	无
config:RevertAggregateEvaluationResults	RevertAggregateEvaluationResults	update	全部资源 ``	无	无
config:GetAggregateConfigRuleSummaryByRiskLevel	GetAggregateConfigRuleSummaryByRiskLevel	get	全部资源 ``	无	无
config:CreateCompliancePack	CreateCompliancePack	create	CompliancePack `acs:config::{#accountId}:compliancepack/*`	无	无
config:ListAggregateRemediations	ListAggregateRemediations	list	全部资源 ``	无	无
config:ListDiscoveredResourceRelations	ListDiscoveredResourceRelations	list	全部资源 ``	无	无
config:GenerateConfigRulesReport	GenerateConfigRulesReport	get	全部资源 ``	无	无
config:ListAggregateRecommendManagedRules	ListAggregateRecommendManagedRules	list	全部资源 ``	无	无
config:ListAggregateCompliancePacks	ListAggregateCompliancePacks	list	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/*`	无	无
config:CreateConfigRule	CreateConfigRule	create	Rule `acs:config::{#accountId}:rule/*`	无	无
config:ListConfigRuleEvaluationStatistics	ListConfigRuleEvaluationStatistics	list	全部资源 ``	无	无
config:GetResourceComplianceByPack	GetResourceComplianceByPack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:ListResourceEvaluationResults	ListResourceEvaluationResults	list	全部资源 ``	无	无
config:ListDiscoveredResourcesByAdvancedSearch	ListDiscoveredResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:GetAggregateResourceComplianceByPack	GetAggregateResourceComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:StartAggregateConfigRuleEvaluation	StartAggregateConfigRuleEvaluation	none	全部资源 ``	无	无
config:IgnoreAggregateEvaluationResults	IgnoreAggregateEvaluationResults	update	全部资源 ``	无	无
config:GetManagedRule	GetManagedRule	get	全部资源 ``	无	无
config:ListManagedRules	ListManagedRules	get	全部资源 ``	无	无
config:DescribeDiscoveredResourceBatch	DescribeDiscoveredResourceBatch	get	全部资源 ``	无	无
config:GetAggregateResourceComplianceTimeline	GetAggregateResourceComplianceTimeline	get	全部资源 ``	无	无
config:GetResourceTypeProperties	GetResourceTypeProperties	none	全部资源 ``	无	无
config:ListAggregateDiscoveredResourceRelations	ListAggregateDiscoveredResourceRelations	list	全部资源 ``	无	无
config:ListAggregateResourcesByAdvancedSearch	ListAggregateResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:GetComplianceSummary	GetComplianceSummary	get	全部资源 ``	无	无
config:GenerateCompliancePackReport	GenerateCompliancePackReport	create	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:DeleteAggregateConfigRules	DeleteAggregateConfigRules	delete	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:StartAggregateRemediation	StartAggregateRemediation	none	全部资源 ``	无	无
config:DeleteAggregateRemediations	DeleteAggregateRemediations	delete	全部资源 ``	无	无
config:ListAggregateDiscoveredResources	ListAggregateDiscoveredResources	list	全部资源 ``	无	无
config:ListAggregateConfigRuleEvaluationStatistics	ListAggregateConfigRuleEvaluationStatistics	list	全部资源 ``	无	无
config:GetAggregateConfigDeliveryChannel	GetAggregateConfigDeliveryChannel	get	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:DeleteAggregators	DeleteAggregators	delete	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:CreateConfigDeliveryChannel	CreateConfigDeliveryChannel	create	Delivery `acs:config::{#accountId}:delivery/*`	无	无
config:GetAggregateComplianceSummary	GetAggregateComplianceSummary	get	全部资源 ``	无	无
config:UpdateConfigRule	UpdateConfigRule	update	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:GetAggregateResourceComplianceGroupByResourceType	GetAggregateResourceComplianceGroupByResourceType	get	全部资源 ``	无	无
config:GetRemediationTemplate	GetRemediationTemplate	get	全部资源 ``	无	无
config:GetResourceComplianceGroupByResourceType	GetResourceComplianceGroupByResourceType	get	全部资源 ``	无	无
config:ListConfigRuleEvaluationResults	ListConfigRuleEvaluationResults	list	全部资源 ``	无	无
config:ListRemediationExecutions	ListRemediationExecutions	list	全部资源 ``	无	无
config:UpdateConfigurationRecorder	UpdateConfigurationRecorder	update	全部资源 ``	无	无
config:ListIntegratedService	ListIntegratedService	list	全部资源 ``	无	无
config:DetachConfigRuleToCompliancePack	DetachConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:GetResourceComplianceTimeline	GetResourceComplianceTimeline	list	全部资源 ``	无	无
config:ListAggregateTopConfigRules	ListAggregateTopConfigRules	list	全部资源 ``	无	无
config:GetIntegratedServiceStatus	GetIntegratedServiceStatus	get	全部资源 ``	无	无
config:GetAggregator	GetAggregator	get	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:GetAggregateResourceComplianceGroupByRegion	GetAggregateResourceComplianceGroupByRegion	get	全部资源 ``	无	无
config:GetResourceConfigurationSample	GetResourceConfigurationSample	none	全部资源 ``	无	无
config:ListConfigRules	ListConfigRules	list	Rule `acs:config::{#accountId}:rule/*`	无	无
config:GetAggregateAdvancedSearchFile	GetAggregateAdvancedSearchFile	get	全部资源 ``	无	无
config:ListCompliancePacks	ListCompliancePacks	list	CompliancePack `acs:config::{#accountId}:compliancepack/*`	无	无
config:GetResourceComplianceByConfigRule	GetResourceComplianceByConfigRule	get	全部资源 ``	无	无
config:GetDiscoveredResourceCountsGroupByRegion	GetDiscoveredResourceCountsGroupByRegion	get	全部资源 ``	无	无
config:CreateAggregator	CreateAggregator	create	Aggregator `acs:config::{#accountId}:aggregator/*`	无	无
config:DeleteConfigDeliveryChannel	DeleteConfigDeliveryChannel	delete	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:GetResourceComplianceGroupByRegion	GetResourceComplianceGroupByRegion	get	全部资源 ``	无	无
config:UpdateAggregator	UpdateAggregator	update	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:ListRemediations	ListRemediations	list	全部资源 ``	无	无
config:CreateRemediation	CreateRemediation	create	全部资源 ``	无	无
config:CopyCompliancePacks	CopyCompliancePacks	create	全部资源 ``	无	无
config:ListConfigRuleOperators	ListConfigRuleOperators	none	全部资源 ``	无	无
config:CreateAggregateConfigRule	CreateAggregateConfigRule	create	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/*`	无	无
config:ListRecommendManagedRules	ListRecommendManagedRules	list	全部资源 ``	无	无
config:StartConfigRuleEvaluation	StartConfigRuleEvaluation	none	全部资源 ``	无	无
config:ListDiscoveredResourceRelationsBatch	ListDiscoveredResourceRelationsBatch	list	全部资源 ``	无	无
config:GetConfigRuleSummaryByRiskLevel	GetConfigRuleSummaryByRiskLevel	get	全部资源 ``	无	无
config:ListResourcesByAdvancedSearch	ListResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:GetAggregateResourceComplianceByConfigRule	GetAggregateResourceComplianceByConfigRule	get	全部资源 ``	无	无
config:PutEvaluations	PutEvaluations	none	全部资源 ``	无	无
config:GetAggregateResourceInventory	GetAggregateResourceInventory	get	全部资源 ``	无	无
config:DeleteConfigRules	DeleteConfigRules	delete	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:StartConfigRuleEvaluationByResource	StartConfigRuleEvaluationByResource	none	全部资源 ``	无	无
config:ListAggregateConfigDeliveryChannels	ListAggregateConfigDeliveryChannels	list	全部资源 ``	无	无
config:CreateAggregateConfigDeliveryChannel	CreateAggregateConfigDeliveryChannel	create	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/*`	无	无
config:GetConfigRuleComplianceByPack	GetConfigRuleComplianceByPack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:ListAggregateRemediationExecutions	ListAggregateRemediationExecutions	list	全部资源 ``	无	无
config:ListDiscoveredResourceRelationsBatchByPage	ListDiscoveredResourceRelationsBatchByPage	list	全部资源 ``	无	无
config:DeleteCompliancePacks	DeleteCompliancePacks	delete	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GenerateAggregateConfigRulesReport	GenerateAggregateConfigRulesReport	create	全部资源 ``	无	无
config:UpdateAggregateRemediation	UpdateAggregateRemediation	update	全部资源 ``	无	无
config:UpdateAggregateCompliancePack	UpdateAggregateCompliancePack	update	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:IgnoreEvaluationResults	IgnoreEvaluationResults	update	全部资源 ``	无	无
config:ActiveAggregateConfigRules	ActiveAggregateConfigRules	update	全部资源 ``	无	无
config:GetAggregateConfigRulesReport	GetAggregateConfigRulesReport	get	全部资源 ``	无	无
config:GenerateResourceInventory	GenerateResourceInventory	none	全部资源 ``	无	无
config:GetAggregateDiscoveredResource	GetAggregateDiscoveredResource	get	Resource `acs:config::{#accountId}:resource/{#ResourceId}`	无	无
config:ListCadtAppResource	ListCadtAppResource	list	全部资源 ``	无	无
config:TagResources	TagResources	update	全部资源 ``	无	无
config:StartConfigurationRecorder	StartConfigurationRecorder	create	全部资源 ``	无	无
config:GetResourceConfigurationTimeline	GetResourceConfigurationTimeline	list	全部资源 ``	无	无
config:ListTopConfigRules	ListTopConfigRules	list	全部资源 ``	无	无
config:GetCompliancePack	GetCompliancePack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:StartRemediation	StartRemediation	none	全部资源 ``	无	无
config:GetAggregateCompliancePackReport	GetAggregateCompliancePackReport	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetConfigurationRecorder	GetConfigurationRecorder	get	全部资源 ``	无	无
config:GetApiStatisticData	GetApiStatisticData	get	全部资源 ``	无	无
config:StopConfigurationRecorder	StopConfigurationRecorder	update	全部资源 ``	无	无
config:GetDiscoveredResourceCountsGroupByResourceType	GetDiscoveredResourceCountsGroupByResourceType	get	全部资源 ``	无	无
config:DeleteRemediations	DeleteRemediations	delete	全部资源 ``	无	无
config:ListAggregateResourceEvaluationResults	ListAggregateResourceEvaluationResults	list	全部资源 ``	无	无
config:ListTagResources	ListTagResources	get	全部资源 ``	无	无
config:UntagResources	UntagResources	update	全部资源 ``	无	无
config:UpdateIntegratedServiceStatus	UpdateIntegratedServiceStatus	update	全部资源 ``	无	无
config:DetachAggregateConfigRuleToCompliancePack	DetachAggregateConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:ListRemediationTemplates	ListRemediationTemplates	get	全部资源 ``	无	无
config:EvaluatePreConfigRules	EvaluatePreConfigRules	list	全部资源 ``	无	无
config:GetCompliancePackReport	GetCompliancePackReport	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:ActiveConfigRules	ActiveConfigRules	update	全部资源 ``	无	无
config:GetAggregateAccountComplianceByPack	GetAggregateAccountComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateResourceCountsGroupByRegion	GetAggregateResourceCountsGroupByRegion	get	全部资源 ``	无	无
config:GetAggregateResourceConfigurationTimeline	GetAggregateResourceConfigurationTimeline	list	全部资源 ``	无	无
config:GetSupportedResourceTypesInfo	GetSupportedResourceTypesInfo	none	全部资源 ``	无	无

资源（Resource）

下表是配置审计定义的资源，这些资源可以在 RAM 权限策略语句的Resource元素中使用，用来授予对该资源执行具体操作的权限。其中，资源 ARN 是资源在阿里云上的唯一标识。具体说明如下：

{#}为变量标识，需要您替换为实际值。例如：{#ramcode}需要您替换为实际的云服务RAM代码。
*表示全部。例如：
- {#resourceType}为*时：表示全部资源。
- {#regionId}为*时：表示全部地域。
- {#accountId}为*时：表示全部阿里云账号。

资源类型	资源 ARN
Rule	acs:config:*:{#accountId}:rule/{#ConfigRuleId}
AggregateCompliancePack	acs:config::{#accountId}:aggregatecompliancepack/
AggregateDelivery	acs:config:*:{#accountId}:aggregatedelivery/{#DeliveryChannelId}
AggregateCompliancePack	acs:config:*:{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}
AggregateConfigRule	acs:config:*:{#accountId}:aggregateconfigrule/{#ConfigRuleId}
Delivery	acs:config:*:{#accountId}:delivery/{#DeliveryChannelId}
AggregateConfigRule	acs:config::{#accountId}:aggregateconfigrule/
CompliancePack	acs:config:*:{#accountId}:compliancepack/{#CompliancePackId}
AggregateCompliancePack	acs:config:*:{#accountId}:aggregatecompliancepack/{#AggregateCompliancePackId}
Aggregator	acs:config::{#accountId}:aggregator/
Delivery	acs:config::{#accountId}:delivery/
CompliancePack	acs:config::{#accountId}:compliancepack/
Rule	acs:config::{#accountId}:rule/
Aggregator	acs:config:*:{#accountId}:aggregator/{#AggregatorId}
AggregateDelivery	acs:config::{#accountId}:aggregatedelivery/
Resource	acs:config:*:{#accountId}:resource/{#ResourceId}

条件（Condition）

配置审计未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字，请参见通用条件关键字。

授权信息

权限策略通用结构

操作（Action）

资源（Resource）

条件（Condition）

相关操作