配置审计为RAM权限策略定义的操作/资源和条件_配置审计(CloudConfig)-阿里云帮助中心

访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。

本文为您介绍配置审计（Config）为RAM权限策略定义的操作（Action）、资源（Resource）和条件（Condition）。配置审计（Config）的RAM代码（RamCode）为 config，支持的授权粒度为资源级。

权限策略通用结构

权限策略支持JSON格式，其通用结构如下：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

各字段含义如下：

Effect：权限策略效果。取值：Allow（允许）、Deny（拒绝）。
Action：授予允许或拒绝权限的具体操作。具体信息，请参见操作（Action）。
Resource：受操作影响的具体对象，您可以使用资源ARN来描述指定资源。具体信息，请参见资源（Resource）。
Condition：指授权生效的条件。可选字段。具体信息，请参见条件（Condition）。
- Condition_operator：条件运算符，不同类型的条件对应不同的条件运算符。具体信息，请参见权限策略基本元素。
- Condition_key：条件关键字。
- Condition_value：条件关键字对应的值。

操作（Action）

下表是配置审计（Config）定义的操作，这些操作可以在RAM权限策略语句的Action元素中使用，用来授予执行该操作的权限。下面对表中的具体项提供说明：

操作：是指具体的权限点。
API：是指操作对应的API接口。
访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
资源类型：是指操作中支持授权的资源类型。具体说明如下：
- 对于必选的资源类型，用前面加 * 表示。
- 对于不支持资源级授权的操作，用全部资源表示。
条件关键字：是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。

操作	API	访问级别	资源类型	条件关键字	关联操作
config:ActiveAggregateConfigRules	ActiveAggregateConfigRules	update	全部资源 ``	无	无
config:ActiveConfigRules	ActiveConfigRules	update	全部资源 ``	无	无
config:AttachAggregateConfigRuleToCompliancePack	AttachAggregateConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:AttachConfigRuleToCompliancePack	AttachConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:CopyCompliancePacks	CopyCompliancePacks	create	全部资源 ``	无	无
config:CopyConfigRules	CopyConfigRules	update	全部资源 ``	无	无
config:CreateAdvancedSearchFile	CreateAdvancedSearchFile	create	全部资源 ``	无	无
config:CreateAggregateAdvancedSearchFile	CreateAggregateAdvancedSearchFile	create	全部资源 ``	无	无
config:CreateAggregateCompliancePack	CreateAggregateCompliancePack	create	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/*`	无	无
config:CreateAggregateConfigDeliveryChannel	CreateAggregateConfigDeliveryChannel	create	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/*`	无	无
config:CreateAggregateConfigRule	CreateAggregateConfigRule	create	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/*`	无	无
config:CreateAggregateRemediation	CreateAggregateRemediation	create	全部资源 ``	无	无
config:CreateAggregator	CreateAggregator	create	Aggregator `acs:config::{#accountId}:aggregator/*`	无	无
config:CreateCompliancePack	CreateCompliancePack	create	CompliancePack `acs:config::{#accountId}:compliancepack/*`	无	无
config:CreateConfigDeliveryChannel	CreateConfigDeliveryChannel	create	Delivery `acs:config::{#accountId}:delivery/*`	无	无
config:CreateConfigRule	CreateConfigRule	create	Rule `acs:config::{#accountId}:rule/*`	无	无
config:CreateDeliveryChannel	CreateDeliveryChannel	create	全部资源 ``	无	无
config:CreateRemediation	CreateRemediation	create	全部资源 ``	无	无
config:DeactiveAggregateConfigRules	DeactiveAggregateConfigRules	update	全部资源 ``	无	无
config:DeactiveConfigRules	DeactiveConfigRules	update	全部资源 ``	无	无
config:DeleteAggregateCompliancePacks	DeleteAggregateCompliancePacks	delete	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregateCompliancePackId}`	无	无
config:DeleteAggregateConfigDeliveryChannel	DeleteAggregateConfigDeliveryChannel	delete	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:DeleteAggregateConfigRules	DeleteAggregateConfigRules	delete	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:DeleteAggregateRemediations	DeleteAggregateRemediations	delete	全部资源 ``	无	无
config:DeleteAggregators	DeleteAggregators	delete	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:DeleteCompliancePacks	DeleteCompliancePacks	delete	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:DeleteConfigDeliveryChannel	DeleteConfigDeliveryChannel	delete	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:DeleteConfigRules	DeleteConfigRules	delete	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:DeleteRemediations	DeleteRemediations	Write	全部资源 ``	无	无
config:DescribeRemediation	DescribeRemediation	get	全部资源 ``	无	无
config:DetachAggregateConfigRuleToCompliancePack	DetachAggregateConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:DetachConfigRuleToCompliancePack	DetachConfigRuleToCompliancePack	update	全部资源 ``	无	无
config:EvaluatePreConfigRules	EvaluatePreConfigRules	list	全部资源 ``	无	无
config:GenerateAggregateCompliancePackReport	GenerateAggregateCompliancePackReport	create	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GenerateAggregateConfigRulesReport	GenerateAggregateConfigRulesReport	create	全部资源 ``	无	无
config:GenerateAggregateResourceInventory	GenerateAggregateResourceInventory	none	全部资源 ``	无	无
config:GenerateCompliancePackReport	GenerateCompliancePackReport	create	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GenerateConfigRulesReport	GenerateConfigRulesReport	get	全部资源 ``	无	无
config:GenerateResourceInventory	GenerateResourceInventory	none	全部资源 ``	无	无
config:GetAdvancedSearchFile	GetAdvancedSearchFile	get	全部资源 ``	无	无
config:GetAggregateAccountComplianceByPack	GetAggregateAccountComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateAdvancedSearchFile	GetAggregateAdvancedSearchFile	get	全部资源 ``	无	无
config:GetAggregateCompliancePack	GetAggregateCompliancePack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateCompliancePackReport	GetAggregateCompliancePackReport	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateComplianceSummary	GetAggregateComplianceSummary	get	全部资源 ``	无	无
config:GetAggregateConfigDeliveryChannel	GetAggregateConfigDeliveryChannel	get	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:GetAggregateConfigRule	GetAggregateConfigRule	get	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:GetAggregateConfigRuleComplianceByPack	GetAggregateConfigRuleComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateConfigRuleSummaryByRiskLevel	GetAggregateConfigRuleSummaryByRiskLevel	get	全部资源 ``	无	无
config:GetAggregateConfigRulesReport	GetAggregateConfigRulesReport	get	全部资源 ``	无	无
config:GetAggregateDiscoveredResource	GetAggregateDiscoveredResource	get	Resource `acs:config::{#accountId}:resource/{#ResourceId}`	无	无
config:GetAggregateResourceComplianceByConfigRule	GetAggregateResourceComplianceByConfigRule	get	全部资源 ``	无	无
config:GetAggregateResourceComplianceByPack	GetAggregateResourceComplianceByPack	get	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:GetAggregateResourceComplianceGroupByRegion	GetAggregateResourceComplianceGroupByRegion	get	全部资源 ``	无	无
config:GetAggregateResourceComplianceGroupByResourceType	GetAggregateResourceComplianceGroupByResourceType	get	全部资源 ``	无	无
config:GetAggregateResourceComplianceTimeline	GetAggregateResourceComplianceTimeline	get	全部资源 ``	无	无
config:GetAggregateResourceConfigurationTimeline	GetAggregateResourceConfigurationTimeline	list	全部资源 ``	无	无
config:GetAggregateResourceCountsGroupByRegion	GetAggregateResourceCountsGroupByRegion	get	全部资源 ``	无	无
config:GetAggregateResourceCountsGroupByResourceType	GetAggregateResourceCountsGroupByResourceType	get	全部资源 ``	无	无
config:GetAggregateResourceInventory	GetAggregateResourceInventory	get	全部资源 ``	无	无
config:GetAggregator	GetAggregator	get	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:GetCompliancePack	GetCompliancePack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GetCompliancePackReport	GetCompliancePackReport	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GetComplianceSummary	GetComplianceSummary	get	全部资源 ``	无	无
config:GetConfigDeliveryChannel	GetConfigDeliveryChannel	get	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:GetConfigRule	GetConfigRule	get	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:GetConfigRuleComplianceByPack	GetConfigRuleComplianceByPack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GetConfigRuleSummaryByRiskLevel	GetConfigRuleSummaryByRiskLevel	get	全部资源 ``	无	无
config:GetConfigRulesReport	GetConfigRulesReport	get	全部资源 ``	无	无
config:GetConfigurationRecorder	GetConfigurationRecorder	get	全部资源 ``	无	无
config:GetDiscoveredResource	GetDiscoveredResource	get	全部资源 ``	无	无
config:GetDiscoveredResourceCountsGroupByRegion	GetDiscoveredResourceCountsGroupByRegion	get	全部资源 ``	无	无
config:GetDiscoveredResourceCountsGroupByResourceType	GetDiscoveredResourceCountsGroupByResourceType	get	全部资源 ``	无	无
config:GetIntegratedServiceStatus	GetIntegratedServiceStatus	get	全部资源 ``	无	无
config:GetManagedRule	GetManagedRule	get	全部资源 ``	无	无
config:GetRemediationTemplate	GetRemediationTemplate	get	全部资源 ``	无	无
config:GetResourceComplianceByConfigRule	GetResourceComplianceByConfigRule	get	全部资源 ``	无	无
config:GetResourceComplianceByPack	GetResourceComplianceByPack	get	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:GetResourceComplianceGroupByRegion	GetResourceComplianceGroupByRegion	get	全部资源 ``	无	无
config:GetResourceComplianceGroupByResourceType	GetResourceComplianceGroupByResourceType	get	全部资源 ``	无	无
config:GetResourceComplianceTimeline	GetResourceComplianceTimeline	list	全部资源 ``	无	无
config:GetResourceConfigurationTimeline	GetResourceConfigurationTimeline	list	全部资源 ``	无	无
config:GetResourceInventory	GetResourceInventory	get	全部资源 ``	无	无
config:IgnoreAggregateEvaluationResults	IgnoreAggregateEvaluationResults	update	全部资源 ``	无	无
config:IgnoreEvaluationResults	IgnoreEvaluationResults	update	全部资源 ``	无	无
config:ListAggregateCompliancePacks	ListAggregateCompliancePacks	list	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/*`	无	无
config:ListAggregateConfigDeliveryChannels	ListAggregateConfigDeliveryChannels	list	全部资源 ``	无	无
config:ListAggregateConfigRuleEvaluationResults	ListAggregateConfigRuleEvaluationResults	list	全部资源 ``	无	无
config:ListAggregateConfigRuleEvaluationStatistics	ListAggregateConfigRuleEvaluationStatistics	list	全部资源 ``	无	无
config:ListAggregateConfigRules	ListAggregateConfigRules	list	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/*`	无	无
config:ListAggregateDiscoveredResources	ListAggregateDiscoveredResources	list	全部资源 ``	无	无
config:ListAggregateRemediationExecutions	ListAggregateRemediationExecutions	list	全部资源 ``	无	无
config:ListAggregateRemediations	ListAggregateRemediations	list	全部资源 ``	无	无
config:ListAggregateResourceEvaluationResults	ListAggregateResourceEvaluationResults	list	全部资源 ``	无	无
config:ListAggregateResourceRelations	ListAggregateResourceRelations	get	全部资源 ``	无	无
config:ListAggregateResourcesByAdvancedSearch	ListAggregateResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:ListAggregators	ListAggregators	get	Aggregator `acs:config::{#accountId}:aggregator/*`	无	无
config:ListCompliancePacks	ListCompliancePacks	list	CompliancePack `acs:config::{#accountId}:compliancepack/*`	无	无
config:ListConfigDeliveryChannels	ListConfigDeliveryChannels	list	全部资源 ``	无	无
config:ListConfigRuleEvaluationResults	ListConfigRuleEvaluationResults	list	全部资源 ``	无	无
config:ListConfigRuleEvaluationStatistics	ListConfigRuleEvaluationStatistics	list	全部资源 ``	无	无
config:ListConfigRules	ListConfigRules	list	Rule `acs:config::{#accountId}:rule/*`	无	无
config:ListDiscoveredResources	ListDiscoveredResources	list	全部资源 ``	无	无
config:ListIntegratedService	ListIntegratedService	list	全部资源 ``	无	无
config:ListManagedRules	ListManagedRules	get	全部资源 ``	无	无
config:ListRemediationExecutions	ListRemediationExecutions	list	全部资源 ``	无	无
config:ListRemediationTemplates	ListRemediationTemplates	get	全部资源 ``	无	无
config:ListRemediations	ListRemediations	list	全部资源 ``	无	无
config:ListResourceEvaluationResults	ListResourceEvaluationResults	list	全部资源 ``	无	无
config:ListResourceRelations	ListResourceRelations	get	全部资源 ``	无	无
config:ListResourcesByAdvancedSearch	ListResourcesByAdvancedSearch	list	全部资源 ``	无	无
config:ListTagResources	ListTagResources	get	全部资源 ``	无	无
config:PutEvaluations	PutEvaluations	none	全部资源 ``	无	无
config:RevertAggregateEvaluationResults	RevertAggregateEvaluationResults	update	全部资源 ``	无	无
config:RevertEvaluationResults	RevertEvaluationResults	update	全部资源 ``	无	无
config:StartAggregateConfigRuleEvaluation	StartAggregateConfigRuleEvaluation	none	全部资源 ``	无	无
config:StartAggregateRemediation	StartAggregateRemediation	none	全部资源 ``	无	无
config:StartConfigRuleEvaluation	StartConfigRuleEvaluation		全部资源 ``	无	无
config:StartConfigurationRecorder	StartConfigurationRecorder	create	全部资源 ``	无	无
config:StartRemediation	StartRemediation	none	全部资源 ``	无	无
config:StopConfigurationRecorder	StopConfigurationRecorder	update	全部资源 ``	无	无
config:TagResources	TagResources	update	全部资源 ``	无	无
config:UntagResources	UntagResources	update	全部资源 ``	无	无
config:UpdateAggregateCompliancePack	UpdateAggregateCompliancePack	update	AggregateCompliancePack `acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId}`	无	无
config:UpdateAggregateConfigDeliveryChannel	UpdateAggregateConfigDeliveryChannel	update	AggregateDelivery `acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId}`	无	无
config:UpdateAggregateConfigRule	UpdateAggregateConfigRule	update	AggregateConfigRule `acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId}`	无	无
config:UpdateAggregateRemediation	UpdateAggregateRemediation	update	全部资源 ``	无	无
config:UpdateAggregator	UpdateAggregator	update	Aggregator `acs:config::{#accountId}:aggregator/{#AggregatorId}`	无	无
config:UpdateCompliancePack	UpdateCompliancePack	update	CompliancePack `acs:config::{#accountId}:compliancepack/{#CompliancePackId}`	无	无
config:UpdateConfigDeliveryChannel	UpdateConfigDeliveryChannel	update	Delivery `acs:config::{#accountId}:delivery/{#DeliveryChannelId}`	无	无
config:UpdateConfigRule	UpdateConfigRule	update	Rule `acs:config::{#accountId}:rule/{#ConfigRuleId}`	无	无
config:UpdateConfigurationRecorder	UpdateConfigurationRecorder	update	全部资源 ``	无	无
config:UpdateDeliveryChannel	UpdateDeliveryChannel	update	全部资源 ``	无	无
config:UpdateIntegratedServiceStatus	UpdateIntegratedServiceStatus	update	全部资源 ``	无	无
config:UpdateRemediation	UpdateRemediation	Write	全部资源 ``	无	无

资源（Resource）

下表是配置审计（Config）定义的资源，这些资源可以在RAM权限策略语句的Resource元素中使用，用来授予对该资源执行具体操作的权限。其中，资源ARN是资源在阿里云上的唯一标识。具体说明如下：

{#}为变量标识，需要您替换为实际值。例如：{#ramcode}需要您替换为实际的云服务RAM代码。
*表示全部。例如：
- {#resourceType}为*时：表示全部资源。
- {#regionId}为*时：表示全部地域。
- {#accountId}为*时：表示全部阿里云账号。

资源类型	资源ARN
AggregateCompliancePack	acs:config::{#accountId}:aggregatecompliancepack/{#AggregatorCompliancePackId} acs:config::{#accountId}:aggregatecompliancepack/* acs:config:*:{#accountId}:aggregatecompliancepack/{#AggregateCompliancePackId}
AggregateConfigRule	acs:config::{#accountId}:aggregateconfigrule/{#ConfigRuleId} acs:config::{#accountId}:aggregateconfigrule/*
AggregateDelivery	acs:config::{#accountId}:aggregatedelivery/{#DeliveryChannelId} acs:config::{#accountId}:aggregatedelivery/*
Aggregator	acs:config::{#accountId}:aggregator/{#AggregatorId} acs:config::{#accountId}:aggregator/*
CompliancePack	acs:config::{#accountId}:compliancepack/{#CompliancePackId} acs:config::{#accountId}:compliancepack/*
Delivery	acs:config::{#accountId}:delivery/{#DeliveryChannelId} acs:config::{#accountId}:delivery/*
Resource	acs:config:*:{#accountId}:resource/{#ResourceId}
Rule	acs:config::{#accountId}:rule/{#ConfigRuleId} acs:config::{#accountId}:rule/*

条件（Condition）

配置审计（Config）未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字，请参见通用条件关键字。

授权信息

权限策略通用结构

操作（Action）

资源（Resource）

条件（Condition）

相关操作