访问控制(RAM)是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥,并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。
本文为您介绍配置审计(Config)为RAM权限策略定义的操作(Action)、资源(Resource)和条件(Condition)。配置审计(Config)的RAM代码(RamCode)为config,支持的授权粒度为OPERATION。
权限策略通用结构
权限策略支持JSON格式,其通用结构如下:
{
"Version": "1",
"Statement": [
{
"Effect": "<Effect>",
"Action": "<Action>",
"Resource": "<Resource>",
"Condition": {
"<Condition_operator>": {
"<Condition_key>": [
"<Condition_value>"
]
}
}
}
]
}
- Effect:权限策略效果。取值:Allow(允许)、Deny(拒绝)。
- Action:授予允许或拒绝权限的具体操作。具体信息,请参见操作(Action)。
- Resource:受操作影响的具体对象,您可以使用资源ARN来描述指定资源。具体信息,请参见资源(Resource)。
- Condition:指授权生效的条件。可选字段。具体信息,请参见条件(Condition)。
- Condition_operator:条件运算符,不同类型的条件对应不同的条件运算符。具体信息,请参见权限策略基本元素。
- Condition_key:条件关键字。
- Condition_value:条件关键字对应的值。
操作(Action)
下表是配置审计(Config)定义的操作,这些操作可以在RAM权限策略语句的Action
元素中使用,用来授予执行该操作的权限。下面对表中的具体项提供说明:- 操作:是指具体的权限点。
- API:是指操作对应的API接口。
- 访问级别:是指每个操作的访问级别,取值为写入(Write)、读取(Read)或列出(List)。
- 资源类型:是指操作中支持授权的资源类型。具体说明如下:
- 对于必选的资源类型,用背景高亮的方式表示。
- 对于不支持资源级授权的操作,用
全部资源
表示。
- 条件关键字:是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
- 关联操作:是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限,操作才能成功。
操作 | API | 访问级别 | 资源类型 | 条件关键字 | 关联操作 |
---|---|---|---|---|---|
config:ActiveAggregateConfigRules | ActiveAggregateConfigRules | Write | 全部资源 * | 无 | 无 |
config:ActiveConfigRules | ActiveConfigRules | Write | 全部资源 * | 无 | 无 |
config:AttachAggregateConfigRuleToCompliancePack | AttachAggregateConfigRuleToCompliancePack | Write | 全部资源 * | 无 | 无 |
config:AttachConfigRuleToCompliancePack | AttachConfigRuleToCompliancePack | Write | 全部资源 * | 无 | 无 |
config:CopyCompliancePacks | CopyCompliancePacks | Write | 全部资源 * | 无 | 无 |
config:CopyConfigRules | CopyConfigRules | Write | 全部资源 * | 无 | 无 |
config:CreateAdvancedSearchFile | CreateAdvancedSearchFile | Write | 全部资源 * | 无 | 无 |
config:CreateAggregateAdvancedSearchFile | CreateAggregateAdvancedSearchFile | Write | 全部资源 * | 无 | 无 |
config:CreateAggregateCompliancePack | CreateAggregateCompliancePack | Write | 全部资源 * | 无 | 无 |
config:CreateAggregateConfigDeliveryChannel | CreateAggregateConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:CreateAggregateConfigRule | CreateAggregateConfigRule | Write | 全部资源 * | 无 | 无 |
config:CreateAggregateRemediation | CreateAggregateRemediation | Write | 全部资源 * | 无 | 无 |
config:CreateAggregator | CreateAggregator | Write | 全部资源 * | 无 | 无 |
config:CreateCompliancePack | CreateCompliancePack | Write | 全部资源 * | 无 | 无 |
config:CreateConfigDeliveryChannel | CreateConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:CreateConfigRule | CreateConfigRule | Write | 全部资源 * | 无 | 无 |
config:CreateRemediation | CreateRemediation | Write | 全部资源 * | 无 | 无 |
config:DeactiveAggregateConfigRules | DeactiveAggregateConfigRules | Write | 全部资源 * | 无 | 无 |
config:DeactiveConfigRules | DeactiveConfigRules | Write | 全部资源 * | 无 | 无 |
config:DeleteAggregateCompliancePacks | DeleteAggregateCompliancePacks | Write | 全部资源 * | 无 | 无 |
config:DeleteAggregateConfigDeliveryChannel | DeleteAggregateConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:DeleteAggregateConfigRules | DeleteAggregateConfigRules | Write | 全部资源 * | 无 | 无 |
config:DeleteAggregateRemediations | DeleteAggregateRemediations | Write | 全部资源 * | 无 | 无 |
config:DeleteAggregators | DeleteAggregators | Write | 全部资源 * | 无 | 无 |
config:DeleteCompliancePacks | DeleteCompliancePacks | Write | 全部资源 * | 无 | 无 |
config:DeleteConfigDeliveryChannel | DeleteConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:DeleteConfigRules | DeleteConfigRules | 全部资源 * | 无 | 无 | |
config:DeleteRemediations | DeleteRemediations | Write | 全部资源 * | 无 | 无 |
config:DescribeRemediation | DescribeRemediation | Read | 全部资源 * | 无 | 无 |
config:DetachAggregateConfigRuleToCompliancePack | DetachAggregateConfigRuleToCompliancePack | Write | 全部资源 * | 无 | 无 |
config:DetachConfigRuleToCompliancePack | DetachConfigRuleToCompliancePack | Write | 全部资源 * | 无 | 无 |
config:GenerateAggregateCompliancePackReport | GenerateAggregateCompliancePackReport | Write | 全部资源 * | 无 | 无 |
config:GenerateAggregateConfigRulesReport | GenerateAggregateConfigRulesReport | Write | 全部资源 * | 无 | 无 |
config:GenerateAggregateResourceInventory | GenerateAggregateResourceInventory | Write | 全部资源 * | 无 | 无 |
config:GenerateCompliancePackReport | GenerateCompliancePackReport | Write | 全部资源 * | 无 | 无 |
config:GenerateConfigRulesReport | GenerateConfigRulesReport | Write | 全部资源 * | 无 | 无 |
config:GenerateResourceInventory | GenerateResourceInventory | Write | 全部资源 * | 无 | 无 |
config:GetAdvancedSearchFile | GetAdvancedSearchFile | Read | 全部资源 * | 无 | 无 |
config:GetAggregateAccountComplianceByPack | GetAggregateAccountComplianceByPack | Read | 全部资源 * | 无 | 无 |
config:GetAggregateCompliancePack | GetAggregateCompliancePack | Read | 全部资源 * | 无 | 无 |
config:GetAggregateCompliancePackReport | GetAggregateCompliancePackReport | Read | 全部资源 * | 无 | 无 |
config:GetAggregateComplianceSummary | GetAggregateComplianceSummary | Read | 全部资源 * | 无 | 无 |
config:GetAggregateConfigDeliveryChannel | GetAggregateConfigDeliveryChannel | Read | 全部资源 * | 无 | 无 |
config:GetAggregateConfigRule | GetAggregateConfigRule | Read | 全部资源 * | 无 | 无 |
config:GetAggregateConfigRuleComplianceByPack | GetAggregateConfigRuleComplianceByPack | Read | 全部资源 * | 无 | 无 |
config:GetAggregateConfigRulesReport | GetAggregateConfigRulesReport | Read | 全部资源 * | 无 | 无 |
config:GetAggregateDiscoveredResource | GetAggregateDiscoveredResource | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceComplianceByConfigRule | GetAggregateResourceComplianceByConfigRule | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceComplianceByPack | GetAggregateResourceComplianceByPack | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceComplianceTimeline | GetAggregateResourceComplianceTimeline | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceConfigurationTimeline | GetAggregateResourceConfigurationTimeline | List | 全部资源 * | 无 | 无 |
config:GetAggregateResourceCountsGroupByRegion | GetAggregateResourceCountsGroupByRegion | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceCountsGroupByResourceType | GetAggregateResourceCountsGroupByResourceType | Read | 全部资源 * | 无 | 无 |
config:GetAggregateResourceInventory | GetAggregateResourceInventory | Read | 全部资源 * | 无 | 无 |
config:GetAggregator | GetAggregator | Read | 全部资源 * | 无 | 无 |
config:GetCompliancePack | GetCompliancePack | Read | 全部资源 * | 无 | 无 |
config:GetCompliancePackReport | GetCompliancePackReport | Read | 全部资源 * | 无 | 无 |
config:GetComplianceSummary | GetComplianceSummary | Read | 全部资源 * | 无 | 无 |
config:GetConfigDeliveryChannel | GetConfigDeliveryChannel | Read | 全部资源 * | 无 | 无 |
config:GetConfigRule | GetConfigRule | Read | 全部资源 * | 无 | 无 |
config:GetConfigRuleComplianceByPack | GetConfigRuleComplianceByPack | Read | 全部资源 * | 无 | 无 |
config:GetConfigRulesReport | GetConfigRulesReport | Read | 全部资源 * | 无 | 无 |
config:GetConfigurationRecorder | GetConfigurationRecorder | Read | 全部资源 * | 无 | 无 |
config:GetDiscoveredResource | GetDiscoveredResource | Read | 全部资源 * | 无 | 无 |
config:GetDiscoveredResourceCountsGroupByRegion | GetDiscoveredResourceCountsGroupByRegion | Read | 全部资源 * | 无 | 无 |
config:GetDiscoveredResourceCountsGroupByResourceType | GetDiscoveredResourceCountsGroupByResourceType | Read | 全部资源 * | 无 | 无 |
config:GetIntegratedServiceStatus | GetIntegratedServiceStatus | Read | 全部资源 * | 无 | 无 |
config:GetManagedRule | GetManagedRule | Read | 全部资源 * | 无 | 无 |
config:GetRemediationTemplate | GetRemediationTemplate | Read | 全部资源 * | 无 | 无 |
config:GetResourceComplianceByConfigRule | GetResourceComplianceByConfigRule | Read | 全部资源 * | 无 | 无 |
config:GetResourceComplianceByPack | GetResourceComplianceByPack | Read | 全部资源 * | 无 | 无 |
config:GetResourceComplianceGroupByRegion | GetResourceComplianceGroupByRegion | Read | 全部资源 * | 无 | 无 |
config:GetResourceComplianceGroupByResourceType | GetResourceComplianceGroupByResourceType | Read | 全部资源 * | 无 | 无 |
config:GetResourceComplianceTimeline | GetResourceComplianceTimeline | List | 全部资源 * | 无 | 无 |
config:GetResourceConfigurationTimeline | GetResourceConfigurationTimeline | List | 全部资源 * | 无 | 无 |
config:GetResourceInventory | GetResourceInventory | Read | 全部资源 * | 无 | 无 |
config:IgnoreAggregateEvaluationResults | IgnoreAggregateEvaluationResults | Write | 全部资源 * | 无 | 无 |
config:IgnoreEvaluationResults | IgnoreEvaluationResults | Write | 全部资源 * | 无 | 无 |
config:ListAggregateCompliancePacks | ListAggregateCompliancePacks | List | 全部资源 * | 无 | 无 |
config:ListAggregateConfigDeliveryChannels | ListAggregateConfigDeliveryChannels | List | 全部资源 * | 无 | 无 |
config:ListAggregateConfigRuleEvaluationResults | ListAggregateConfigRuleEvaluationResults | List | 全部资源 * | 无 | 无 |
config:ListAggregateConfigRuleEvaluationStatistics | ListAggregateConfigRuleEvaluationStatistics | List | 全部资源 * | 无 | 无 |
config:ListAggregateConfigRules | ListAggregateConfigRules | List | 全部资源 * | 无 | 无 |
config:ListAggregateDiscoveredResources | ListAggregateDiscoveredResources | List | 全部资源 * | 无 | 无 |
config:ListAggregateRemediationExecutions | ListAggregateRemediationExecutions | List | 全部资源 * | 无 | 无 |
config:ListAggregateRemediations | ListAggregateRemediations | List | 全部资源 * | 无 | 无 |
config:ListAggregateResourceEvaluationResults | ListAggregateResourceEvaluationResults | List | 全部资源 * | 无 | 无 |
config:ListAggregateResourceRelations | ListAggregateResourceRelations | Read | 全部资源 * | 无 | 无 |
config:ListAggregateResourcesByAdvancedSearch | ListAggregateResourcesByAdvancedSearch | List | 全部资源 * | 无 | 无 |
config:ListAggregators | ListAggregators | Read | 全部资源 * | 无 | 无 |
config:ListCompliancePacks | ListCompliancePacks | List | 全部资源 * | 无 | 无 |
config:ListConfigDeliveryChannels | ListConfigDeliveryChannels | List | 全部资源 * | 无 | 无 |
config:ListConfigRuleEvaluationResults | ListConfigRuleEvaluationResults | List | 全部资源 * | 无 | 无 |
config:ListConfigRuleEvaluationStatistics | ListConfigRuleEvaluationStatistics | List | 全部资源 * | 无 | 无 |
config:ListConfigRules | ListConfigRules | List | 全部资源 * | 无 | 无 |
config:ListDiscoveredResources | ListDiscoveredResources | List | 全部资源 * | 无 | 无 |
config:ListIntegratedService | ListIntegratedService | List | 全部资源 * | 无 | 无 |
config:ListManagedRules | ListManagedRules | Read | 全部资源 * | 无 | 无 |
config:ListRemediationExecutions | ListRemediationExecutions | List | 全部资源 * | 无 | 无 |
config:ListRemediationTemplates | ListRemediationTemplates | Read | 全部资源 * | 无 | 无 |
config:ListRemediations | ListRemediations | List | 全部资源 * | 无 | 无 |
config:ListResourceEvaluationResults | ListResourceEvaluationResults | List | 全部资源 * | 无 | 无 |
config:ListResourceRelations | ListResourceRelations | Read | 全部资源 * | 无 | 无 |
config:ListResourcesByAdvancedSearch | ListResourcesByAdvancedSearch | List | 全部资源 * | 无 | 无 |
config:ListTagResources | ListTagResources | Read | 全部资源 * | 无 | 无 |
config:RevertAggregateEvaluationResults | RevertAggregateEvaluationResults | Write | 全部资源 * | 无 | 无 |
config:RevertEvaluationResults | RevertEvaluationResults | Write | 全部资源 * | 无 | 无 |
config:StartAggregateConfigRuleEvaluation | StartAggregateConfigRuleEvaluation | Write | 全部资源 * | 无 | 无 |
config:StartAggregateRemediation | StartAggregateRemediation | Write | 全部资源 * | 无 | 无 |
config:StartConfigRuleEvaluation | StartConfigRuleEvaluation | 全部资源 * | 无 | 无 | |
config:StartConfigurationRecorder | StartConfigurationRecorder | Write | 全部资源 * | 无 | 无 |
config:StartRemediation | StartRemediation | Write | 全部资源 * | 无 | 无 |
config:StopConfigurationRecorder | StopConfigurationRecorder | Write | 全部资源 * | 无 | 无 |
config:TagResources | TagResources | Write | 全部资源 * | 无 | 无 |
config:UntagResources | UntagResources | Write | 全部资源 * | 无 | 无 |
config:UpdateAggregateCompliancePack | UpdateAggregateCompliancePack | Write | 全部资源 * | 无 | 无 |
config:UpdateAggregateConfigDeliveryChannel | UpdateAggregateConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:UpdateAggregateConfigRule | UpdateAggregateConfigRule | Write | 全部资源 * | 无 | 无 |
config:UpdateAggregateRemediation | UpdateAggregateRemediation | Write | 全部资源 * | 无 | 无 |
config:UpdateAggregator | UpdateAggregator | Write | 全部资源 * | 无 | 无 |
config:UpdateCompliancePack | UpdateCompliancePack | Write | 全部资源 * | 无 | 无 |
config:UpdateConfigDeliveryChannel | UpdateConfigDeliveryChannel | Write | 全部资源 * | 无 | 无 |
config:UpdateConfigRule | UpdateConfigRule | Write | 全部资源 * | 无 | 无 |
config:UpdateConfigurationRecorder | UpdateConfigurationRecorder | Write | 全部资源 * | 无 | 无 |
config:UpdateIntegratedServiceStatus | UpdateIntegratedServiceStatus | Write | 全部资源 * | 无 | 无 |
config:UpdateRemediation | UpdateRemediation | Write | 全部资源 * | 无 | 无 |
资源(Resource)
配置审计(Config)不支持在RAM权限策略语句的
Resource
中指定资源ARN。如果要允许对配置审计(Config)的访问权限,请在策略语句中指定"Resource": "*"
。条件(Condition)
配置审计(Config)未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字,请参见通用条件关键字。