授权信息

访问控制(RAM)是阿里云提供的管理用户身份与资源访问权限的服务。使用 RAM 可以让您避免与其他用户共享阿里云账号密钥,并可按需为用户授予最小权限。RAM 中使用权限策略描述授权的具体内容。

本文为您介绍 操作审计 为 RAM 权限策略定义的操作(Action)、资源(Resource)和条件(Condition)。 操作审计 的 RAM 代码(RamCode)为 actiontrail ,支持的授权粒度为 操作级

权限策略通用结构

权限策略支持 JSON 格式,其通用结构如下:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}        

各字段含义如下:

  • Effect:权限策略效果。取值:Allow(允许)、Deny(拒绝)。

  • Action:授予允许或拒绝权限的具体操作。具体信息,请参见操作(Action)

  • Resource:受操作影响的具体对象,您可以使用资源 ARN 来描述指定资源。具体信息,请参见资源(Resource)

  • Condition:指授权生效的条件。可选字段。具体信息,请参见条件(Condition)

    • Condition_operator:条件运算符,不同类型的条件对应不同的条件运算符。具体信息,请参见权限策略基本元素

    • Condition_key:条件关键字。

    • Condition_value:条件关键字对应的值。

操作(Action)

下表是操作审计定义的操作,这些操作可以在 RAM 权限策略语句的Action元素中使用,用来授予执行该操作的权限。下面对表中的具体项提供说明:

  • 操作:是指具体的权限点。

  • API:是指操作对应的 API 接口。

  • 访问级别:是指每个操作的访问级别,取值为写入(Write)、读取(Read)或列出(List)。

  • 资源类型:是指操作中支持授权的资源类型。具体说明如下:

    • 对于必选的资源类型,用前面加 * 表示。

    • 对于不支持资源级授权的操作,用全部资源表示。

  • 条件关键字:是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字

  • 关联操作:是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限,操作才能成功。

操作

API

访问级别

资源类型

条件关键字

关联操作

actiontrail:ModifyInsightStrategy ModifyInsightStrategy none
*全部资源
*
actiontrail:StopLogging StopLogging update
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}
actiontrail:LookupInsightEvents LookupInsightEvents list
*全部资源
*
actiontrail:LookupAggregationEvents LookupAggregationEvents list
*全部资源
*
actiontrail:GetServiceTrailDeliveryStatus GetServiceTrailDeliveryStatus get
*全部资源
*
actiontrail:CreateServiceLinkedRole CreateServiceLinkedRole none
*全部资源
*
actiontrail:ListDataEventServices ListDataEventServices get
*全部资源
*
actiontrail:CreateDeliveryHistoryJob CreateDeliveryHistoryJob create
*全部资源
*
actiontrail:DescribeSearchTemplates DescribeSearchTemplates list
*全部资源
*
actiontrail:GetDataEventSelector GetDataEventSelector get
*全部资源
*
actiontrail:CreateAdvancedQueryHistory CreateAdvancedQueryHistory create
*全部资源
*
actiontrail:RemoveDefaultTrail RemoveDefaultTrail update
*全部资源
*
actiontrail:GetInsightEventCount GetInsightEventCount get
*全部资源
*
actiontrail:GetDeliveryHistoryJob GetDeliveryHistoryJob get
*全部资源
*
actiontrail:CreateTrail CreateTrail create
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/*
actiontrail:GetAccessKeyLastUsedResources GetAccessKeyLastUsedResources list
*全部资源
*
actiontrail:GetDefaultTrail GetDefaultTrail get
*全部资源
*
actiontrail:PutDataEventSelector PutDataEventSelector create
*全部资源
*
actiontrail:DeleteDataEventSelector DeleteDataEventSelector create
*全部资源
*
actiontrail:DescribeAdvancedQueryHistory DescribeAdvancedQueryHistory list
*全部资源
*
actiontrail:GetInsightsEventsCount GetInsightsEventsCount get
*全部资源
*
actiontrail:LookupEvents LookupEvents get
*全部资源
*
actiontrail:DescribeTrailDeliveryMetricData DescribeTrailDeliveryMetricData get
*全部资源
*
actiontrail:GetInsightIpCount GetInsightIpCount get
*全部资源
*
actiontrail:DescribeAdvancedQueryTemplate DescribeAdvancedQueryTemplate list
*全部资源
*
actiontrail:DeleteTrail DeleteTrail delete
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}
actiontrail:PutInsightSelectors PutInsightSelectors update
*全部资源
*
actiontrail:GetAccessKeyLastUsedInfo GetAccessKeyLastUsedInfo get
*全部资源
*
actiontrail:GetGovernanceMetrics GetGovernanceMetrics get
*全部资源
*
actiontrail:DescribeUserAlertCount DescribeUserAlertCount none
*全部资源
*
actiontrail:ListDataEventSelectors ListDataEventSelectors get
*全部资源
*
actiontrail:GetGlobalEventsStorageRegion GetGlobalEventsStorageRegion get
*全部资源
*
actiontrail:UpdateGlobalEventsStorageRegion UpdateGlobalEventsStorageRegion update
*全部资源
*
actiontrail:GetEventsCount GetEventsCount get
*全部资源
*
actiontrail:PutEventSelectors PutEventSelectors create
*全部资源
*
actiontrail:DescribeResourceLifeCycleEvents DescribeResourceLifeCycleEvents list
*全部资源
*
actiontrail:DescribeUserLogCount DescribeUserLogCount none
*全部资源
*
actiontrail:DescribeInsightMetricData DescribeInsightMetricData get
*全部资源
*
actiontrail:GetEventSelectors GetEventSelectors get
*全部资源
*
actiontrail:SetDefaultTrail SetDefaultTrail update
*全部资源
*
actiontrail:DescribeInsightIpList DescribeInsightIpList list
*全部资源
*
actiontrail:DescribeUserTrailCount DescribeUserTrailCount none
*全部资源
*
actiontrail:DeleteDeliveryHistoryJob DeleteDeliveryHistoryJob delete
*全部资源
*
actiontrail:DeleteAdvancedQueryTemplate DeleteAdvancedQueryTemplate delete
*全部资源
*
actiontrail:UpdateTrail UpdateTrail update
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}
actiontrail:GetInsightSelectors GetInsightSelectors get
*全部资源
*
actiontrail:EnableInsight EnableInsight update
*全部资源
*
actiontrail:DisableInsight DisableInsight none
*全部资源
*
actiontrail:DescribeScenes DescribeScenes list
*全部资源
*
actiontrail:ListServiceTrail ListServiceTrail list
*全部资源
*
actiontrail:GetInsightTypes GetInsightTypes get
*全部资源
*
actiontrail:GetAdvancedQueryTemplate GetAdvancedQueryTemplate get
*全部资源
*
actiontrail:GetAccessKeyLastUsedEvents GetAccessKeyLastUsedEvents list
*全部资源
*
actiontrail:DescribeInsightStrategy DescribeInsightStrategy list
*全部资源
*
actiontrail:DeleteEventSelectors DeleteEventSelectors create
*全部资源
*
actiontrail:DescribeInsightEnabledTrails DescribeInsightEnabledTrails list
*全部资源
*
actiontrail:DescribeTrails DescribeTrails get
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/*
actiontrail:ListDeliveryHistoryJobs ListDeliveryHistoryJobs get
*全部资源
*
actiontrail:GetAccessKeyLastUsedProducts GetAccessKeyLastUsedProducts list
*全部资源
*
actiontrail:CreateAdvancedQueryTemplate CreateAdvancedQueryTemplate create
*全部资源
*
actiontrail:GetTrailStatus GetTrailStatus get
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}
actiontrail:GetAccessKeyLastUsedIps GetAccessKeyLastUsedIps list
*全部资源
*
actiontrail:DeleteServiceTrail DeleteServiceTrail none
*全部资源
*
actiontrail:GetServiceTrail GetServiceTrail get
*全部资源
*
actiontrail:UpdateAdvancedQueryTemplate UpdateAdvancedQueryTemplate update
*全部资源
*
actiontrail:CreateServiceTrail CreateServiceTrail none
*全部资源
*
actiontrail:DeleteAdvancedQueryHistory DeleteAdvancedQueryHistory delete
*全部资源
*
actiontrail:StartLogging StartLogging update
*Trail
acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}

资源(Resource)

下表是操作审计定义的资源,这些资源可以在 RAM 权限策略语句的Resource元素中使用,用来授予对该资源执行具体操作的权限。 其中,资源 ARN 是资源在阿里云上的唯一标识。具体说明如下:

  • {#}为变量标识,需要您替换为实际值。例如:{#ramcode}需要您替换为实际的云服务RAM代码。

  • *表示全部。例如:

    • {#resourceType}*时:表示全部资源。

    • {#regionId}*时:表示全部地域。

    • {#accountId}*时:表示全部阿里云账号。

资源类型

资源 ARN

Trail acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}
HistoryDeliveryJob acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/*
HistoryDeliveryJob acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/{#HistoryDeliveryJobId}
Trail acs:actiontrail:{#regionId}:{#accountId}:trail/*
ActionTrailVirtual acs:actiontrail:*:{#accountId}:actiontrailvirtual/{#ActionTrailVirtualId}
Unrestricted acs:actiontrail:{#regionId}:{#accountId}:*

条件(Condition)

操作审计未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字,请参见通用条件关键字

相关操作

您可以创建自定义权限策略,并将权限策略授予 RAM 用户、RAM 用户组或 RAM 角色。具体操作如下: