API 网关自定义权限策略参考

什么是自定义权限策略

在基于RAM的访问控制体系中，自定义权限策略是指在系统权限策略之外，您可以自主创建、更新和删除的权限策略。自定义权限策略的版本更新需由您来维护。

• 创建自定义权限策略后，需为RAM用户、用户组或RAM角色绑定权限策略，这些RAM身份才能获得权限策略中指定的访问权限。

• 已创建的权限策略支持删除，但删除前需确保该策略未被引用。如果该权限策略已被引用，您需要在该权限策略的引用记录中移除授权。

• 自定义权限策略支持版本控制，您可以按照RAM规定的版本管理机制来管理您创建的自定义权限策略版本。

操作文档

• 创建自定义权限策略

• 修改自定义权限策略内容和备注

• 删除自定义权限策略

• 管理权限策略引用记录

• 管理自定义权限策略版本

第一部分：策略管理

授权策略（Policy），来描述授权的具体内容，授权内容主要包含效力（Effect）、资源（Resource）、对资源所授予的操作权限（Action）以及限制条件（Condition）这几个基本元素。

您可以根据需要自定义管理权限，支持更为精细化的授权，可以为某个操作，也可以是某个资源。如：API GetUsers 的编辑权限。可以在RAM控制台-策略管理中选择策略类型为自定义策略，查看已经定义好的自定义授权。

第二部分：授权策略

授权策略是一组权限的集合，它以一种策略语言来描述。通过给用户或群组附加授权策略，用户或群组中的所有用户就能获得授权策略中指定的访问权限。

{
  "Version": "1",
  "Statement": [
    {
  "Action": "apigateway:Describe*",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}
                

此示例表示：允许所有的查看操作。

Action（操作名称列表）格式为：

 "Action":"<service-name>:<action-name>"

其中：

• service-name 为：阿里云产品名称，请填写 apigateway。

• action-name 为：API 接口名称，请参照下表，支持通配符*。

  "Action": "apigateway:Describe*" 表示所有的查询操作。

  "Action": "apigateway:*" 表示 API 网关所有操作。

第三部分：Resource（操作对象列表）

Resource 通常指操作对象， API 网关中的 API 分组、流控策略、应用都被称为 Resource，书写格式：

acs:<service-name>:<region>:<account-id>:<relative-id>

其中：

• acs：Alibaba Cloud Service 的首字母缩写，表示阿里云的公有云平台。

• service-name 为：阿里云产品名称，请填写 apigateway。

• region：地区信息，可以使用通配符*号来代替，*表示所有区域。

• account-id：账号 ID，比如123456789012****，也可以用*代替。

• relative-id：与 API 网关相关的资源描述部分，这部分的格式描述支持类似于一个文件路径的树状结构。

格式：

acs:apigateway:$regionid:$accountid:apigroup/$groupId

示例：

acs:apigateway:*:*:apigroup/cbd157704e624ab58a204fd3e0b5ad79

请结合 API 网关的API 手册来查看下表：

部分场景示例

授权所有API的查询操作：

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:Describe*",
                      "Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
                      "Effect": "Allow"
            }
          ]
}                        

授权打了标签 `version:v1` 的分组查询操作：

{
	  "Version": "1",
	  "Statement": [
	    {
      		"Action": "apigateway:Describe*",
	      	"Resource":"acs:apigateway:$regionid:$accountid:apigroup/*",
	      	"Effect": "Allow"，
                 "Condition": {
                        "StringEquals": {
                             "apigateway:tag/version": "v1"
                        }
                 }
             }
	  ]
}			

授权某个分组下所有API的管理操作：

{
          "Version": "1",
          "Statement": [
            {
                      "Action": "apigateway:*",
                      "Resource": [
                              "acs:apigateway:$regionid:$accountid:apigroup/$groupId",
                              "acs:apigateway:$regionid:$accountid:app/$appId",
                              "acs:apigateway:$regionid:$accountid:vpcaccess/*"
                      ],
                      "Effect": "Allow"
            }
          ]
}

备注：以上示例中，变量部分可以根据需要配置成*。