阿里云ECS API 查询类接口鉴权机制变更公告

变更前后对比

以DescribeInstances接口为例，如无ecs:DescribeInstances权限调用时，升级前后返回结果如下：

{
  "RequestId": "ABCD-1234-1234-ABCD",
  "Instances": {
    "Instance": []
  },
  "NextToken": "",
  "PageNumber": 1,
  "PageSize": 10,
  "TotalCount": 0
}

{
  "RequestId": "ABCD-1234-1234-ABCD",
  "HostId": "ecs.cn-hangzhou.aliyuncs.com",
  "Code": "Forbidden.RAM",
  "Message": "User not authorized to operate on the specified resource, or this API doesn't support RAM.",
  "Recommend": "https://api.aliyun.com/troubleshoot?q=Forbidden.RAM&product=Ecs&requestId=ABCD-1234-1234-ABCD",
  "AccessDeniedDetail": {
    "AuthAction": "ecs:DescribeInstances",
    ...
  }
}

涉及API清单

SDK调用适配

在代码中捕获该异常进行相应的处理：Exception中会包含一个字段AccessDeniedDetail，用来描述权限失败的详细原因，可以通过getAccessDeniedDetail()方法获取。以Java语言为例：

V1.0 Java SDK示例

// 生成的 SDK 的 Request
DescribeXXXRequest request = new DescribeXXXRequest();
try {
    DescribeXXXResponse response = client.getAcsResponse(request);
} catch (ServerException e) {
    // 打印错误码
    System.out.println(e.getErrCode());
} catch (ClientException e) {
    // 打印错误码，无权限报错此次输出为“Forbidden.RAM”
    System.out.println(e.getErrCode());
    // 获取权限失败的详细原因
    System.out.println(e.getAccessDeniedDetail());
}

V2.0 Java SDK示例

DescribeXXXRequest request = new DescribeXXXRequest();
try {
    client.describeXXX(request);
} catch (TeaException e) {
    // 打印错误码，无权限报错此次输出为“Forbidden.RAM”
    System.out.println(e.getErrCode());
    // 获取权限失败的详细原因
    System.out.println(e.getAccessDeniedDetail());
}

其他语言及不同版本SDK调用适配：

权限诊断排查

在权限报错时，返回结果中会带有AccessDeniedDetail字段，通过该字段可以获得权限拒绝的详细信息，可通过下面任意一个途径进行解析：

• 通过调用“访问控制”产品中的DecodeDiagnosticMessage接口进行解析。

• 在OpenAPI Troubleshoot输入请求RequestId即可获得权限报错和解决方案。

• 通过控制台权限诊断页面进行诊断。

更多信息，请参见如何排查无权限的访问错误。

权限配置建议

必要操作权限

如果确认此权限为必要操作权限，请联系您的主账号或权限管理员，对上述诊断结果涉及的权限（AuthAction）进行为RAM用户授权或者为RAM角色授权。

兼容性处理

如果需要对报错请求进行捕获识别，请try...catch对应的异常，判断错误码是否为Forbidden.RAM，此错误码代表子账号缺少RAM权限。