访问控制(RAM)是阿里云提供的管理用户身份与资源访问权限的服务。使用RAM可以让您避免与其他用户共享阿里云账号密钥,并可按需为用户授予最小权限。RAM中使用权限策略描述授权的具体内容。
本文为您介绍函数计算(FC-Open)为RAM权限策略定义的操作(Action)、资源(Resource)和条件(Condition)。函数计算(FC-Open)的RAM代码(RamCode)为[{"popCode":"function-compute","ramCodes":["fc"]},{"popCode":"FC-Open","ramCodes":["fc"]},{"popCode":"FC-RAM","ramCodes":["fc"]},{"popCode":"FC","ramCodes":["fc"]}],支持的授权粒度为RESOURCE。
权限策略通用结构
权限策略支持JSON格式,其通用结构如下:
{
"Version": "1",
"Statement": [
{
"Effect": "<Effect>",
"Action": "<Action>",
"Resource": "<Resource>",
"Condition": {
"<Condition_operator>": {
"<Condition_key>": [
"<Condition_value>"
]
}
}
}
]
}
- Effect:权限策略效果。取值:Allow(允许)、Deny(拒绝)。
- Action:授予允许或拒绝权限的具体操作。具体信息,请参见操作(Action)。
- Resource:受操作影响的具体对象,您可以使用资源ARN来描述指定资源。具体信息,请参见资源(Resource)。
- Condition:指授权生效的条件。可选字段。具体信息,请参见条件(Condition)。
- Condition_operator:条件运算符,不同类型的条件对应不同的条件运算符。具体信息,请参见权限策略基本元素。
- Condition_key:条件关键字。
- Condition_value:条件关键字对应的值。
操作(Action)
下表是函数计算(FC-Open)定义的操作,这些操作可以在RAM权限策略语句的Action
元素中使用,用来授予执行该操作的权限。下面对表中的具体项提供说明:- 操作:是指具体的权限点。
- API:是指操作对应的API接口。
- 访问级别:是指每个操作的访问级别,取值为写入(Write)、读取(Read)或列出(List)。
- 资源类型:是指操作中支持授权的资源类型。具体说明如下:
- 对于必选的资源类型,用背景高亮的方式表示。
- 对于不支持资源级授权的操作,用
全部资源
表示。
- 条件关键字:是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
- 关联操作:是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限,操作才能成功。
操作 | API | 访问级别 | 资源类型 | 条件关键字 | 关联操作 |
---|---|---|---|---|---|
fc:GetResourceTags | GetResourceTags | get | 全部资源 * | 无 | 无 |
fc:GetProvisionConfig | GetProvisionConfig | get | 全部资源 * | 无 | 无 |
fc:DeleteCustomDomain | DeleteCustomDomain | delete | 全部资源 * | 无 | 无 |
fc:PutFunctionAsyncInvokeConfig | PutFunctionAsyncInvokeConfig | create | 全部资源 * | 无 | 无 |
fc:UnTagResource | UntagResource | update | 全部资源 * | 无 | 无 |
fc:GetStatefulAsyncInvocation | GetStatefulAsyncInvocation | get | 全部资源 * | 无 | 无 |
fc:ListInstances | ListInstances | get | 全部资源 * | 无 | 无 |
fc:ListOnDemandConfigs | ListOnDemandConfigs | get | 全部资源 * | 无 | 无 |
fc:PutProvisionConfig | PutProvisionConfig | update | 全部资源 * | 无 | 无 |
fc:UpdateTrigger | UpdateTrigger | update | 全部资源 * | 无 | 无 |
fc:DeleteFunction | DeleteFunction | delete | 全部资源 * | 无 | 无 |
fc:DeleteServiceVersion | DeleteServiceVersion | delete | 全部资源 * | 无 | 无 |
fc:ListCustomDomains | ListCustomDomains | get | 全部资源 * | 无 | 无 |
fc:ListEventSources | ListEventSources | get | 全部资源 * | 无 | 无 |
fc:ListLayerVersions | ListLayerVersions | get | 全部资源 * | 无 | 无 |
fc:GetCustomDomain | GetCustomDomain | get | 全部资源 * | 无 | 无 |
fc:ListFunctionAsyncInvokeConfigs | ListFunctionAsyncInvokeConfigs | get | 全部资源 * | 无 | 无 |
fc:ListProvisionConfigs | ListProvisionConfigs | get | 全部资源 * | 无 | 无 |
fc:PutFunctionOnDemandConfig | PutFunctionOnDemandConfig | create | 全部资源 * | 无 | 无 |
fc:UpdateAlias | UpdateAlias | update | 全部资源 * | 无 | 无 |
fc:UpdateService | UpdateService | update | Service acs:fc:{#regionId}:{#accountId}:services/{#ServiceName} | fc:EnableServiceSLSLogging fc:EnableServiceInternetAccess | 无 |
fc:DeleteVpcBinding | DeleteVpcBinding | delete | 全部资源 * | 无 | 无 |
fc:CreateService | CreateService | create | Service acs:fc:{#regionId}:{#accountId}:services/{#serviceName} | fc:EnableServiceSLSLogging fc:EnableServiceInternetAccess | 无 |
fc:RegisterEventSource | RegisterEventSource | none | 全部资源 * | 无 | 无 |
fc:GetAlias | GetAlias | get | 全部资源 * | 无 | 无 |
fc:GetTrigger | GetTrigger | get | 全部资源 * | 无 | 无 |
fc:PutLayerACL | PutLayerACL | update | 全部资源 * | 无 | 无 |
fc:ListServices | ListServices | get | Service acs:fc:{#regionId}:{#accountId}:services/* | 无 | 无 |
fc:DeleteAlias | DeleteAlias | delete | 全部资源 * | 无 | 无 |
fc:ListServiceVersions | ListServiceVersions | get | 全部资源 * | 无 | 无 |
fc:DeregisterEventSource | DeregisterEventSource | none | 全部资源 * | 无 | 无 |
fc:CreateTrigger | CreateTrigger | create | 全部资源 * | 无 | 无 |
fc:ListAliases | ListAliases | get | 全部资源 * | 无 | 无 |
fc:ListReservedCapacities | ListReservedCapacities | get | 全部资源 * | 无 | 无 |
fc:CreateCustomDomain | CreateCustomDomain | create | 全部资源 * | 无 | 无 |
fc:CreateLayerVersion | CreateLayerVersion | create | LayerVersion acs:fc:{#regionId}:{#accountId}:layers/{#layerName}/versions/* | 无 | 无 |
fc:TagResource | TagResource | create | 全部资源 * | 无 | 无 |
fc:DeleteFunctionAsyncInvokeConfig | DeleteFunctionAsyncInvokeConfig | delete | 全部资源 * | 无 | 无 |
fc:ListStatefulAsyncInvocationFunctions | ListStatefulAsyncInvocationFunctions | get | 全部资源 * | 无 | 无 |
fc:DeleteService | DeleteService | delete | 全部资源 * | 无 | 无 |
fc:GetAccountSettings | GetAccountSettings | get | 全部资源 * | 无 | 无 |
fc:DeleteFunctionOnDemandConfig | DeleteFunctionOnDemandConfig | delete | 全部资源 * | 无 | 无 |
fc:DeleteLayerVersion | DeleteLayerVersion | delete | 全部资源 * | 无 | 无 |
fc:GetFunction | GetFunction | get | 全部资源 * | 无 | 无 |
fc:DeleteTrigger | DeleteTrigger | delete | 全部资源 * | 无 | 无 |
fc:ListStatefulAsyncInvocations | ListStatefulAsyncInvocations | get | 全部资源 * | 无 | 无 |
fc:ListFunctions | ListFunctions | get | 全部资源 * | 无 | 无 |
fc:CreateFunction | CreateFunction | create | 全部资源 * | 无 | 无 |
fc:CreateAlias | CreateAlias | create | 全部资源 * | 无 | 无 |
fc:GetFunctionOnDemandConfig | GetFunctionOnDemandConfig | get | 全部资源 * | 无 | 无 |
fc:UpdateFunction | UpdateFunction | update | Function acs:fc:{#regionId}:{#accountId}:services/{#ServiceName}/functions/{#FunctionName} | 无 | 无 |
fc:GetService | GetService | get | 全部资源 * | 无 | 无 |
fc:ListLayers | ListLayers | get | 全部资源 * | 无 | 无 |
fc:PublishServiceVersion | PublishServiceVersion | update | 全部资源 * | 无 | 无 |
fc:UpdateCustomDomain | UpdateCustomDomain | update | 全部资源 * | 无 | 无 |
fc:GetFunctionCode | GetFunctionCode | get | 全部资源 * | 无 | 无 |
fc:InvokeFunction | InvokeFunction | none | 全部资源 * | 无 | 无 |
fc:ListTriggers | ListTriggers | get | 全部资源 * | 无 | 无 |
fc:ListTaggedResources | ListTaggedResources | get | 全部资源 * | 无 | 无 |
fc:GetFunctionAsyncInvokeConfig | GetFunctionAsyncInvokeConfig | get | 全部资源 * | 无 | 无 |
fc:StopStatefulAsyncInvocation | StopStatefulAsyncInvocation | update | 全部资源 * | 无 | 无 |
fc:CreateVpcBinding | CreateVpcBinding | create | 全部资源 * | 无 | 无 |
fc:ListVpcBindings | ListVpcBindings | get | 全部资源 * | 无 | 无 |
fc:GetLayerVersion | GetLayerVersion | get | 全部资源 * | 无 | 无 |
资源(Resource)
下表是函数计算(FC-Open)定义的资源,这些资源可以在RAM权限策略语句的Resource
元素中使用,用来授予对该资源执行具体操作的权限。 其中,资源ARN是资源在阿里云上的唯一标识。具体说明如下:{#}
为变量标识,需要您替换为实际值。例如:{#ramcode}
需要您替换为实际的云服务RAM代码。-
*
表示全部。例如:{#resourceType}
为*
时:表示全部资源。{#regionId}
为*
时:表示全部地域。{#accountId}
为*
时:表示全部阿里云账号。
资源类型 | 资源ARN |
---|---|
FunctionOnDemandConfig | acs:fc:{#regionId}:{#accountId}:on-demand-configs/* |
Service | acs:fc:{#regionId}:{#accountId}:services/{#ServiceName} |
Service | acs:fc:{#regionId}:{#accountId}:services/* |
LayerVersion | acs:fc:{#regionId}:{#accountId}:layers/{#layerName}/versions/* |
AccountSettings | acs:fc:{#regionId}:{#accountId}:account-settings |
Function | acs:fc:{#regionId}:{#accountId}:services/{#ServiceName}/functions/{#FunctionName} |
VpcBinding | acs:fc:*:{#accountId}:services/{#serviceName}/bindings/* |
条件(Condition)
下表是函数计算(FC-Open)定义的产品级条件关键字,这些条件关键字可以在RAM权限策略语句的
Condition
元素中使用,用来描述授予权限的条件。以下仅列举产品级的条件关键字,阿里云定义的通用条件关键字也同样适用函数计算(FC-Open)。其中,数据类型决定了您可以使用哪些条件运算符将请求中的值与权限策略语句中的值进行比较。您必须使用与数据类型匹配的条件运算符,否则无法匹配策略语句,授权行为无效。数据类型与条件运算符的对应关系,请参见条件操作类型。
条件关键字 | 描述 | 类型 |
---|---|---|
fc:EnableHTTPTriggerAnonymous | 是否打开HTTPTrigger匿名访问。如果没有指定该配置,条件值将为未定义值。 | String |
fc:EnableServiceSLSLogging | 是否打开服务SLS日志功能。如果没有指定该配置,条件值将为未定义值。 | String |
fc:EnableServiceInternetAccess | 是否打开服务访问公网功能。如果没有指定该配置,条件值将为未定义值。 | String |
fc:EnableCustomDomainHTTP | 是否打开HTTP协议访问自定义域名。如果没有指定该配置,条件值将为未定义值。 | String |