边转边播自定义权限配置_智能媒体管理(IMM)-阿里云帮助中心

如果系统权限策略无法满足您的需求，您可以创建自定义权限策略以实现最小授权。使用自定义权限策略有助于实现权限的精细化管理，是提升资源访问安全性的有效手段。您可以通过该文档了解IMM边转边播时自定义权限策略的场景与示例。

自定义项目服务角色权限

在创建IMM项目时，需要为项目设置服务角色，以便IMM服务能够以该角色访问您已授权的其他云资源，例如阿里云对象存储（OSS）。

创建自定义服务角色

创建普通服务角色具体操作，请参见创建可信实体为阿里云服务的RAM角色。
创建自定义策略。更多信息，请参见创建自定义权限策略。
进行边转边播所需的服务角色权限如下：
- 边转边播需要从OSS Bucket中读取源文件，将转码后的文件存储回OSS Bucket，必须具备对OSS Bucket的读取和写入权限。
- 允许IMM服务以该角色访问您已授权的其他云资源，例如OSS。
为服务角色授权。具体操作，请参见为RAM角色授权。

自定义服务角色权限策略示例

仅允许对指定的OSS Bucket进行文件的读取和写入操作

RAM Policy将允许读取和写入名称为my-bucket的Bucket。

示例参数说明

OSS Resource格式为：acs:oss:*:*:<BucketName>/*，配置时请根据实际参数进行替换，相关参数说明如下：

参数	说明
`BucketName`	OSS Bucket名称，可以在OSS控制台的Bucket列表查看。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject",
                "oss:PutObject"
            ],
            "Resource": "acs:oss:*:*:my-bucket/*",
            "Effect": "Allow"
        }
        {
            "Action": "ram:PassRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "acs:Service": "imm.aliyuncs.com"
                }
            }
        }
    ]
}

自定义调用IMM的RAM用户权限

RAM提供了一种持久有效的权限控制机制，通过设立不同权限的RAM用户，将各类权限分配给不同用户。即使RAM用户的AccessKey发生泄露，也不会导致全局信息的泄露。

创建RAM用户并授权

创建RAM用户。具体操作，请参见创建RAM用户。
创建自定义策略。更多信息，请参见创建自定义权限策略。
进行图片处理，RAM用户所需权限如下：
- 需具备调用IMM边转边播相关接口的权限。
- 需具备读取OSS文件、从OSS使用IMM处理所需的相关权限。
为RAM用户授权。具体操作，请参见为RAM用户授权。

自定义RAM用户权限策略示例

仅可使用指定项目调用IMM边转边播相关接口，在指定Bucket使用IMM处理

RAM Policy限定用户仅在上海地域的image-process-project项目中调用智能媒体管理的以下接口：

GenerateVideoPlaylist，LiveTranscoding，并限定仅可对名称为my-bucket的Bucket执行读取文件和使用IMM处理操作。

重要

边转边播需要通过OSS Bucket绑定的IMM项目进行实时转码，因此需授权RAM用户可以调用该绑定项目的相关接口。

示例参数说明

OSS Resource格式为：acs:oss:*:*:<BucketName>/*，配置时请根据实际参数进行替换，相关参数说明如下：

参数	说明
`BucketName`	OSS Bucket名称，可以在OSS控制台的Bucket列表查看。

IMM Resource格式为：acs:imm:<RegionId>:<UID>:project/<ProjectName>，配置时请根据实际参数进行替换，相关参数的说明如下：

参数	说明
`RegionId`	地域ID，例如`cn-shanghai`、`cn-beijing`，地域对应的RegionId可以在服务接入点中查看。
`UID`	账号ID，可以在账号中心的概览中查看。
`ProjectName`	项目名称，IMM创建项目时指定的名称，可以在智能媒体控制台中查看。

MNS Resource格式为：acs:mns:<RegionId>:<UID>:/queues/<QueueName>/messages，配置时请根据实际参数进行替换，相关参数的说明如下：

参数	说明
`RegionId`	地域ID，例如`cn-shanghai`、`cn-beijing`，地域对应的RegionId可以在服务接入点中查看。
`UID`	账号ID，可以在账号中心的概览中查看。
`QueueName`	MNS队列名称，可以在MNS控制台的队列列表查看。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject",
                "oss:PostProcessTask",
                "oss:ProcessImm"
            ],
            "Resource": "acs:oss:*:*:my-bucket/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "imm:GenerateVideoPlaylist",
                "imm:LiveTranscoding"
            ],
            "Resource": "acs:imm:cn-shanghai:150910xxxxxxxxxx:project/video-process-project",
            "Effect": "Allow"
        }
    ]
}