如果系统权限策略不能满足您的要求，您可以创建自定义权限策略实现最小授权。使用自定义权限策略有助于实现权限的精细化管控，是提升资源访问安全的有效手段。本文介绍文件存储NAS使用自定义权限策略的场景和策略示例。
什么是自定义权限策略
在基于RAM的访问控制体系中，自定义权限策略是指在系统权限策略之外，您可以自主创建、更新和删除的权限策略。自定义权限策略的版本更新需由您来维护。
创建自定义权限策略后，需为RAM用户、用户组或RAM角色绑定权限策略，这些RAM身份才能获得权限策略中指定的访问权限。
已创建的权限策略支持删除，但删除前需确保该策略未被引用。如果该权限策略已被引用，您需要在该权限策略的引用记录中移除授权。
自定义权限策略支持版本控制，您可以按照RAM规定的版本管理机制来管理您创建的自定义权限策略版本。
操作文档
常见自定义权限策略场景及示例
文件系统
文件系统完全控制权限
通过自定义权限策略授予RAM用户拥有对文件系统的完全控制权限。
说明由于RAM不支持授予RAM用户单一文件系统的查看权限，当要授予RAM用户单一文件系统完全控制权限时，请您先授予RAM用户全部文件系统的查看权限，然后再授予RAM用户单一文件系统的操作（删除、修改）权限。
07d****294为文件系统实例ID，请根据实际值替换。
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": "nas:*", "Resource": [ "acs:nas:*:*:filesystem/07d****294" ] }, { "Effect": "Allow", "Action": "nas:CreateMountTarget", "Resource": "acs:vpc:*:*:vswitch/*" }, { "Effect": "Allow", "Action": "cms:Query*", "Resource": "*" }, { "Effect": "Allow", "Action": "nas:DescribeFileSystems", "Resource": "*" }, { "Effect": "Allow", "Action": [ "nas:DescribeAccessGroups", "nas:DescribeAccessRules" ], "Resource": "acs:nas:*:*:accessgroup/*" }, { "Effect": "Allow", "Action": [ "vpc:DescribeVpcs", "vpc:DescribeVSwitches" ], "Resource": "*" } ] }查看所有文件系统的权限
通过自定义权限策略授予RAM用户查看所有文件系统的权限。
{ "Statement": [{ "Effect": "Allow", "Action": "nas:DescribeFileSystems", "Resource": "*" }], "Version": "1" }修改文件系统属性的权限
通过自定义权限策略授予RAM用户修改文件系统属性的权限。其中，
07d****294为文件系统实例ID，请根据实际值替换。{ "Statement": [{ "Effect": "Allow", "Action": [ "nas:DescribeFileSystems", "nas:ModifyFileSystem" ], "Resource": "acs:nas:*:*:filesystem/07d****294" }], "Version": "1" }
挂载点
通过自定义权限策略授予RAM用户对文件系统（实例ID：07d****294）的挂载点拥有完全控制权限。
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateMountTarget",
"nas:DescribeMountTargets",
"nas:ModifyMountTarget",
"nas:DeleteMountTarget"
],
"Resource": [
"acs:nas:*:*:filesystem/07d****294",
"acs:vpc:*:*:vswitch/*"
]
}],
"Version": "1"
}权限组
通过自定义权限策略授予RAM用户对所有文件系统权限组拥有完全控制权限。
{
"Statement": [{
"Effect": "Allow",
"Action": [
"nas:CreateAccessGroup",
"nas:DescribeAccessGroups",
"nas:ModifyAccessGroup",
"nas:DeleteAccessGroup",
"nas:CreateAccessRule",
"nas:DescribeAccessRules",
"nas:ModifyAccessRule",
"nas:DeleteAccessRule"
],
"Resource": "acs:nas:*:*:accessgroup/*"
}],
"Version": "1"
}性能监控
通过自定义权限策略授予RAM用户通过控制台查看任一文件系统性能监控指标的权限。
{
"Statement": [{
"Effect": "Allow",
"Action": "cms:Query*",
"Resource": "*"
}],
"Version": "1"
}回收站
回收站完全控制的权限
通过自定义权限策略授予RAM用户拥有对文件系统回收站完全控制的权限。其中，
07d****294为文件系统实例ID，请根据实际值替换。{ "Statement": [{ "Effect": "Allow", "Action": [ "nas:EnableRecycleBin", "nas:DisableAndCleanRecycleBin ", "nas:UpdateRecycleBinAttribute", "nas:GetRecycleBinAttribute", "nas:CreateRecycleBinRestoreJob", "nas:CreateRecycleBinDeleteJob", "nas:CancelRecycleBinJob", "nas:ListRecycleBinJobs", "nas:ListRecycledDirectoriesAndFiles", "nas:ListRecentlyRecycledDirectories" ], "Resource": [ "acs:nas:*:*:filesystem/07d****294" ] } ], "Version": "1" }恢复回收站中暂存文件的权限
通过自定义权限策略授予RAM用户恢复文件系统回收站中暂存文件的权限。其中，
07d****294为文件系统实例ID，请根据实际值替换。{ "Statement": [{ "Effect": "Allow", "Action": [ "nas:GetRecycleBinAttribute", "nas:CreateRecycleBinRestoreJob", "nas:CancelRecycleBinJob", "nas:ListRecycleBinJobs", "nas:ListRecycledDirectoriesAndFiles", "nas:ListRecentlyRecycledDirectories" ], "Resource": [ "acs:nas:*:*:filesystem/07d****294" ] } ], "Version": "1" }彻底删除回收站中暂存文件的权限
通过自定义权限策略授予RAM用户彻底删除文件系统回收站中暂存文件的权限。其中，
07d****294为文件系统实例ID，请根据实际值替换。{ "Statement": [{ "Effect": "Allow", "Action": [ "nas:GetRecycleBinAttribute", "nas:CreateRecycleBinDeleteJob", "nas:CancelRecycleBinJob", "nas:ListRecycleBinJobs", "nas:ListRecycledDirectoriesAndFiles", "nas:ListRecentlyRecycledDirectories" ], "Resource": [ "acs:nas:*:*:filesystem/07d****294" ] } ], "Version": "1" }修改回收站配置的权限
通过自定义权限策略授予RAM用户修改文件系统回收站配置的权限。其中，
07d****294为文件系统实例ID，请根据实际值替换。{ "Statement": [{ "Effect": "Allow", "Action": [ "nas:EnableRecycleBin", "nas:UpdateRecycleBinAttribute", "nas:DisableAndCleanRecycleBin", "nas:GetRecycleBinAttribute" ], "Resource": [ "acs:nas:*:*:filesystem/07d****294" ] } ], "Version": "1" }
授权信息参考
使用自定义权限策略，您需要了解业务的权限管控需求，并了解文件存储NAS的授权信息。详细内容请参见授权信息。