访问控制权限操作及资源列表-资源编排-阿里云

访问控制（RAM）是阿里云提供的管理用户身份与资源访问权限的服务。使用 RAM 可以让您避免与其他用户共享阿里云账号密钥，并可按需为用户授予最小权限。RAM 中使用权限策略描述授权的具体内容。

本文为您介绍 资源编排 为 RAM 权限策略定义的操作（Action）、资源（Resource）和条件（Condition）。 资源编排 的 RAM 代码（RamCode）为 ros ，支持的授权粒度为 资源级 。

权限策略通用结构

权限策略支持 JSON 格式，其通用结构如下：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

各字段含义如下：

Effect：权限策略效果。取值：Allow（允许）、Deny（拒绝）。
Action：授予允许或拒绝权限的具体操作。具体信息，请参见操作（Action）。
Resource：受操作影响的具体对象，您可以使用资源 ARN 来描述指定资源。具体信息，请参见资源（Resource）。
Condition：指授权生效的条件。可选字段。具体信息，请参见条件（Condition）。
- Condition_operator：条件运算符，不同类型的条件对应不同的条件运算符。具体信息，请参见权限策略基本元素。
- Condition_key：条件关键字。
- Condition_value：条件关键字对应的值。

操作（Action）

下表是资源编排定义的操作，这些操作可以在 RAM 权限策略语句的Action元素中使用，用来授予执行该操作的权限。下面对表中的具体项提供说明：

操作：是指具体的权限点。
API：是指操作对应的 API 接口。
访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
资源类型：是指操作中支持授权的资源类型。具体说明如下：
- 对于必选的资源类型，用前面加 * 表示。
- 对于不支持资源级授权的操作，用全部资源表示。
条件关键字：是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。
关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。

操作	API	访问级别	资源类型	条件关键字	关联操作
ros:EnableServiceAccess	EnableServiceAccess	none	全部资源 ``	无	无
ros:GetServiceAccess	GetServiceAccess	get	全部资源 ``	无	无
ros:PreviewStack	PreviewStack	get	*Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:UpdateTemplateScratch	UpdateTemplateScratch	update	*TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#templatescratchId}`	无	无
ros:UpdateStackGroup	UpdateStackGroup	update	*StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:GetTemplateParameterConstraints	GetTemplateParameterConstraints	get	全部资源 ``	无	无
ros:GetTemplateScratch	GetTemplateScratch	get	*TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#templatescratchId}`	无	无
ros:TagResources	TagResources	update	Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}` StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}` *TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#TemplateScratchId}`	无	无
ros:ListTemplateScratches	ListTemplateScratches	get	TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/`	无	无
ros:UpdateStackTemplateByResources	UpdateStackTemplateByResources	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:GetServiceProvisions	GetServiceProvisions	list	全部资源 ``	无	无
ros:ListResourceTypes	ListResourceTypes	get	全部资源 ``	无	无
ros:CreateStack	CreateStack	create	Stack `acs:ros:{#regionId}:{#accountId}:stack/` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:MoveResourceGroup	MoveResourceGroup	update	全部资源 ``	无	无
ros:GetStack	GetStack	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ListTemplates	ListTemplates	list	Template `acs:ros:{#regionId}:{#accountId}:template/`	无	无
ros:GetAITask	GetAITask	get	全部资源 ``	无	无
ros:GetStackGroupOperation	GetStackGroupOperation	get	*StackGroupOperation `acs:ros:{#regionId}:{#accountId}:stackgroupoperation/{#OperationId}`	无	无
ros:UpdateStackInstances	UpdateStackInstances	update	*StackInstance `acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}`	无	无
ros:ListResourceTypeVersions	ListResourceTypeVersions	get	全部资源 ``	无	无
ros:CreateDiagnostic	CreateDiagnostic	create	全部资源 ``	无	无
ros:GenerateTemplateByScratch	GenerateTemplateByScratch	list	*TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#templatescratchId}`	无	无
ros:UnTagResources	UntagResources	update	StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}` TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#TemplateScratchId}` Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}`	无	无
ros:DetectStackGroupDrift	DetectStackGroupDrift	delete	*StackGroup `acs:ros:{#regionId}:{#accountId}:stack_group/{#StackGroupName}`	无	无
ros:GetTemplateEstimateCost	GetTemplateEstimateCost	get	Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:EnableServices	EnableServices	none	全部资源 ``	无	无
ros:ListStackInstances	ListStackInstances	get	*StackInstance `acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}`	无	无
ros:DeleteStackGroup	DeleteStackGroup	delete	*StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}`	无	无
ros:CreateTemplateScratch	CreateTemplateScratch	create	TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/`	无	无
ros:ListStackOperationRisks	ListStackOperationRisks	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:DeregisterResourceType	DeregisterResourceType	delete	全部资源 ``	无	无
ros:DeleteTemplate	DeleteTemplate	delete	*template `acs:ros:{#regionId}:{#accountId}:template/{#templateId}`	无	无
ros:GenerateTemplatePolicy	GenerateTemplatePolicy	list	Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:DeleteChangeSet	DeleteChangeSet	delete	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:GetResourceTypeTemplate	GetResourceTypeTemplate	get	全部资源 ``	无	无
ros:RegisterResourceType	RegisterResourceType	create	全部资源 ``	无	无
ros:UpdateStack	UpdateStack	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:ListChangeSets	ListChangeSets	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:SetStackPolicy	SetStackPolicy	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ListStackEvents	ListStackEvents	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:DeleteTemplateScratch	DeleteTemplateScratch	delete	*TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#templatescratchId}`	无	无
ros:SetTemplatePermission	SetTemplatePermission	update	*Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:CancelStackOperation	CancelStackOperation	delete	*Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}`	无	无
ros:ListSummaries	ListSummaries	get	全部资源 ``	无	无
ros:ListDiagnostics	ListDiagnostics	list	全部资源 ``	无	无
ros:GetDiagnostic	GetDiagnostic	list	全部资源 ``	无	无
ros:ListAITaskEvents	ListAITaskEvents	list	全部资源 ``	无	无
ros:CreateAITask	CreateAITask	create	全部资源 ``	无	无
ros:CreateChangeSet	CreateChangeSet	create	*Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:GetStackResource	GetStackResource	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:GetStackInstance	GetStackInstance	get	*StackInstance `acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}`	无	无
ros:ListTemplateVersions	ListTemplateVersions	get	Template `acs:ros::{#accountId}:template/{#TemplateId}`	无	无
ros:DeleteDiagnostic	DeleteDiagnostic	delete	全部资源 ``	无	无
ros:ListStackResourceDrifts	ListStackResourceDrifts	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:DeleteStack	DeleteStack	delete	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:DeleteStackInstances	DeleteStackInstances	delete	*StackInstance `acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}`	无	无
ros:ListAITasks	ListAITasks	list	全部资源 ``	无	无
ros:DetectStackDrift	DetectStackDrift	delete	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ListStackResources	ListStackResources	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ImportStacksToStackGroup	ImportStacksToStackGroup	create	*StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}`	无	无
ros:ExecuteChangeSet	ExecuteChangeSet	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:StopStackGroupOperation	StopStackGroupOperation	update	*StackGroupOperation `acs:ros:{#regionId}:{#accountId}:stackgroupoperation/{#OperationId}`	无	无
ros:ListStackGroupOperationResults	ListStackGroupOperationResults	get	*StackGroupOperation `acs:ros:{#regionId}:{#accountId}:stackgroupoperation/{#OperationId}`	无	无
ros:GetChangeSet	GetChangeSet	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:GetStackPolicy	GetStackPolicy	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:CreateStackInstances	CreateStackInstances	create	*StackInstance `acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}`	无	无
ros:CancelUpdateStack	CancelUpdateStack	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ListTagValues	ListTagValues	get	全部资源 ``	无	无
ros:ListStacks	ListStacks	get	Stack `acs:ros:{#regionId}:{#accountId}:stack/`	无	无
ros:DetectStackResourceDrift	DetectStackResourceDrift	delete	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:CreateStackGroup	CreateStackGroup	create	*StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}` Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}`	无	无
ros:SignalResource	SignalResource	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:SetDeletionProtection	SetDeletionProtection	update	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:ListStackGroupOperations	ListStackGroupOperations	get	*StackGroupOperation `acs:ros:{#regionId}:{#accountId}:stackgroupoperation/{#OperationId}`	无	无
ros:ListResourceTypeRegistrations	ListResourceTypeRegistrations	get	全部资源 ``	无	无
ros:ContinueCreateStack	ContinueCreateStack	update	全部资源 ``	无	无
ros:UpdateTemplate	UpdateTemplate	update	*template `acs:ros:{#regionId}:{#accountId}:template/{#templateId}`	无	无
ros:SetResourceType	SetResourceType	update	全部资源 ``	无	无
ros:ListTagResources	ListTagResources	get	Template `acs:ros:{#regionId}:{#accountId}:template/{#TemplateId}` StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}` TemplateScratch `acs:ros:{#regionId}:{#accountId}:templatescratch/{#TemplateScratchId}` Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}`	无	无
ros:GetTemplate	GetTemplate	get	stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}` template `acs:ros:*:{#accountId}:template/{#templateId}`	无	无
ros:GetStackGroup	GetStackGroup	get	*StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName}`	无	无
ros:ListTagKeys	ListTagKeys	get	全部资源 ``	无	无
ros:GetTemplateSummary	GetTemplateSummary	get	Stack `acs:ros:{#regionId}:{#accountId}:stack/{#StackId}`	无	无
ros:GetStackDriftDetectionStatus	GetStackDriftDetectionStatus	get	*stack `acs:ros:{#regionId}:{#accountId}:stack/{#stackId}`	无	无
ros:CreateTemplate	CreateTemplate	create	Template `acs:ros:{#regionId}:{#accountId}:template/`	无	无
ros:GetResourceType	GetResourceType	get	全部资源 ``	无	无
ros:ListStackGroups	ListStackGroups	get	StackGroup `acs:ros:{#regionId}:{#accountId}:stackgroup/`	无	无

资源（Resource）

下表是资源编排定义的资源，这些资源可以在 RAM 权限策略语句的Resource元素中使用，用来授予对该资源执行具体操作的权限。其中，资源 ARN 是资源在阿里云上的唯一标识。具体说明如下：

{#}为变量标识，需要您替换为实际值。例如：{#ramcode}需要您替换为实际的云服务RAM代码。
*表示全部。例如：
- {#resourceType}为*时：表示全部资源。
- {#regionId}为*时：表示全部地域。
- {#accountId}为*时：表示全部阿里云账号。

资源类型	资源 ARN
Stack	acs:ros:{#regionId}:{#accountId}:stack/{#StackId} acs:ros:{#regionId}:{#accountId}:stack/*
Template	acs:ros:{#regionId}:{#accountId}:template/{#TemplateId} acs:ros:{#regionId}:{#accountId}:template/* acs:ros:*:{#accountId}:template/{#TemplateId}
TemplateScratch	acs:ros:{#regionId}:{#accountId}:templatescratch/{#templatescratchId} acs:ros:{#regionId}:{#accountId}:templatescratch/*
StackGroup	acs:ros:{#regionId}:{#accountId}:stackgroup/{#StackGroupName} acs:ros:{#regionId}:{#accountId}:stack_group/{#StackGroupName} acs:ros:{#regionId}:{#accountId}:stackgroup/*
stack	acs:ros:{#regionId}:{#accountId}:stack/{#stackId}
StackGroupOperation	acs:ros:{#regionId}:{#accountId}:stackgroupoperation/{#OperationId}
StackInstance	acs:ros:{#regionId}:{#accountId}:stackinstance/{#StackGroupName}/{#StackInstanceAccountId}/{#StackInstanceRegionId}
template	acs:ros:{#regionId}:{#accountId}:template/{#templateId} acs:ros:*:{#accountId}:template/{#templateId}
tag	acs:ros:{#regionId}:{#accountId}:tag/*

条件（Condition）

资源编排未定义产品级别的条件关键字。如需查看适用于所有云产品的通用条件关键字，请参见通用条件关键字。

授权信息

权限策略通用结构

操作（Action）

资源（Resource）

条件（Condition）

相关操作