访问控制(RAM)是阿里云提供的管理用户身份与资源访问权限的服务。使用 RAM 可以让您避免与其他用户共享阿里云账号密钥,并可按需为用户授予最小权限。RAM 中使用权限策略描述授权的具体内容。
本文为您介绍 负载均衡 为 RAM 权限策略定义的操作(Action)、资源(Resource)和条件(Condition)。 负载均衡 的 RAM 代码(RamCode)为 nlb ,支持的授权粒度为 资源级 。
权限策略通用结构
权限策略支持 JSON 格式,其通用结构如下:
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}        各字段含义如下:
- Effect:权限策略效果。取值:Allow(允许)、Deny(拒绝)。 
- Action:授予允许或拒绝权限的具体操作。具体信息,请参见操作(Action)。 
- Resource:受操作影响的具体对象,您可以使用资源 ARN 来描述指定资源。具体信息,请参见资源(Resource)。 
- Condition:指授权生效的条件。可选字段。具体信息,请参见条件(Condition)。 - Condition_operator:条件运算符,不同类型的条件对应不同的条件运算符。具体信息,请参见权限策略基本元素。 
- Condition_key:条件关键字。 
- Condition_value:条件关键字对应的值。 
 
操作(Action)
下表是负载均衡定义的操作,这些操作可以在 RAM 权限策略语句的Action元素中使用,用来授予执行该操作的权限。下面对表中的具体项提供说明: 
- 操作:是指具体的权限点。 
- API:是指操作对应的 API 接口。 
- 访问级别:是指每个操作的访问级别,取值为写入(Write)、读取(Read)或列出(List)。 
- 资源类型:是指操作中支持授权的资源类型。具体说明如下: - 对于必选的资源类型,用前面加 * 表示。 
- 对于不支持资源级授权的操作,用 - 全部资源表示。
 
- 条件关键字:是指云产品自身定义的条件关键字。该列不体现适用于任何操作的通用条件关键字。 
- 关联操作:是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限,操作才能成功。 
| 操作 | API | 访问级别 | 资源类型 | 条件关键字 | 关联操作 | 
| nlb:DeleteHdMonitorRegionConfig | DeleteHdMonitorRegionConfig | delete | *全部资源 
 | 无 | 无 | 
| nlb:AddLoadBalancerZones | AddLoadBalancerZones | update | *全部资源 
 | 无 | 无 | 
| nlb:StartShiftLoadBalancerZones | StartShiftLoadBalancerZones | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:CreateLoadBalancer | CreateLoadBalancer | create | *LoadBalancer 
 *VSwitch 
 EipAddress 
 *VPC 
 | nlb:AddressType | 无 | 
| nlb:ListListeners | ListListeners | get | *Listener 
 | 无 | 无 | 
| nlb:DeleteSecurityPolicy | DeleteSecurityPolicy | delete | *SecurityPolicy 
 | 无 | 无 | 
| nlb:TagResources | TagResources | create | ServerGroup 
 SecurityPolicy 
 LoadBalancer 
 | 无 | 无 | 
| nlb:UpdateLoadBalancerAddressTypeConfig | UpdateLoadBalancerAddressTypeConfig | update | *LoadBalancer 
 | nlb:AddressType | 无 | 
| nlb:SetHdMonitorRegionConfig | SetHdMonitorRegionConfig | get | *全部资源 
 | 无 | 无 | 
| nlb:ListServerGroupServers | ListServerGroupServers | get | *ServerGroup 
 | 无 | 无 | 
| nlb:CreateCloneLoadBalancer | CreateCloneLoadBalancer | none | *全部资源 
 | nlb:AddressType | 无 | 
| nlb:RemoveServersFromServerGroup | RemoveServersFromServerGroup | delete | *ServerGroup 
 | 无 | 无 | 
| nlb:AttachCommonBandwidthPackageToLoadBalancer | AttachCommonBandwidthPackageToLoadBalancer | update | *LoadBalancer 
 *CommonBandwidthPackage 
 | 无 | 无 | 
| nlb:ListAsynJobs | ListAsynJobs | get | *全部资源 
 | 无 | 无 | 
| nlb:DisableLoadBalancerIpv6Internet | DisableLoadBalancerIpv6Internet | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:ListTagResources | ListTagResources | get | ServerGroup 
 LoadBalancer 
 SecurityPolicy 
 | 无 | 无 | 
| nlb:DisassociateAdditionalCertificatesWithListener | DisassociateAdditionalCertificatesWithListener | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:DeleteLoadBalancerZones | DeleteLoadBalancerZones | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:DetachCommonBandwidthPackageFromLoadBalancer | DetachCommonBandwidthPackageFromLoadBalancer | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:AddServersToServerGroup | AddServersToServerGroup | create | *ServerGroup 
 Instance 
 NetworkInterface 
 ContainerGroup 
 | 无 | 无 | 
| nlb:StopListener | StopListener | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:ListListenerCertificates | ListListenerCertificates | get | *LoadBalancer 
 | 无 | 无 | 
| nlb:EnableLoadBalancerIpv6Internet | EnableLoadBalancerIpv6Internet | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:DescribeCloneLoadBalancer | DescribeCloneLoadBalancer | none | LoadBalancer 
 | 无 | 无 | 
| nlb:UpdateServerGroupAttribute | UpdateServerGroupAttribute | update | *ServerGroup 
 | 无 | 无 | 
| nlb:GetGlobalLoadBalancerSummary | GetGlobalLoadBalancerSummary | get | *LoadBalancer 
 | 无 | 无 | 
| nlb:GetListenerHealthStatus | GetListenerHealthStatus | get | *LoadBalancer 
 | 无 | 无 | 
| nlb:DescribeHdMonitorRegionConfig | DescribeHdMonitorRegionConfig | get | *全部资源 
 | 无 | 无 | 
| nlb:DeleteLoadBalancer | DeleteLoadBalancer | delete | *LoadBalancer 
 | 无 | 无 | 
| nlb:UntagResources | UntagResources | delete | ServerGroup 
 SecurityPolicy 
 LoadBalancer 
 | 无 | 无 | 
| nlb:InitializeServiceLinkedRole | InitializeServiceLinkedRole | none | *全部资源 
 | 无 | ram:CreateServiceLinkedRole | 
| nlb:ListLoadBalancers | ListLoadBalancers | get | LoadBalancer 
 | 无 | 无 | 
| nlb:CreateListener | CreateListener | create | *ServerGroup 
 SecurityPolicy 
 *LoadBalancer 
 | nlb:ListenerProtocol nlb:SecurityPolicyId | 无 | 
| nlb:StartListener | StartListener | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:ListCloneLoadBalancerEvents | ListCloneLoadBalancerEvents | get | *全部资源 
 | 无 | 无 | 
| nlb:AssociateAdditionalCertificatesWithListener | AssociateAdditionalCertificatesWithListener | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:GetAssociatedResources | GetAssociatedResources | none | *全部资源 
 | 无 | 无 | 
| nlb:ListSecurityPolicy | ListSecurityPolicy | get | *SecurityPolicy 
 | 无 | 无 | 
| nlb:CancelShiftLoadBalancerZones | CancelShiftLoadBalancerZones | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:UpdateLoadBalancerZones | UpdateLoadBalancerZones | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:UpdateListenerAttribute | UpdateListenerAttribute | update | *LoadBalancer 
 | nlb:SecurityPolicyId | 无 | 
| nlb:UpdateSecurityPolicyAttribute | UpdateSecurityPolicyAttribute | update | *SecurityPolicy 
 | 无 | 无 | 
| nlb:GetJobStatus | GetJobStatus | get | *全部资源 
 | 无 | 无 | 
| nlb:AssociateResources | AssociateResources | none | *全部资源 
 | 无 | 无 | 
| nlb:UpdateServerGroupServersAttribute | UpdateServerGroupServersAttribute | update | *ServerGroup 
 | 无 | 无 | 
| nlb:MoveResourceGroup | MoveResourceGroup | update | *LoadBalancer 
 *SecurityPolicy 
 *ServerGroup 
 | 无 | 无 | 
| nlb:GetListenerAttribute | GetListenerAttribute | get | *LoadBalancer 
 | 无 | 无 | 
| nlb:UpdateLoadBalancerAttribute | UpdateLoadBalancerAttribute | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:CreateSecurityPolicy | CreateSecurityPolicy | create | *SecurityPolicy 
 | 无 | 无 | 
| nlb:CreateServerGroup | CreateServerGroup | create | *ServerGroup 
 *VPC 
 | 无 | 无 | 
| nlb:ListServerGroups | ListServerGroups | get | ServerGroup 
 ServerGroup 
 | 无 | 无 | 
| nlb:LoadBalancerJoinSecurityGroup | LoadBalancerJoinSecurityGroup | update | *LoadBalancer 
 *SecurityGroup 
 | 无 | 无 | 
| nlb:UpdateLoadBalancerProtection | UpdateLoadBalancerProtection | update | *LoadBalancer 
 | 无 | 无 | 
| nlb:LoadBalancerLeaveSecurityGroup | LoadBalancerLeaveSecurityGroup | update | *LoadBalancer 
 *SecurityGroup 
 | 无 | 无 | 
| nlb:GetLoadBalancerAttribute | GetLoadBalancerAttribute | get | *LoadBalancer 
 | 无 | 无 | 
| nlb:DeleteServerGroup | DeleteServerGroup | delete | *ServerGroup 
 | 无 | 无 | 
| nlb:DeleteListener | DeleteListener | delete | *LoadBalancer 
 | 无 | 无 | 
资源(Resource)
下表是负载均衡定义的资源,这些资源可以在 RAM 权限策略语句的Resource元素中使用,用来授予对该资源执行具体操作的权限。 其中,资源 ARN 是资源在阿里云上的唯一标识。具体说明如下: 
- {#}为变量标识,需要您替换为实际值。例如:- {#ramcode}需要您替换为实际的云服务RAM代码。
- *表示全部。例如:- {#resourceType}为- *时:表示全部资源。
- {#regionId}为- *时:表示全部地域。
- {#accountId}为- *时:表示全部阿里云账号。
 
| 资源类型 | 资源 ARN | 
| HdMonitorRegionConfig | 
 | 
| LoadBalancer | 
 | 
| VSwitch | 
 | 
| Address | 
 | 
| EipAddress | 
 | 
| VPC | 
 | 
| Listener | 
 | 
| SecurityPolicy | 
 | 
| ServerGroup | 
 | 
| CommonBandwidthPackage | 
 | 
| Instance | 
 | 
| NetworkInterface | 
 | 
| ContainerGroup | 
 | 
| SecurityGroup | 
 | 
条件(Condition)
下表是负载均衡 定义的产品级条件关键字,这些条件关键字可以在 RAM 权限策略语句的Condition元素中使用,用来描述授予权限的条件。以下仅列举产品级的条件关键字,阿里云定义的通用条件关键字也同样适用负载均衡。
其中,数据类型决定了您可以使用哪些条件运算符将请求中的值与权限策略语句中的值进行比较。您必须使用与数据类型匹配的条件运算符,否则无法匹配策略语句,授权行为无效。数据类型与条件运算符的对应关系,请参见条件操作类型。
| 条件关键字 | 描述 | 类型 | 
| nlb:ListenerProtocol | 网络型负载均衡监听协议 | String | 
| nlb:AddressType | 网络型负载均衡IPv4 地址类型 | String | 
| nlb:SecurityPolicyId | 网络型负载均衡安全策略 | String | 
相关操作
您可以创建自定义权限策略,并将权限策略授予 RAM 用户、RAM 用户组或 RAM 角色。具体操作如下: