短信服务自定义权限策略示例-短信服务(SMS)-阿里云帮助中心

如果系统权限策略不能满足您的要求，您可以创建自定义权限策略实现最小授权。使用自定义权限策略有助于实现权限的精细化管控，是提升资源访问安全的有效手段。本文介绍短信服务使用自定义权限策略的场景和策略示例。

什么是自定义权限策略

在基于RAM的访问控制体系中，自定义权限策略是指在系统权限策略之外，您可以自主创建、更新和删除的权限策略。自定义权限策略的版本更新需由您来维护。

创建自定义权限策略后，需为RAM用户、用户组或RAM角色绑定权限策略，这些RAM身份才能获得权限策略中指定的访问权限。
已创建的权限策略支持删除，但删除前需确保该策略未被引用。如果该权限策略已被引用，您需要在该权限策略的引用记录中移除授权。
自定义权限策略支持版本控制，您可以按照RAM规定的版本管理机制来管理您创建的自定义权限策略版本。

操作文档

自定义权限策略示例

创建自定义权限策略的操作步骤：

登录 RAM 控制台。
在左侧导航栏，选择权限管理 > 权限策略。
单击创建权限策略。
选择脚本编辑页签，粘贴策略 JSON。
单击确定。

示例1：IP白名单权限策略配置

输入IP白名单权限策略内容。例如，只允许192.0.2.0/24的IP访问，且只能访问名为SendSms的API方法。脚本配置如下：

说明

acs:SourceIp的取值如果是单个IP地址，请写明具体的IP地址，不可以使用该IP地址的IP地址段形式xx.xx.xx.xx/32。例如：10.0.0.1不可以写为10.0.0.1/32。

如果不需要限制条件请去掉“Condition{}”相关内容并去掉"Resource"：[]后的“，”，条件检查策略不支持使用类似“*”或“0.0.0.0”等写法。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["dysms:SendSms"],
      "Resource": ["*"],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": ["192.0.2.0/24"]
        }
      }
    }
  ]
}

示例2：IP黑名单权限策略配置

输入IP黑名单的策略内容。例如：不允许192.0.2.1访问名为SendSms的API方法。脚本配置如下：

说明

acs:SourceIp的取值如果是IP地址段，请使用该IP地址的IP地址段形式xx.xx.xx.xx/32。例如10.0.0.1/32。

如果不需要限制条件请去掉“Condition{}”相关内容并去掉"Resource"：[]后的“，”，条件检查策略不支持使用类似“*”或“0.0.0.0”等写法。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["dysms:SendSms"],
      "Resource": ["*"],
      "Condition": {
        "NotIpAddress": {
          "acs:SourceIp": ["192.0.2.1"]
        }
      }
    }
  ]
}

示例3：安全信道权限策略（HTTPS）配置

开启安全信道权限策略（HTTPS）的策略内容。脚本配置如下：

重要

配置此安全策略后，将禁止非安全策略（HTTP）请求的访问。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "dysms:*",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "acs:SecureTransport": ["true"]
        }
      }
    }
  ]
}

示例4：多接口调用权限策略配置

多接口调用权限策略配置，例如，只允许访问SendSms和SendBatchSms的API方法。脚本配置如下：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dysms:SendSms",
        "dysms:SendBatchSms"
      ],
      "Resource": "*"
    }
  ]
}

示例 5：仅发送短信的最小权限策略

仅授予调用 SendSms API 的权限，适用于仅需发送短信验证码或通知的 RAM 子账号。脚本配置如下：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "dysms:SendSms",
      "Resource": "*"
    }
  ]
}

RAM 子账号仅需此权限即可调用 SendSms API 发送短信，无需授予 PowerUserAccess 超级权限。如需管理短信服务全部功能，授予 AliyunDysmsFullAccess 系统策略即可。该策略仅允许调用 SendSms 发送短信，不允许调用 QuerySendDetails（查询发送详情）等其他操作。

授权信息参考

使用自定义权限策略，您需要了解业务的权限管控需求，并了解短信服务的授权信息。详细内容请参见授权信息。