配置访问权限

知识存储

记忆存储

知识存储

知识存储资源支持三个授权层级，从粗到细如下。

资源关键字 knowledgebase 和 subspace 为固定值；$knowledgeBaseName 与 $subspace 取自请求中的同名字段。鉴权层级按以下规则确定：

• 请求未携带 knowledgeBaseName（典型如列举类操作）时，按实例级 .../instance/$instanceName/* 鉴权。

• 请求携带单个 subspace 时按子空间级鉴权；一次请求涉及多个 subspace 时，回退到所属知识存储级 .../knowledgebase/$knowledgeBaseName 鉴权。

• 如需放开某个知识存储下的全部子空间，使用通配符 .../knowledgebase/$knowledgeBaseName/subspace/*，或直接授权到知识存储级（其覆盖范围包含全部子空间）。

记忆存储

记忆存储资源支持三个授权层级，从粗到细如下。

资源关键字 memorystore、appid、tenantid、agentid、runid 为固定值；$memoryStoreName 取自请求中的同名字段，$appId、$tenantId、$agentId、$runId 取自请求 scope 中的对应字段。请求未携带 memoryStoreName 时，按实例级 .../instance/$instanceName/* 鉴权。

范围（scope）默认值

请求携带 scope 但未指定其中某个字段时，该字段在鉴权资源中取默认值 __default__。例如请求 scope 仅指定 appId=app_a，鉴权资源拼接为：

acs:ots:$region:$accountId:instance/$instanceName/memorystore/$memoryStoreName/appid/app_a/tenantid/__default__/agentid/__default__/runid/__default__

在 RAM Policy 中放开某些范围维度时，必须使用通配符 *（如 .../agentid/*/runid/*）显式占位，不可省略对应层级，否则将匹配到 __default__ 而非全部值。

只读访问指定知识存储

以下策略允许对知识存储 product_docs_kb 进行检索与查询，禁止任何写操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:DescribeKnowledgeBase",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:ListChunks",
        "ots:Retrieve"
      ],
      "Resource": [
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb",
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/*"
      ]
    }
  ]
}

按子空间隔离知识库写权限

以下策略允许对知识存储 product_docs_kb 的子空间 team_a 进行文档与切片的读写，其他子空间不受影响。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddDocuments",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:UpdateDocument",
        "ots:DeleteDocuments",
        "ots:ListChunks",
        "ots:UpdateChunks",
        "ots:Retrieve"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/team_a"
    }
  ]
}

按应用维度隔离记忆访问

以下策略允许对记忆存储 agent_mem 中 appId=app_a 的全部记忆（不限 tenant、agent、run）进行读写，其他 appId 的记忆不可访问。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddMemories",
        "ots:SearchMemories",
        "ots:ListMemories",
        "ots:GetMemory",
        "ots:UpdateMemory",
        "ots:DeleteMemory"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/memorystore/agent_mem/appid/app_a/tenantid/*/agentid/*/runid/*"
    }
  ]
}

未限定的 tenantid、agentid、runid 必须用 * 显式放开，不可省略，原因见上文范围（scope）默认值说明。

实例内全权管理

以下策略允许对实例 myinstance 下所有相关资源执行全部操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:*KnowledgeBase",
        "ots:*Document*",
        "ots:*Chunks",
        "ots:Retrieve",
        "ots:*Memory*"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/*"
    }
  ]
}