使用标签限制 RAM 用户管理 VPC

前往RAM控制台，创建RAM用户。

为 VPC 绑定标签：前往VPC 控制台，将鼠标悬停在目标 VPC 标签列的图标，单击气泡框中的绑定或编辑。

• VPC-A：department:finance。

• VPC-B：department:hr。

在RAM控制台，创建自定义权限策略VpcTagAccessPolicy。

本示例中为 VPC 和交换机使用了不同的标签键：

• department:finance用于acs:ResourceTag条件：控制可以在哪个VPC下操作。

• env:prod用于acs:RequestTag条件：控制创建子资源时必须携带的标签。

在实际使用中，您也可以为两者使用相同的标签键，根据业务需要灵活配置。

{
  "Version": "1",
  "Statement": [
    {
      // Statement 1：仅允许在绑定了标签 department:finance 的VPC中创建交换机和网络ACL。
      // 使用 acs:ResourceTag，检查被操作的VPC（父资源）上是否绑定了指定标签。
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVSwitch",
        "vpc:CreateNetworkAcl"
      ],
      "Resource": "acs:vpc:*:*:vpc/*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceTag/department": [
            "finance"
          ]
        }
      }
    },
    {
      // Statement 2：创建交换机时，请求中必须携带标签 env:prod。
      // 使用 acs:RequestTag，检查API请求参数中是否包含指定标签。
      "Effect": "Allow",
      "Action": [
        "vpc:CreateVSwitch"
      ],
      "Resource": "acs:vpc:*:*:vswitch/*",
      "Condition": {
        "StringEquals": {
          "acs:RequestTag/env": [
            "prod"
          ]
        }
      }
    },
    {
      // Statement 3：创建网络ACL时，请求中必须携带标签 env:prod。
      // 同样使用 acs:RequestTag。
      "Effect": "Allow",
      "Action": [
        "vpc:CreateNetworkAcl"
      ],
      "Resource": "acs:vpc:*:*:networkacl/*",
      "Condition": {
        "StringEquals": {
          "acs:RequestTag/env": [
            "prod"
          ]
        }
      }
    },
    {
      // Statement 4：仅允许修改和删除绑定了标签 env:prod 的交换机和网络ACL。
      // 使用 acs:ResourceTag，检查被操作的子资源上是否绑定了指定标签。
      "Effect": "Allow",
      "Action": [
        "vpc:ModifyVSwitchAttribute",
        "vpc:DeleteVSwitch",
        "vpc:ModifyNetworkAclAttributes",
        "vpc:DeleteNetworkAcl"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceTag/env": [
            "prod"
          ]
        }
      }
    },
    {
      // Statement 5：允许查看VPC相关资源的信息（无条件限制）。
      "Effect": "Allow",
      "Action": [
        "vpc:Describe*",
        "vpc:List*"
      ],
      "Resource": "*"
    },
    {
      // Statement 6：（推荐）显式禁止标签操作。虽然本策略未授予标签权限（隐式拒绝已生效），
      // 但显式 Deny 可防止后续添加其他策略（如 vpc:）时意外授予标签修改权限。
      // 创建资源时通过 Create 类API的 Tag 参数指定标签，由Statement 2授权允许，不受Statement 6影响。
      "Effect": "Deny",
      "Action": [
        "vpc:TagResources",
        "vpc:UnTagResources"
      ],
      "Resource": "*"
    }
  ]
}

为RAM用户授权： 资源范围选择账号级别，授权主体选择需要添加权限的RAM用户，权限策略选择自定义策略VpcTagAccessPolicy。

调用CreateUser创建 RAM 用户。

调用TagResources为 VPC 创建并绑定标签。

调用CreatePolicy创建自定义权限策略。

调用AttachPolicyToUser为 RAM 用户授权。