Function Compute:Politiques et exemples de politiques

Dans RAM, une politique est un ensemble de permissions définies selon la Structure et syntaxe des politiques. Une politique définit avec précision l'ensemble des ressources autorisées, l'ensemble des actions et les conditions d'autorisation. Les politiques pour Function Compute incluent les types suivants :

• Politiques système : Alibaba Cloud crée et met à jour les politiques système. Vous pouvez utiliser ces politiques, mais vous ne pouvez pas les modifier.

• Politiques personnalisées : Vous pouvez créer, mettre à jour et supprimer des politiques personnalisées. Vous devez gérer les versions de ces politiques.

Les éléments suivants répertorient les politiques système par type :

• Politiques système pour Function Compute

  Nom de la politique	Description
  AliyunFCReadOnlyAccess	Autorisations en lecture seule sur toutes les ressources Function Compute.
  AliyunFCInvocationAccess	Autorisations permettant d'invoquer des fonctions.
  AliyunFCFullAccess	Autorisations permettant de gérer toutes les ressources Function Compute.

  Remarque

  La politique AliyunFCFullAccess inclut les autorisations des politiques AliyunFCInvocationAccess et AliyunFCReadOnlyAccess. Une fois la politique AliyunFCFullAccess attachée à un utilisateur RAM, il n'est pas nécessaire de lui attacher également les politiques AliyunFCInvocationAccess ou AliyunFCReadOnlyAccess.

• Politiques système pour d'autres services Alibaba Cloud

  Service Alibaba Cloud	Politique système
  Simple Log Service	AliyunLogReadOnlyAccess : autorisations en lecture seule sur les ressources Simple Log Service. AliyunLogFullAccess : autorisations permettant de gérer les ressources Simple Log Service. Remarque Pour accéder à Simple Log Service en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunLogReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  Object Storage Service (OSS)	AliyunOSSReadOnlyAccess : autorisations en lecture seule sur les ressources OSS. AliyunOSSFullAccess : autorisations permettant de gérer les ressources OSS.
  CloudMonitor	AliyunCloudMonitorReadOnlyAccess : autorisations en lecture seule sur les ressources CloudMonitor.
  Certificate Management Service	AliyunYundunCertReadOnlyAccess : autorisations en lecture seule sur les ressources Certificate Management Service.
  Virtual Private Cloud (VPC)	AliyunVPCReadOnlyAccess : autorisations en lecture seule sur les ressources VPC.
  Elastic Compute Service (ECS)	AliyunECSReadOnlyAccess : autorisations en lecture seule sur les ressources ECS.
  RAM	AliyunRAMReadOnlyAccess : autorisations en lecture seule sur les ressources RAM, y compris la consultation des utilisateurs, des groupes et des informations d'autorisation. AliyunRAMFullAccess : autorisations permettant de gérer les ressources RAM, y compris la gestion des utilisateurs et l'octroi d'autorisations. Remarque Si vous n'attachez que la politique AliyunRAMReadOnlyAccess à un utilisateur RAM, celui-ci ne pourra obtenir que la liste des rôles dans la console. Pour effectuer d'autres opérations en tant qu'utilisateur RAM, vous devez lui attacher la politique AliyunRAMFullAccess.
  Application Real-Time Monitoring Service (ARMS)	AliyunARMSReadOnlyAccess : autorisations en lecture seule sur les ressources ARMS. AliyunARMSFullAccess : autorisations permettant de gérer les ressources ARMS. Remarque Pour accéder à ARMS en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunARMSReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  Simple Message Queue (formerly MNS)	AliyunMNSReadOnlyAccess : autorisations en lecture seule sur les ressources Simple Message Queue (formerly MNS). AliyunMNSFullAccess : autorisations permettant de gérer les ressources Simple Message Queue (formerly MNS). Remarque Pour accéder à Simple Message Queue (formerly MNS) en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunMNSReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.Simple Message Queue (formerly MNS)
  EventBridge	AliyunEventBridgeReadOnlyAccess : autorisations en lecture seule sur les ressources EventBridge. AliyunEventBridgeFullAccess : autorisations permettant de gérer les ressources EventBridge. Remarque Pour accéder à EventBridge en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunEventBridgeReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  ApsaraMQ for RocketMQ	AliyunMQReadOnlyAccess : autorisations en lecture seule sur les ressources ApsaraMQ for RocketMQ. AliyunMQFullAccess : autorisations permettant de gérer les ressources ApsaraMQ for RocketMQ. Remarque Pour accéder à ApsaraMQ for RocketMQ en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunMQReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  Container Registry	AliyunContainerRegistryReadOnlyAccess : autorisations en lecture seule sur les ressources Container Registry. AliyunContainerRegistryFullAccess : autorisations permettant de gérer les ressources Container Registry. Remarque Pour accéder à Container Registry en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunContainerRegistryReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  File Storage NAS (NAS)	AliyunNASReadOnlyAccess : autorisations en lecture seule sur les ressources NAS. AliyunNASFullAccess : autorisations permettant de gérer les ressources NAS. Remarque Pour accéder à NAS en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunNASReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  ApsaraDB RDS	AliyunRDSReadOnlyAccess : autorisations en lecture seule sur les ressources ApsaraDB RDS. AliyunRDSFullAccess : autorisations permettant de gérer les ressources ApsaraDB RDS. Remarque Pour accéder à ApsaraDB RDS en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunRDSReadOnlyAccess à l'utilisateur RAM, conformément au principe du moindre privilège.
  Alibaba Cloud DevOps	AliyunRDCReadOnlyAccess : autorisations en lecture seule sur les ressources Apsara DevOps RDC. AliyunRDCFullAccess : autorisations permettant de gérer les ressources Apsara DevOps RDC. Remarque Pour accéder à ApsaraDB RDS en tant qu'utilisateur RAM, il suffit d'attacher la politique AliyunRDCReadOnlyAccesss à l'utilisateur RAM, conformément au principe du moindre privilège.

 {
        "Statement": [
            {
                "Action": [
                    "ram:PassRole"
                ],
                "Effect": "Allow",
                "Resource": "*"
            }
        ],
        "Version": "1"
    }

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "fc:InvokeFunction"
            ],
            "Resource": "acs:fc:cn-hangzhou:*:functions/demo",
            "Effect": "Allow"
        }
    ]
}

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"fc:CreateFunction",
				"fc:GetFunction",
				"fc:InvokeFunction"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": [
				"ram:PassRole"
			],
			"Effect": "Allow",
			"Resource": "*"
		}
	]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:ListProject",
                "log:ListLogStore"
            ],
            "Resource": "acs:log:*:*:project/*"
        }
    ]
}

{
  "Statement": [
    {
      "Action": [
        "oss:ListBucket",
        "oss:GetBucketEventNotification",
        "oss:PutBucketEventNotification",
        "oss:DeleteBucketEventNotification"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceInternetAccess": "true"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceInternetAccess": "false"
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceSLSLogging": "false"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceSLSLogging": "true"
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerInternet=true]'"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerAnonymous=true]'"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:CreateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    },
    {
      "Action": "fc:UpdateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateCustomDomain' on resource 'acs:fc:xxx:xxx:custom-domains/xxx' with condition '[fc:EnableCustomDomainHTTP=true]'"
}