Tablestore:Configure access permissions

Knowledge Storage

Memory Storage

acs:ots:$region:$accountId:instance/$instanceName/<resource path>

Knowledge Storage

Les ressources Knowledge Storage prennent en charge trois niveaux d'autorisation, du plus grossier au plus fin, comme suit.

Les mots-clés de ressource knowledgebase et subspace sont des valeurs fixes. $knowledgeBaseName et $subspace sont extraits des champs portant le même nom dans la requête. Le niveau d'autorisation est déterminé par les règles suivantes :

• Lorsque la requête ne contient pas knowledgeBaseName (généralement une opération de liste), l'autorisation est appliquée au niveau de l'instance .../instance/$instanceName/*.

• Lorsque la requête contient un seul subspace, l'autorisation est appliquée au niveau du sous-espace. Lorsqu'une seule requête implique plusieurs sous-espaces, l'autorisation revient au niveau de la base de connaissances parente .../knowledgebase/$knowledgeBaseName.

• Pour autoriser l'accès à tous les sous-espaces sous une base de connaissances, utilisez le caractère générique .../knowledgebase/$knowledgeBaseName/subspace/*, ou autorisez au niveau de la base de connaissances (ce qui couvre tous les sous-espaces).

Memory Storage

Les ressources Memory Storage prennent en charge trois niveaux d'autorisation, du plus grossier au plus fin, comme suit.

Les mots-clés de ressource memorystore, appid, tenantid, agentid et runid sont des valeurs fixes. $memoryStoreName est extrait du champ portant le même nom dans la requête, tandis que $appId, $tenantId, $agentId et $runId sont extraits des champs correspondants de la requête scope. Lorsque la requête ne contient pas memoryStoreName, l'autorisation est appliquée au niveau de l'instance .../instance/$instanceName/*.

Valeurs par défaut de la portée

Lorsque la requête contient scope mais omet un champ donné, ce champ prend par défaut la valeur __default__ dans la ressource d'autorisation. Par exemple, si le scope de la requête spécifie uniquement appId=app_a, la ressource d'autorisation est construite comme suit :

acs:ots:$region:$accountId:instance/$instanceName/memorystore/$memoryStoreName/appid/app_a/tenantid/__default__/agentid/__default__/runid/__default__

Lorsque vous laissez certaines dimensions de portée non restreintes dans une politique RAM, vous devez utiliser le caractère générique * (par exemple, .../agentid/*/runid/*) comme espace réservé explicite. N'omettez pas le niveau correspondant, sinon il correspondra à __default__ plutôt qu'à toutes les valeurs.

Accès en lecture seule à une base de connaissances spécifique

La politique suivante autorise la récupération et les requêtes sur la base de connaissances product_docs_kb et refuse toutes les opérations d'écriture.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:DescribeKnowledgeBase",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:ListChunks",
        "ots:Retrieve"
      ],
      "Resource": [
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb",
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/*"
      ]
    }
  ]
}

Isolation de l'accès en écriture par sous-espace

La politique suivante autorise les opérations de lecture et d'écriture sur les documents et les chunks au sein du sous-espace team_a de la base de connaissances product_docs_kb. Les autres sous-espaces ne sont pas affectés.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddDocuments",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:UpdateDocument",
        "ots:DeleteDocuments",
        "ots:ListChunks",
        "ots:UpdateChunks",
        "ots:Retrieve"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/team_a"
    }
  ]
}

Isolation de l'accès à la mémoire par application

La politique suivante autorise l'accès en lecture et en écriture à toutes les mémoires avec appId=app_a dans le magasin de mémoire agent_mem (quel que soit le locataire, l'agent et l'exécution). Les mémoires des autres appIds ne sont pas accessibles.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddMemories",
        "ots:SearchMemories",
        "ots:ListMemories",
        "ots:GetMemory",
        "ots:UpdateMemory",
        "ots:DeleteMemory"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/memorystore/agent_mem/appid/app_a/tenantid/*/agentid/*/runid/*"
    }
  ]
}

Les dimensions tenantid, agentid et runid non restreintes doivent être explicitement ouvertes avec * et ne peuvent pas être omises. Pour la raison, voir la note sur les valeurs par défaut de la portée ci-dessus.

Administration complète au sein d'une instance

La politique suivante autorise toutes les opérations sur toutes les ressources associées sous l'instance myinstance.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:*KnowledgeBase",
        "ots:*Document*",
        "ots:*Chunks",
        "ots:Retrieve",
        "ots:*Memory*"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/*"
    }
  ]
}