Autorização RAM - ActionTrail: Central de Documentação do Alibaba Cloud

O Resource Access Management (RAM) é um serviço fornecido pela Alibaba Cloud para gerenciar identidades de usuários e permissões de acesso a recursos. O uso do RAM ajuda a evitar o compartilhamento das chaves da sua conta da Alibaba Cloud com outros usuários e permite conceder aos usuários o acesso com privilégio mínimo. O RAM usa políticas de permissão para definir autorizações. Este tópico descreve a estrutura geral de uma política RAM e os elementos de instrução de política (Action, Resource e Condition) definidos por ActionTrail para políticas de permissão RAM. O código RAM (RamCode) para ActionTrail é actiontrail , e a granularidade de autorização suportada é OPERATION .

Estrutura geral de uma política

As políticas de permissão suportam o formato JSON com a seguinte estrutura geral:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A lista a seguir descreve os campos da política:

Version: Especifica o número da versão da política. É fixo em 1.
Statement:
- Effect: Especifica o resultado da autorização. Valores válidos: Allow e Deny.
- Action: Especifica uma ou mais operações que são permitidas ou negadas.
- Resource: Especifica os objetos específicos afetados pelas operações. Você pode usar os Alibaba Cloud Resource Names (ARNs) para descrever recursos específicos.
- Condition: Especifica as condições para que a autorização entre em vigor. Este campo é opcional.
  - Operador de condição: Especifica os operadores condicionais. Diferentes tipos de condições suportam diferentes operadores condicionais.
  - Condition_key: Especifica as chaves de condição.
  - Condition_value: Especifica os valores de condição.

Action

A tabela a seguir lista as ações definidas por ActionTrail. As colunas da tabela são descritas a seguir:

Action: As ações podem ser usadas no elemento Action das instruções de política de permissão RAM para conceder permissões para realizar a operação.
API: A API que você pode chamar para realizar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para realizar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o ARN correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se apenas a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, a Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços integrados ao RAM. Para mais informações, consulte Chaves de condição comuns.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para realizar todas as ações dependentes.

Action	API	Nível de acesso	Tipo de recurso	Chave de condição	Ação dependente
actiontrail:GetAccessKeyLastUsedIps	GetAccessKeyLastUsedIps	list	All Resource ``	Nenhum	Nenhum
actiontrail:GetTrailStatus	GetTrailStatus	get	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:DescribeScenes	DescribeScenes	list	All Resource ``	Nenhum	Nenhum
actiontrail:ListDataEventServices	ListDataEventServices	get	All Resource ``	Nenhum	Nenhum
actiontrail:DeleteDataEventSelector	DeleteDataEventSelector	create	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:CreateTrail	CreateTrail	create	Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/`	Nenhum	Nenhum
actiontrail:GetDeliveryHistoryJob	GetDeliveryHistoryJob	get	*HistoryDeliveryJob `acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/{#HistoryDeliveryJobId}`	Nenhum	Nenhum
actiontrail:ListDataEventSelectors	ListDataEventSelectors	get	Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/`	Nenhum	Nenhum
actiontrail:GetAccessKeyLastUsedProducts	GetAccessKeyLastUsedProducts	list	All Resource ``	Nenhum	Nenhum
actiontrail:DeleteDeliveryHistoryJob	DeleteDeliveryHistoryJob	delete	*HistoryDeliveryJob `acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/{#HistoryDeliveryJobId}`	Nenhum	Nenhum
actiontrail:GetAccessKeyLastUsedResources	GetAccessKeyLastUsedResources	list	All Resource ``	Nenhum	Nenhum
actiontrail:EnableInsight	EnableInsight	update	All Resource ``	Nenhum	Nenhum
actiontrail:GetAccessKeyLastUsedEvents	GetAccessKeyLastUsedEvents	list	All Resource ``	Nenhum	Nenhum
actiontrail:UpdateAdvancedQueryTemplate	UpdateAdvancedQueryTemplate	update	*AdvancedQueryTemplate `acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/{#TemplateId}`	Nenhum	Nenhum
actiontrail:GetGlobalEventsStorageRegion	GetGlobalEventsStorageRegion	get	ActionTrailVirtual `acs:actiontrail::{#accountId}:actiontrailvirtual/{#ActionTrailVirtualId}`	Nenhum	Nenhum
actiontrail:UpdateGlobalEventsStorageRegion	UpdateGlobalEventsStorageRegion	update	ActionTrailVirtual `acs:actiontrail::{#accountId}:actiontrailvirtual/{#ActionTrailVirtualId}`	Nenhum	Nenhum
actiontrail:DescribeResourceLifeCycleEvents	DescribeResourceLifeCycleEvents	list	All Resource ``	Nenhum	Nenhum
actiontrail:DescribeSearchTemplates	DescribeSearchTemplates	list	All Resource ``	Nenhum	Nenhum
actiontrail:CreateAdvancedQueryHistory	CreateAdvancedQueryHistory	create	All Resource ``	Nenhum	Nenhum
actiontrail:CreateAdvancedQueryTemplate	CreateAdvancedQueryTemplate	create	AdvancedQueryTemplate `acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/`	Nenhum	Nenhum
actiontrail:LookupInsightEvents	LookupInsightEvents	list	All Resource ``	Nenhum	Nenhum
actiontrail:DescribeAdvancedQueryHistory	DescribeAdvancedQueryHistory	list	All Resource ``	Nenhum	Nenhum
actiontrail:DescribeAdvancedQueryTemplate	DescribeAdvancedQueryTemplate	list	AdvancedQueryTemplate `acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/`	Nenhum	Nenhum
actiontrail:LookupEvents	LookupEvents	get	All Resource ``	Nenhum	Nenhum
actiontrail:CreateDeliveryHistoryJob	CreateDeliveryHistoryJob	create	HistoryDeliveryJob `acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/`	Nenhum	Nenhum
actiontrail:GetInsightSelectors	GetInsightSelectors	get	All Resource ``	Nenhum	Nenhum
actiontrail:DescribeTrailDeliveryMetricData	DescribeTrailDeliveryMetricData	get	All Resource ``	Nenhum	Nenhum
actiontrail:GetDataEventSelector	GetDataEventSelector	get	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:GetGovernanceMetrics	GetGovernanceMetrics	get	All Resource ``	Nenhum	Nenhum
actiontrail:PutInsightSelectors	PutInsightSelectors	update	All Resource ``	Nenhum	Nenhum
actiontrail:GetInsightsEventsCount	GetInsightsEventsCount	get	All Resource ``	Nenhum	Nenhum
actiontrail:StopLogging	StopLogging	update	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:DescribeUserAlertCount	DescribeUserAlertCount	none	All Resource ``	Nenhum	Nenhum
actiontrail:DisableInsight	DisableInsight	none	All Resource ``	Nenhum	Nenhum
actiontrail:DeleteTrail	DeleteTrail	delete	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:GetInsightTypes	GetInsightTypes	get	All Resource ``	Nenhum	Nenhum
actiontrail:ListDeliveryHistoryJobs	ListDeliveryHistoryJobs	get	HistoryDeliveryJob `acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/`	Nenhum	Nenhum
actiontrail:DescribeUserLogCount	DescribeUserLogCount	none	All Resource ``	Nenhum	Nenhum
actiontrail:PutDataEventSelector	PutDataEventSelector	create	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:UpdateTrail	UpdateTrail	update	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:StartLogging	StartLogging	update	*Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName}`	Nenhum	Nenhum
actiontrail:GetAdvancedQueryTemplate	GetAdvancedQueryTemplate	get	*AdvancedQueryTemplate `acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/{#TemplateId}`	Nenhum	Nenhum
actiontrail:DeleteAdvancedQueryTemplate	DeleteAdvancedQueryTemplate	delete	*AdvancedQueryTemplate `acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/{#TemplateId}`	Nenhum	Nenhum
actiontrail:GetAccessKeyLastUsedInfo	GetAccessKeyLastUsedInfo	get	All Resource ``	Nenhum	Nenhum
actiontrail:DeleteAdvancedQueryHistory	DeleteAdvancedQueryHistory	delete	All Resource ``	Nenhum	Nenhum
actiontrail:DescribeTrails	DescribeTrails	get	Trail `acs:actiontrail:{#regionId}:{#accountId}:trail/`	Nenhum	Nenhum
actiontrail:DescribeUserTrailCount	DescribeUserTrailCount	none	All Resource ``	Nenhum	Nenhum

Resource

A tabela a seguir lista os recursos definidos por ActionTrail. Especifique-os no elemento Resource das instruções de política RAM para conceder permissões para operações específicas. Eles são identificados de forma exclusiva por ARNs. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: A sigla do serviço da Alibaba Cloud, que indica a nuvem pública da Alibaba Cloud.
{#ramcode}: O código usado no RAM para indicar um serviço da Alibaba Cloud.
{#regionId}: O ID da região. Se o recurso abrange todas as regiões, defina-o como um asterisco (*).
{#accountId}: O ID da conta da Alibaba Cloud. Se o recurso abrange todas as contas da Alibaba Cloud, defina-o como um asterisco (*).
{#resourceType}: O identificador de recurso definido pelo serviço. Suporta uma estrutura hierárquica, semelhante a um caminho de arquivo. Se a instrução abrange recursos globais, defina-o como um asterisco (*).

Tipo de recurso	ARN
Trail	acs:actiontrail:{#regionId}:{#accountId}:trail/{#TrailName} acs:actiontrail:{#regionId}:{#accountId}:trail/*
HistoryDeliveryJob	acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/{#HistoryDeliveryJobId} acs:actiontrail:{#regionId}:{#accountId}:historydeliveryjob/*
AdvancedQueryTemplate	acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/{#TemplateId} acs:actiontrail:{#regionId}:{#accountId}:advancedquerytemplate/*
ActionTrailVirtual	acs:actiontrail:*:{#accountId}:actiontrailvirtual/{#ActionTrailVirtualId}

Condition

ActionTrail não define chaves de condição em nível de produto. No entanto, você pode usar as chaves de condição comuns da Alibaba Cloud para controle de acesso. Para mais informações, consulte Chaves de condição comuns.

Como criar políticas RAM personalizadas?

Você pode criar políticas personalizadas e concedê-las a usuários RAM, grupos de usuários RAM ou funções RAM. Para instruções, consulte: