Autorização RAM - Function Compute: Central de Documentação do Alibaba Cloud

O Resource Access Management (RAM) é um serviço fornecido pela Alibaba Cloud para gerenciar identidades de usuários e permissões de acesso a recursos. O uso do RAM ajuda a evitar o compartilhamento das chaves da sua conta da Alibaba Cloud com outros usuários e permite conceder aos usuários o acesso com privilégio mínimo. O RAM usa políticas de permissão para definir autorizações. Este tópico descreve a estrutura geral de uma política RAM e os elementos de instrução de política (Action, Resource e Condition) definidos por Function Compute para políticas de permissão RAM. O código RAM (RamCode) para Function Compute é fc , e a granularidade de autorização suportada é RESOURCE .

Estrutura geral de uma política

As políticas de permissão suportam o formato JSON com a seguinte estrutura geral:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A lista a seguir descreve os campos da política:

Version: Especifica o número da versão da política. É fixo em 1.
Statement:
- Effect: Especifica o resultado da autorização. Valores válidos: Allow e Deny.
- Action: Especifica uma ou mais operações que são permitidas ou negadas.
- Resource: Especifica os objetos específicos afetados pelas operações. Você pode usar os Alibaba Cloud Resource Names (ARNs) para descrever recursos específicos.
- Condition: Especifica as condições para que a autorização entre em vigor. Este campo é opcional.
  - Operador de condição: Especifica os operadores condicionais. Diferentes tipos de condições suportam diferentes operadores condicionais.
  - Condition_key: Especifica as chaves de condição.
  - Condition_value: Especifica os valores de condição.

Action

A tabela a seguir lista as ações definidas por Function Compute. As colunas da tabela são descritas a seguir:

Action: As ações podem ser usadas no elemento Action das instruções de política de permissão RAM para conceder permissões para realizar a operação.
API: A API que você pode chamar para realizar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para realizar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o ARN correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se apenas a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, a Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços integrados ao RAM. Para mais informações, consulte Chaves de condição comuns.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para realizar todas as ações dependentes.

Action	API	Nível de acesso	Tipo de recurso	Chave de condição	Ação dependente
fc:ListFunctionVersions	ListFunctionVersions	list	All Resource ``	Nenhum	Nenhum
fc:GetSession	GetSession	get	All Resource ``	Nenhum	Nenhum
fc:UpdateCustomDomain	UpdateCustomDomain	update	All Resource ``	Nenhum	Nenhum
fc:ListVpcBindings	ListVpcBindings	list	All Resource ``	Nenhum	Nenhum
fc:CreateCustomDomain	CreateCustomDomain	create	All Resource ``	Nenhum	Nenhum
fc:DeleteSession	DeleteSession	delete	All Resource ``	Nenhum	Nenhum
fc:PutFunctionAsyncInvokeConfig	PutAsyncInvokeConfig	create	All Resource ``	Nenhum	Nenhum
fc:DisableFunctionInvocation	DisableFunctionInvocation	update	*Function `acs:fc:{#regionId}:{#accountId}:functions/{#FunctionName}`	Nenhum	Nenhum
fc:ResumeSession	ResumeSession	update	All Resource ``	Nenhum	Nenhum
fc:DeleteConcurrencyConfig	DeleteConcurrencyConfig	delete	All Resource ``	Nenhum	Nenhum
fc:CreateVpcBinding	CreateVpcBinding	create	All Resource ``	Nenhum	Nenhum
fc:PublishFunctionVersion	PublishFunctionVersion	create	All Resource ``	Nenhum	Nenhum
fc:ListScalingConfigs	ListScalingConfigs	list	All Resource ``	Nenhum	Nenhum
fc:DeleteVpcBinding	DeleteVpcBinding	delete	All Resource ``	Nenhum	Nenhum
fc:CreateFunction	CreateFunction	create	All Resource ``	Nenhum	Nenhum
fc:GetLayerVersion	GetLayerVersion	get	All Resource ``	Nenhum	Nenhum
fc:ListTagResources	ListTagResources	list	All Resource ``	Nenhum	Nenhum
fc:CreateAlias	CreateAlias	create	All Resource ``	Nenhum	Nenhum
fc:GetFunctionAsyncInvokeConfig	GetAsyncInvokeConfig	get	All Resource ``	Nenhum	Nenhum
fc:GetTrigger	GetTrigger	get	All Resource ``	Nenhum	Nenhum
fc:GetFunctionCode	GetFunctionCode	get	All Resource ``	Nenhum	Nenhum
fc:CreateTrigger	CreateTrigger	create	All Resource ``	Nenhum	Nenhum
fc:DeleteLayerVersion	DeleteLayerVersion	delete	All Resource ``	Nenhum	Nenhum
fc:DeleteAlias	DeleteAlias	delete	All Resource ``	Nenhum	Nenhum
fc:DeleteFunctionAsyncInvokeConfig	DeleteAsyncInvokeConfig	delete	All Resource ``	Nenhum	Nenhum
fc:GetScalingConfig	GetScalingConfig	get	All Resource ``	Nenhum	Nenhum
fc:ChangeResourceGroup	ChangeResourceGroup	update	*Function `acs:fc:{#regionId}:{#accountId}:functions/{#FunctionName}`	Nenhum	Nenhum
fc:DeleteCustomDomain	DeleteCustomDomain	delete	*CustomDomain `acs:fc:{#regionId}:{#accountId}:custom-domains/{#domainName}`	Nenhum	Nenhum
fc:DeleteScalingConfig	DeleteScalingConfig	delete	All Resource ``	Nenhum	Nenhum
fc:DeleteProvisionConfig	DeleteProvisionConfig	delete	All Resource ``	Nenhum	Nenhum
fc:TagResources	TagResources	create	All Resource ``	Nenhum	Nenhum
fc:PutScalingConfig	PutScalingConfig	update	All Resource ``	Nenhum	Nenhum
fc:GetFunction	GetFunction	get	All Resource ``	Nenhum	Nenhum
fc:PutConcurrencyConfig	PutConcurrencyConfig	create	All Resource ``	Nenhum	Nenhum
fc:InvokeFunction	InvokeFunction	create	All Resource ``	Nenhum	Nenhum
fc:ListProvisionConfigs	ListProvisionConfigs	list	All Resource ``	Nenhum	Nenhum
fc:UpdateSession	UpdateSession	update	All Resource ``	Nenhum	Nenhum
fc:UpdateAlias	UpdateAlias	update	All Resource ``	Nenhum	Nenhum
fc:ListFunctions	ListFunctions	list	All Resource ``	Nenhum	Nenhum
fc:DeleteSnapshot	DeleteSnapshot	delete	All Resource ``	Nenhum	Nenhum
fc:ListSessions	ListSessions	list	All Resource ``	Nenhum	Nenhum
fc:GetLayerVersionByArn	GetLayerVersionByArn	get	All Resource ``	Nenhum	Nenhum
fc:CreateSession	CreateSession	create	All Resource ``	Nenhum	Nenhum
fc:DeleteFunctionVersion	DeleteFunctionVersion	delete	All Resource ``	Nenhum	Nenhum
fc:StopAsyncTask	StopAsyncTask	update	All Resource ``	Nenhum	Nenhum
fc:GetAlias	GetAlias	get	All Resource ``	Nenhum	Nenhum
fc:UpdateFunction	UpdateFunction	update	All Resource ``	Nenhum	Nenhum
fc:ListLayers	ListLayers	list	All Resource ``	Nenhum	Nenhum
fc:ListInstances	ListInstances	list	All Resource ``	Nenhum	Nenhum
fc:ListTriggers	ListTriggers	list	All Resource ``	Nenhum	Nenhum
fc:GetAsyncTask	GetAsyncTask	get	All Resource ``	Nenhum	Nenhum
fc:ListConcurrencyConfigs	ListConcurrencyConfigs	list	All Resource ``	Nenhum	Nenhum
fc:CreateLayerVersion	CreateLayerVersion	create	All Resource ``	Nenhum	Nenhum
fc:ListFunctionAsyncInvokeConfigs	ListAsyncInvokeConfigs	list	All Resource ``	Nenhum	Nenhum
fc:UpdateTrigger	UpdateTrigger	update	All Resource ``	Nenhum	Nenhum
fc:CreateSnapshot	CreateSnapshot	create	All Resource ``	Nenhum	Nenhum
fc:GetSnapshot	GetSnapshot	get	All Resource ``	Nenhum	Nenhum
fc:GetConcurrencyConfig	GetConcurrencyConfig	get	All Resource ``	Nenhum	Nenhum
fc:ListLayerVersions	ListLayerVersions	list	All Resource ``	Nenhum	Nenhum
fc:ListAsyncTasks	ListAsyncTasks	list	All Resource ``	Nenhum	Nenhum
fc:PutLayerACL	PutLayerACL	update	All Resource ``	Nenhum	Nenhum
fc:ListAliases	ListAliases	list	All Resource ``	Nenhum	Nenhum
fc:DeleteTrigger	DeleteTrigger	delete	All Resource ``	Nenhum	Nenhum
fc:PauseSession	PauseSession	update	All Resource ``	Nenhum	Nenhum
fc:GetProvisionConfig	GetProvisionConfig	get	All Resource ``	Nenhum	Nenhum
fc:EnableFunctionInvocation	EnableFunctionInvocation	update	*Function `acs:fc:{#regionId}:{#accountId}:functions/{#FunctionName}`	Nenhum	Nenhum
fc:DeleteFunction	DeleteFunction	delete	All Resource ``	Nenhum	Nenhum
fc:GetCustomDomain	GetCustomDomain	get	All Resource ``	Nenhum	Nenhum
fc:ListCustomDomains	ListCustomDomains	list	All Resource ``	Nenhum	Nenhum
fc:UntagResources	UntagResources	delete	All Resource ``	Nenhum	Nenhum
fc:ListSnapshots	ListSnapshots	list	All Resource ``	Nenhum	Nenhum
fc:PutProvisionConfig	PutProvisionConfig	create	All Resource ``	Nenhum	Nenhum

Resource

A tabela a seguir lista os recursos definidos por Function Compute. Especifique-os no elemento Resource das instruções de política RAM para conceder permissões para operações específicas. Eles são identificados de forma exclusiva por ARNs. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: A sigla do serviço da Alibaba Cloud, que indica a nuvem pública da Alibaba Cloud.
{#ramcode}: O código usado no RAM para indicar um serviço da Alibaba Cloud.
{#regionId}: O ID da região. Se o recurso abrange todas as regiões, defina-o como um asterisco (*).
{#accountId}: O ID da conta da Alibaba Cloud. Se o recurso abrange todas as contas da Alibaba Cloud, defina-o como um asterisco (*).
{#resourceType}: O identificador de recurso definido pelo serviço. Suporta uma estrutura hierárquica, semelhante a um caminho de arquivo. Se a instrução abrange recursos globais, defina-o como um asterisco (*).

Tipo de recurso	ARN
Function	acs:fc:{#regionId}:{#accountId}:functions/{#FunctionName}
ScalingConfig	acs:fc:*:{#accountId}:scalingconfig/{#FunctionName}/{#Qualifier}
CustomDomain	acs:fc:{#regionId}:{#accountId}:custom-domains/{#domainName}

Condition

A tabela a seguir lista as chaves de condição em nível de produto definidas por Function Compute. Você também pode usar as Chaves de condição comuns da Alibaba Cloud. Especifique essas chaves no elemento Condition das instruções de política RAM para definir regras de autorização granulares. Na chave de condição, especifique os valores de condição no elemento Condition_value da política.

Cada chave de condição possui um tipo de dado específico, como string, número, booleano ou endereço IP. O tipo de dado determina quais operadores condicionais podem ser usados para comparar os valores da solicitação com os valores da política. Você deve especificar os operadores condicionais compatíveis com o tipo de dado da chave de condição. Operadores incompatíveis tornarão a política inválida. Consulte Operador de condição para combinações válidas.

Chave de condição	Descrição	Tipo de dado
fc:EnableServiceSLSLogging	Especifica se o recurso de log do Simple Log Service (SLS) está ativado para a função. Se essa configuração não for especificada, o valor da condição será indefinido.	String
fc:EnableServiceInternetAccess	Especifica se o acesso à rede pública está ativado para a função. Se essa configuração não for especificada, o valor da condição será indefinido.	String
fc:EnableCustomDomainHTTP	Especifica se o acesso HTTP a nomes de domínio personalizados está ativado. Se essa configuração não for especificada, o valor da condição será indefinido.	String
fc:EnableHTTPTriggerAnonymous	Especifica se o acesso anônimo está ativado para gatilhos HTTP. Se essa configuração não for especificada, o valor da condição será indefinido.	String

Como criar políticas RAM personalizadas?

Você pode criar políticas personalizadas e concedê-las a usuários RAM, grupos de usuários RAM ou funções RAM. Para instruções, consulte: