O que é uma política de sistema?
Uma política define um conjunto de permissões descritas com base em sua estrutura e sintaxe. Com políticas, você descreve os conjuntos de resources autorizados, as operações permitidas e as condições de autorização. O Resource Access Management (RAM) do Alibaba Cloud oferece políticas de sistema e personalizadas. A própria Alibaba Cloud cria e atualiza todas as políticas de sistema. Você pode utilizar essas políticas, mas não tem permissão para modificá-las. Já as políticas personalizadas podem ser gerenciadas e atualizadas conforme as necessidades do seu negócio, permitindo criação, atualização e exclusão. Durante a evolução do service, o OSS adiciona novas permissões às políticas de sistema para suportar novos recursos e funcionalidades. Essa atualização impacta todas as identidades RAM vinculadas à política, incluindo usuários RAM, grupos de usuários RAM e funções RAM. Para mais detalhes sobre políticas do RAM, consulte Overview of RAM policies.
As políticas de sistema foram projetadas para ajudar novos usuários a começar rapidamente a usar products do Alibaba Cloud no console de gerenciamento, embora também permitam o uso de métodos mais avançados, como operações de API ou comandos CLI. Se você já conhece esses métodos avançados, recomendamos o uso de políticas personalizadas para implementar um controle mais granular sobre quem tem permissão para chamar quais operações de API, aumentando assim a segurança.
Essas políticas se dividem em três categorias: políticas de sistema de service, políticas de função de service e políticas de função vinculada ao service. Alguns cloud services fornecem apenas um ou dois desses tipos. Consulte os tipos de política descritos na seção a seguir para obter mais informações.
Políticas de sistema de service
AliyunGaAccessingOSSReplicationPolicy
A política AliyunGaAccessingOSSReplicationPolicy concede permissões dedicadas do Global Accelerator (GA) para cenários de replicação entre regiões do OSS. É possível anexá-la a identidades RAM.
AliyunGaAccessingOSSReplicationPolicy
AliyunOSSFullAccess
A política AliyunOSSFullAccess fornece acesso total ao Object Storage Service (OSS) por meio do Management Console. Ela pode ser vinculada a identidades RAM.
AliyunOSSReadOnlyAccess
A política AliyunOSSReadOnlyAccess garante acesso somente leitura ao Object Storage Service (OSS) através do Management Console e pode ser associada a identidades RAM.
Políticas de função de service
AliyunBatchOperationJobDefaultRolePolicy
A política AliyunBatchOperationJobDefaultRolePolicy é a política de autorização dedicada à função de service AliyunBatchOperationJobDefaultRole. Por padrão, o OSS utiliza essa função para acessar seus recursos nos services do OSS. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunBatchOperationJobDefaultRolePolicy
AliyunDataPipelineDefaultRolePolicy
A política AliyunDataPipelineDefaultRolePolicy é a política de autorização dedicada à função de service AliyunDataPipelineDefaultRole. Por padrão, o ossdatapipeline utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunDataPipelineDefaultRolePolicy
AliyunMetaQueryDefaultRolePolicy
A política AliyunMetaQueryDefaultRolePolicy é a política de autorização dedicada à função de service AliyunMetaQueryDefaultRole. Por padrão, o oss utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunMetaQueryDefaultRolePolicy
AliyunOSSBatchOperationBucketLevelJobRolePolicy
A política AliyunOSSBatchOperationBucketLevelJobRolePolicy é a política de autorização dedicada à função de service AliyunOSSBatchOperationBucketLevelJobRole. Por padrão, o OSS utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunOSSBatchOperationBucketLevelJobRolePolicy
AliyunOSSBatchOperationJobRolePolicy
A política AliyunOSSBatchOperationJobRolePolicy é a política de autorização dedicada à função de service AliyunOSSBatchOperationJobRole. Por padrão, o OSS utiliza essa função para acessar seus recursos nos services do OSS. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunOSSBatchOperationJobRolePolicy
AliyunOSSForASIRolePolicy
A política AliyunOSSForASIRolePolicy é a política de autorização dedicada à função de service AliyunOSSForASIRole. Por padrão, o OSS utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunOSSLoggingDefaultRolePolicy
A política AliyunOSSLoggingDefaultRolePolicy é a política de autorização dedicada à função de service AliyunOSSLoggingDefaultRole. Por padrão, o OSS utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
AliyunOSSLoggingDefaultRolePolicy
AliyunOssMtlsRolePolicy
A política AliyunOssMtlsRolePolicy é a política de autorização dedicada à função de service AliyunOssMtlsRole. Por padrão, o OSS utiliza essa função para acessar seus recursos em outros services. Não anexe esta política a uma identidade RAM que não seja a função de service. Caso um service ofereça capacidades de autorização precisa, consulte a documentação fornecida por ele.
Políticas de função vinculada ao serviço
AliyunServiceRolePolicyForOSSMetadata
O OSS assume a função vinculada ao serviço AliyunServiceRolePolicyForOSSMetadata para acessar recursos em outros serviços cloud. A política AliyunServiceRolePolicyForOSSMetadata é a política de autorização dedicada da função vinculada ao serviço AliyunServiceRoleForOSSMetadata. O OSS define e utiliza essa política, portanto você não pode modificá-la ou excluí-la. Não anexe esta política a nenhuma identidade RAM que não seja a função vinculada ao serviço correspondente.
AliyunServiceRolePolicyForOSSMetadata
AliyunServiceRolePolicyForOSSSystemTables
Para acessar recursos em outros serviços cloud, o OSS assume a função vinculada ao serviço AliyunServiceRolePolicyForOSSSystemTables. A política AliyunServiceRolePolicyForOSSSystemTables serve como autorização exclusiva da função vinculada ao serviço AliyunServiceRoleForOSSSystemTables. Essa política é definida e usada pelo OSS, não sendo possível modificá-la ou excluí-la. Evite anexar esta política a qualquer identidade RAM diferente da função vinculada ao serviço especificada.
AliyunServiceRolePolicyForOSSSystemTables
AliyunServiceRolePolicyForOssMfd
A função vinculada ao serviço AliyunServiceRolePolicyForOssMfd é assumida pelo OSS para permitir o acesso a recursos de outros serviços cloud. A política AliyunServiceRolePolicyForOssMfd constitui a autorização dedicada da função vinculada ao serviço AliyunServiceRoleForOssMfd. Como o OSS define e utiliza essa política, você não tem permissão para modificá-la ou excluí-la. Restrinja o uso desta política exclusivamente à função vinculada ao serviço associada, sem anexá-la a outras identidades RAM.
AliyunServiceRolePolicyForOssMfd
AliyunServiceRolePolicyForOssTableMaintenance
O OSS utiliza a função vinculada ao serviço AliyunServiceRolePolicyForOssTableMaintenance quando precisa acessar recursos em outros serviços cloud. A política AliyunServiceRolePolicyForOssTableMaintenance atua como autorização específica da função vinculada ao serviço AliyunServiceRoleForOssTableMaintenance. Trata-se de uma política definida e consumida pelo próprio OSS, o que impede sua modificação ou exclusão. Não vincule esta política a identidades RAM distintas da função vinculada ao serviço designada.
Referências
Por padrão, as identidades RAM não possuem permissões. Elas só conseguem acessar recursos cloud dentro de uma conta Alibaba Cloud após um administrador conceder as permissões necessárias. Para garantir a segurança dos recursos, recomendamos que você conceda apenas as permissões estritamente necessárias às identidades RAM, seguindo o princípio do menor privilégio. Para mais informações, consulte os tópicos a seguir: