DecodeDiagnosticMessage - Resource Access Management: Central de Documentação do Alibaba Cloud

Decodifica as informações de diagnóstico do corpo da resposta de uma solicitação que é negada devido a permissões insuficientes do RAM.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

ram:DecodeDiagnosticMessage

get

*Todos os recursos.

*

Nenhuma

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
EncodedDiagnosticMessage	string	Não	As informações de diagnóstico codificadas obtidas do campo AccessDeniedDetail.EncodedDiagnosticMessage no corpo da resposta quando uma solicitação de API é negada devido a permissões insuficientes. Este parâmetro é usado para decodificar as informações de diagnóstico de acesso negado e é obrigatório ao chamar esta operação.	AQEAAAAAZBgxr0U1MjA1NTM1LUM4BBktMzE5RS1CODgxLUU1QTI0RDNFQTM1****

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object	O resultado da resposta.
RequestId	string	O ID da solicitação.	D2331703-AADF-5564-BA9B-26CD51A33BA0
DecodedDiagnosticMessage	object	As informações de diagnóstico decodificadas.
ExplicitDeny	boolean	Indica se a solicitação é explicitamente negada. Valores válidos: true : negada explicitamente. false : não negada explicitamente.	true
NoPermissionPolicyType	string	O tipo da política que resulta no erro de acesso negado. Valores válidos: AssumeRolePolicy : política de confiança da função. ControlPolicy : política de controle. AccountLevelIdentityBasedPolicy : política baseada em identidade no nível da conta. ResourceGroupLevelIdentityBasedPolicy : política baseada em identidade no nível do grupo de recursos. SessionPolicy : política de sessão.	AccountLevelIdentityBasedPolicy
AuthAction	string	A ação usada para autenticação na solicitação do usuário.	ram:DecodeDiagnosticMessage
AuthResource	string	O recurso usado para autenticação na solicitação do usuário.	*
AuthPrincipal	object	O principal usado para autenticação na solicitação do usuário.
AuthPrincipalType	string	O tipo de identidade usado para autenticação na solicitação do usuário. Valores válidos: SubUser : Usuário do Resource Access Management (RAM). AssumedRoleUser : Função do RAM. Federated : Identidade federada SSO.	SubUser
AuthPrincipalOwnerId	string	O UID da conta Alibaba Cloud à qual a identidade usada para autenticação na solicitação do usuário pertence.	196813200012****
AuthPrincipalDisplayName	string	O identificador de identidade usado para autenticação na solicitação do usuário. O valor varia de acordo com o tipo de identidade: Usuário do Resource Access Management (RAM): o UID do usuário do RAM. Função do RAM: o nome da função e o nome da sessão da função (exemplo: RoleName:RoleSessionName). Identidade federada SSO: o tipo de provedor de identidade e o nome do provedor de identidade (exemplo: saml-provider/AzureAD).	28877424437521****
AuthConditions	array<object>	A lista de condições usadas para autenticação na solicitação do usuário.
	object	A condição de autenticação.
ConditionKey	string	A chave de condição.	acs:SourceIp
ConditionValues	array	A lista de valores correspondentes à chave de condição.
	string	O valor de condição correspondente à chave de condição.	172.16.215.218
MatchedPolicies	array<object>	A lista de políticas correspondentes durante a autenticação.
	object	A política correspondente durante a autenticação.
Effect	string	O efeito da política. Valores válidos: Deny : negar. Allow : permitir.	Deny
PolicyIdentifier	string	As informações do nome da política. O valor varia de acordo com o tipo de política: Política de controle: o ID da política de controle. Política de acesso do RAM: o nome da política de acesso.	MyPolicyName
PolicyType	string	O tipo da política. Valores válidos: Custom : política personalizada. System : política do sistema.	Custom
PolicyVersion	string	O número da versão da política. Nota Apenas uma política personalizada possui um número de versão.	v1
AttachedEntityType	string	O tipo da entidade à qual a política está anexada. Valores válidos: RamUser : Usuário do Resource Access Management (RAM). RamRole : Função do RAM. ResourceDirectoryTarget : entidade do diretório de recursos. RamGroup : grupo de usuários do RAM.	RamUser
AttachedScope	string	O escopo ao qual a política está anexada. Valores válidos: Account : conta Alibaba Cloud. Folder : pasta do diretório de recursos. ResourceGroup : grupo de recursos.	Account

Exemplos

Resposta de sucesso

JSON formato

{
  "RequestId": "D2331703-AADF-5564-BA9B-26CD51A33BA0",
  "DecodedDiagnosticMessage": {
    "ExplicitDeny": true,
    "NoPermissionPolicyType": "AccountLevelIdentityBasedPolicy",
    "AuthAction": "ram:DecodeDiagnosticMessage",
    "AuthResource": "*",
    "AuthPrincipal": {
      "AuthPrincipalType": "SubUser",
      "AuthPrincipalOwnerId": "196813200012****",
      "AuthPrincipalDisplayName": "28877424437521****"
    },
    "AuthConditions": [
      {
        "ConditionKey": "acs:SourceIp",
        "ConditionValues": [
          "172.16.215.218"
        ]
      }
    ],
    "MatchedPolicies": [
      {
        "Effect": "Deny",
        "PolicyIdentifier": "MyPolicyName",
        "PolicyType": "Custom",
        "PolicyVersion": "v1",
        "AttachedEntityType": "RamUser",
        "AttachedScope": "Account"
      }
    ]
  }
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro
400	NotSupport	This method can only be invoked by customer, sub user and assumed role user.
400	EncodedMessageExpire	The EncodedDiagnosticMessage is expired.
403	NoPermission	You do not have the required permissions.
404	SearchInaccurate	The search result is inaccurate, please retry later.
404	EntityNotExist	The specific DecodedDiagnosticMessage cannot be found.
429	TooManyRequests	Too many search requests at same time, please retry later.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.