Tablestore:Configure access permissions

Knowledge Storage

Memory Storage

Knowledge Storage

Os recursos do Knowledge Storage aceitam três níveis de autorização, do mais abrangente ao mais restrito, conforme a seguir:

As palavras-chave do recurso knowledgebase e subspace são valores fixos. $knowledgeBaseName e $subspace são extraídos dos campos de mesmo nome na solicitação. O nível de autorização é determinado pelas seguintes regras:

• Quando a solicitação não inclui knowledgeBaseName (geralmente uma operação de listagem), a autorização é aplicada no nível da instância .../instance/$instanceName/*.

• Quando a solicitação inclui um único subspace, a autorização é aplicada no nível do subespaço. Se uma única solicitação envolver vários subespaços, a autorização reverte para o nível da base de conhecimento pai .../knowledgebase/$knowledgeBaseName.

• Para permitir o acesso a todos os subespaços de uma base de conhecimento, use o curinga .../knowledgebase/$knowledgeBaseName/subspace/* ou autorize no nível da base de conhecimento (que abrange todos os subespaços).

Memory Storage

Os recursos do Memory Storage aceitam três níveis de autorização, do mais abrangente ao mais restrito, conforme a seguir:

As palavras-chave do recurso memorystore, appid, tenantid, agentid e runid são valores fixos. $memoryStoreName é extraído do campo de mesmo nome na solicitação, enquanto $appId, $tenantId, $agentId e $runId são extraídos dos campos correspondentes do scope da solicitação. Quando a solicitação não inclui memoryStoreName, a autorização é aplicada no nível da instância .../instance/$instanceName/*.

Valores padrão do escopo

Quando a solicitação inclui scope, mas omite um determinado campo, esse campo assume o valor padrão __default__ no recurso de autorização. Por exemplo, se o scope da solicitação especificar apenas appId=app_a, o recurso de autorização é construído da seguinte forma:

acs:ots:$region:$accountId:instance/$instanceName/memorystore/$memoryStoreName/appid/app_a/tenantid/__default__/agentid/__default__/runid/__default__

Ao deixar certas dimensões de escopo sem restrições em uma política RAM, você deve usar o curinga * (por exemplo, .../agentid/*/runid/*) como placeholder explícito. Não omita o nível correspondente, caso contrário, ele corresponderá a __default__ em vez de todos os valores.

Acesso somente leitura a uma base de conhecimento específica

A política a seguir permite a recuperação e a consulta na base de conhecimento product_docs_kb e nega todas as operações de gravação.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:DescribeKnowledgeBase",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:ListChunks",
        "ots:Retrieve"
      ],
      "Resource": [
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb",
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/*"
      ]
    }
  ]
}

Isolamento de acesso de gravação por subespaço

A política a seguir permite operações de leitura e gravação em documentos e chunks dentro do subespaço team_a da base de conhecimento product_docs_kb. Os demais subespaços não são afetados.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddDocuments",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:UpdateDocument",
        "ots:DeleteDocuments",
        "ots:ListChunks",
        "ots:UpdateChunks",
        "ots:Retrieve"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/team_a"
    }
  ]
}

Isolamento de acesso à memória por aplicativo

A política a seguir permite o acesso de leitura e gravação a todas as memórias com appId=app_a no memory store agent_mem (independentemente do tenant, agent e execute). As memórias de outros appIds não podem ser acessadas.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddMemories",
        "ots:SearchMemories",
        "ots:ListMemories",
        "ots:GetMemory",
        "ots:UpdateMemory",
        "ots:DeleteMemory"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/memorystore/agent_mem/appid/app_a/tenantid/*/agentid/*/runid/*"
    }
  ]
}

As dimensões irrestritas tenantid, agentid e runid devem ser definidas explicitamente com * e não podem ser omitidas. Para entender o motivo, consulte a nota sobre valores padrão do escopo acima.

Administração total em uma instância

A política a seguir permite todas as operações em todos os recursos relacionados da instância myinstance.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:*KnowledgeBase",
        "ots:*Document*",
        "ots:*Chunks",
        "ots:Retrieve",
        "ots:*Memory*"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/*"
    }
  ]
}