Tablestore:RAM policy

Etapa 1: Criar uma política personalizada

1. Acesse a página Policies e clique em Create Policy.

2. Selecione JSON Editor e insira a política em formato JSON no editor.

   A política de exemplo a seguir permite todas as operações na instância example-instance e em todas as tabelas nela contidas.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "ots:*",
         "Resource": [
           "acs:ots:*:*:instance/example-instance",
           "acs:ots:*:*:instance/example-instance/table/*"
         ]
       }
     ]
   }

   Uma política do RAM contém dois elementos de nível superior: Version e Statement.

   Elemento de nível superior	Descrição
   Version	Versão da política. Valor fixo em 1, não modificável.
   Statement	Corpo da política. Contém uma ou mais regras de autorização ou negação. Cada regra possui quatro subelementos: Effect (efeito da autorização), Action (operação autorizada), Resource (recurso autorizado) e Condition (condição de autorização). Consulte a tabela a seguir para obter detalhes.

   Subelemento de Statement	Descrição
   Effect	Efeito da política. Valores válidos: Allow ou Deny.
   Action	Operações específicas executadas no recurso. Adicione o prefixo ots: e utilize o caractere curinga * quando necessário.
   Resource	Escopo do recurso. Formato: acs:ots:[region]:[user_id]:instance/[instance_name]/table/[table_name].
   Condition	Condições para que a política entre em vigor. Caso especifique múltiplas condições, todas devem ser atendidas (E lógico) para que a política seja aplicada.

   Para consultar a sintaxe completa e todos os elementos da política, visualize Authorization policy syntax and elements.

3. Clique em OK, insira um Policy Name e clique em OK para concluir a criação da política personalizada.

Etapa 2: Associar a política a uma identidade de usuário

Associe a política criada na etapa anterior a uma identidade de usuário. O procedimento abaixo utiliza um usuário do RAM como exemplo.

1. Acesse a página RAM Users e, na coluna Actions do usuário desejado, clique em Grant Permission.

2. Insira o nome da política personalizada na caixa de pesquisa e selecione a política desejada.

3. Clique em OK para concluir a configuração de permissões.

Cenário 1: Conceder permissões de leitura e gravação com condições combinadas de IP, horário e protocolo

Permite que usuários do bloco CIDR 10.10.XX.XX/24 leiam e gravem nas instâncias online-01 e online-02, bem como em todas as tabelas dessas instâncias. O acesso restringe-se ao protocolo HTTPS e é permitido apenas antes de 2028-01-01 00:00:00.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ots:*",
      "Resource": [
        "acs:ots:*:*:instance/online-01",
        "acs:ots:*:*:instance/online-01/table*",
        "acs:ots:*:*:instance/online-02",
        "acs:ots:*:*:instance/online-02/table*"
      ],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": [
            "10.10.XX.XX/24"
          ]
        },
        "DateLessThan": {
          "acs:CurrentTime": "2028-01-01T00:00:00+08:00"
        },
        "Bool": {
          "acs:SecureTransport": "true"
        }
      }
    }
  ]
}

Cenário 2: Negar solicitações de gravação de um endereço IP específico para instâncias específicas

Nega aos usuários do endereço IP 10.10.XX.XX o acesso de gravação em todas as tabelas das instâncias cujos nomes começam com online ou product na região China (Beijing). Esta regra não restringe operações nas próprias instâncias.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ots:Create*",
        "ots:Insert*",
        "ots:Put*",
        "ots:Update*",
        "ots:Delete*",
        "ots:BatchWrite*"
      ],
      "Resource": [
        "acs:ots:cn-beijing:*:instance/online*/table*",
        "acs:ots:cn-beijing:*:instance/product*/table*"
      ],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": [
            "10.10.XX.XX"
          ]
        }
      }
    }
  ]
}

Cenário 3: Restringir um usuário do RAM a gerenciar apenas instâncias especificadas

Permite que um usuário do RAM gerencie apenas as instâncias especificadas. A política contém três Statements que concedem, respectivamente, permissões de consulta no console, permissões totais de operação na instância alvo e permissões de consulta no CloudMonitor.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:ListInstance",
        "ots:ListTagResources"
      ],
      "Resource": "acs:ots:*:*:instance/*"
    },
    {
      "Effect": "Allow",
      "Action": "ots:*",
      "Resource": [
        "acs:ots:*:*:instance/yourInstance",
        "acs:ots:*:*:instance/yourInstance/table*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": "cms:Query*",
      "Resource": "*"
    }
  ]
}

Cada Statement desempenha uma função específica, conforme descrito na tabela a seguir.

{
  "Effect": "Allow",
  "Action": [
    "ots:ListInstance",
    "ots:ListTagResources"
  ],
  "Resource": "acs:ots:*:*:instance/*"
}

{
  "Effect": "Allow",
  "Action": "ots:*",
  "Resource": [
    "acs:ots:*:*:instance/yourInstance",
    "acs:ots:*:*:instance/yourInstance/table*"
  ]
}

{
  "Effect": "Allow",
  "Action": "cms:Query*",
  "Resource": "*"
}