Autorização RAM - Virtual Private Cloud: Central de Documentação do Alibaba Cloud

O Resource Access Management (RAM) é um serviço fornecido pela Alibaba Cloud para gerenciar identidades de usuários e permissões de acesso a recursos. O uso do RAM ajuda a evitar o compartilhamento das chaves da sua conta da Alibaba Cloud com outros usuários e permite conceder aos usuários o acesso com privilégio mínimo. O RAM usa políticas de permissão para definir autorizações. Este tópico descreve a estrutura geral de uma política RAM e os elementos de instrução de política (Action, Resource e Condition) definidos por Virtual Private Cloud para políticas de permissão RAM. O código RAM (RamCode) para Virtual Private Cloud é vpc , e a granularidade de autorização suportada é RESOURCE .

Estrutura geral de uma política

As políticas de permissão suportam o formato JSON com a seguinte estrutura geral:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

A lista a seguir descreve os campos da política:

Version: Especifica o número da versão da política. É fixo em 1.
Statement:
- Effect: Especifica o resultado da autorização. Valores válidos: Allow e Deny.
- Action: Especifica uma ou mais operações que são permitidas ou negadas.
- Resource: Especifica os objetos específicos afetados pelas operações. Você pode usar os Alibaba Cloud Resource Names (ARNs) para descrever recursos específicos.
- Condition: Especifica as condições para que a autorização entre em vigor. Este campo é opcional.
  - Operador de condição: Especifica os operadores condicionais. Diferentes tipos de condições suportam diferentes operadores condicionais.
  - Condition_key: Especifica as chaves de condição.
  - Condition_value: Especifica os valores de condição.

Action

A tabela a seguir lista as ações definidas por Virtual Private Cloud. As colunas da tabela são descritas a seguir:

Action: As ações podem ser usadas no elemento Action das instruções de política de permissão RAM para conceder permissões para realizar a operação.
API: A API que você pode chamar para realizar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para realizar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o ARN correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se apenas a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, a Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços integrados ao RAM. Para mais informações, consulte Chaves de condição comuns.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para realizar todas as ações dependentes.

Action	API	Nível de acesso	Tipo de recurso	Chave de condição	Ação dependente
vpc:DescribeRouterInterfaceAttribute	DescribeRouterInterfaceAttribute	get	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:ModifyRouterInterfaceSpec	ModifyRouterInterfaceSpec	update	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:ModifyRouterInterfaceAttribute	ModifyRouterInterfaceAttribute	update	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	vpc:TargetAccountRDId	Nenhum
vpc:DescribeTagKeysForExpressConnect	DescribeTagKeysForExpressConnect	list	All resources. ``	Nenhum	Nenhum
vpc:UntagResourcesForExpressConnect	UntagResourcesForExpressConnect	update	PhysicalConnection `acs:vpc:{#regionId}:{#accountId}:physicalconnection/{#PhysicalConnectionId}` VirtualBorderRouter `acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#VbrId}` RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}` TrafficQos `acs:vpc:{#regionId}:{#accountId}:trafficqos/{#QosId}`	Nenhum	Nenhum
vpc:DeleteRouterInterface	DeleteRouterInterface	delete	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:CreateRouterInterface	CreateRouterInterface	create	VirtualBorderRouter `acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#VbrId}` RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/*`	vpc:TargetAccountRDId	Nenhum
vpc:DescribeTagKeys	DescribeTagKeys	get	All resources. ``	Nenhum	Nenhum
vpc:UnTagResources	UnTagResources	update	Address `acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}` NatGateway `acs:vpc:{#regionId}:{#accountId}:natgateway/{#NatGatewayId}` RouteTable `acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTableId}` VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}` VSwitch `acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId}`	vpc:tag	Nenhum
vpc:RevokeInstanceFromVbr	RevokeInstanceFromVbr	update	*VPC `acs:vpc:{#regionId}:{#AccountId}:vpc/{#VpcId}`	Nenhum	Nenhum
vpc:ActivateRouterInterface	ActivateRouterInterface	update	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:DeactivateRouterInterface	DeactivateRouterInterface	update	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:DeleteRouterInterface	DeleteExpressConnect	delete	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:DescribeRouterInterfaces	DescribeRouterInterfaces	list	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:GrantInstanceToVbr	GrantInstanceToVbr	update	*VPC `acs:vpc:{#regionId}:{#AccountId}:vpc/{#VpcId}`	Nenhum	Nenhum
vpc:TagResourcesForExpressConnect	TagResourcesForExpressConnect	update	PhysicalConnection `acs:vpc:{#regionId}:{#accountId}:physicalconnection/{#PhysicalConnectionId}` VirtualBorderRouter `acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#VbrId}` RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}` TrafficQos `acs:vpc:{#regionId}:{#accountId}:trafficqos/{#QosId}`	Nenhum	Nenhum
vpc:DescribeTags	DescribeTags	get	All resources. ``	vpc:tag	Nenhum
vpc:DescribeEcGrantRelation	DescribeEcGrantRelation	list	*VirtualBorderRouter `acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#VbrId}`	Nenhum	Nenhum
vpc:MoveResourceGroup	MoveResourceGroup	update	BandwidthPackage `acs:vpc:{#regionId}:{#accountId}:bandwidthpackage/{#BandwidthPackageId}` Eip `acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}` VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}` PrefixList `acs:vpc:{#regionId}:{#accountId}:prefixlist/{#PrefixListId}` GatewayEndpoint `acs:vpc:{#regionId}:{#accountId}:gatewayendpoint/{#GatewayEndpointId}` DhcpOptionsSet `acs:vpc:{#regionId}:{#accountId}:dhcpoptionsset/{#DhcpOptionsSetId}` FlowLog `acs:vpc:{#regionId}:{#accountId}:flowlog/{#FlowLogId}` HaVip `acs:vpc:{#regionId}:{#accountId}:havip/{#HaVipId}` Ipv4Gateway `acs:vpc:{#regionId}:{#accountId}:ipv4gateway/{#Ipv4GatewayId}` Ipv6Gateway `acs:vpc:{#regionId}:{#accountId}:ipv6gateway/{#Ipv6GatewayId}` PublicIpAddressPool `acs:vpc:{#regionId}:{#accountId}:publicipaddresspool/{#PublicIpAddressPoolId}` TrafficMirrorFilter `acs:vpc:{#regionId}:{#accountId}:trafficmirrorfilter/{#TrafficMirrorFilterId}` TrafficMirrorSession `acs:vpc:{#regionId}:{#accountId}:trafficmirrorsession/{#TrafficMirrorSessionId}`	Nenhum	Nenhum
vpc:ListTagResourcesForExpressConnect	ListTagResourcesForExpressConnect	list	All resources. ``	Nenhum	Nenhum
vpc:ConnectRouterInterface	ConnectRouterInterface	update	*RouterInterface `acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId}`	Nenhum	Nenhum
vpc:ListTagResources	ListTagResources	get	BandwidthPackage `acs:vpc:{#regionId}:{#accountId}:combandwidthpackage/{#BandwidthPackageId}` Address `acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}` NatGateway `acs:vpc:{#regionId}:{#accountId}:natgateway/{#NatGatewayId}` RouteTable `acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTable}` VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}` VpnGateway `acs:vpc:{#regionId}:{#accountId}:vpngateway/{#VpnGatewayId}` VSwitch `acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId}`	vpc:tag	Nenhum
vpc:TagResources	TagResources	update	BandwidthPackage `acs:vpc:{#regionId}:{#accountId}:combandwidthpackage/{#BandwidthPackageId}` Address `acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}` NatGateway `acs:vpc:{#regionId}:{#accountId}:natgateway/{#NatGatewayId}` RouteTable `acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTableId}` VPC `acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId}` VpnGateway `acs:vpc:{#regionId}:{#accountId}:vpngateway/{#VpnGatewayId}` VSwitch `acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId}`	vpc:tag	Nenhum
vpc:ChangeResourceGroup	ChangeResourceGroup	update	All resources. ``	Nenhum	Nenhum

Resource

A tabela a seguir lista os recursos definidos por Virtual Private Cloud. Especifique-os no elemento Resource das instruções de política RAM para conceder permissões para operações específicas. Eles são identificados de forma exclusiva por ARNs. Formato: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: A sigla do serviço da Alibaba Cloud, que indica a nuvem pública da Alibaba Cloud.
{#ramcode}: O código usado no RAM para indicar um serviço da Alibaba Cloud.
{#regionId}: O ID da região. Se o recurso abrange todas as regiões, defina-o como um asterisco (*).
{#accountId}: O ID da conta da Alibaba Cloud. Se o recurso abrange todas as contas da Alibaba Cloud, defina-o como um asterisco (*).
{#resourceType}: O identificador de recurso definido pelo serviço. Suporta uma estrutura hierárquica, semelhante a um caminho de arquivo. Se a instrução abrange recursos globais, defina-o como um asterisco (*).

Tipo de recurso	ARN
BandwidthPackage	acs:vpc:{#regionId}:{#accountId}:combandwidthpackage/{#BandwidthPackageId} acs:vpc:{#regionId}:{#accountId}:bandwidthpackage/{#BandwidthPackageId}
VSwitch	acs:vpc:{#regionId}:{#accountId}:vswitch/{#VSwitchId} acs:vpc:{#regionId}:{#accountId}:vswitch/*
RouterInterface	acs:vpc:{#regionId}:{#accountId}:routerinterface/{#RouterInterfaceId} acs:vpc:{#regionId}:{#accountId}:routerinterface/*
TrafficMirrorSession	acs:vpc:{#regionId}:{#accountId}:trafficmirrorsession/{#TrafficMirrorSessionId} acs:vpc:{#regionId}:{#accountId}:trafficmirrorsession/*
GatewayEndpoint	acs:vpc:{#regionId}:{#accountId}:gatewayendpoint/{#GatewayEndpointId} acs:vpc:{#regionId}:{#accountId}:gatewayendpoint/*
TrafficQos	acs:vpc:{#regionId}:{#accountId}:TrafficQos/* acs:vpc:{#regionId}:{#accountId}:trafficqos/{#QosId}
Ipv6Gateway	acs:vpc:{#regionId}:{#accountId}:ipv6gateway/{#Ipv6GatewayId} acs:vpc:{#regionId}:{#accountId}:ipv6gateway/*
Ipv6InternetBandwidth	acs:vpc:{#regionId}:{#accountId}:ipv6bandwidth/{#Ipv6InternetBandwidthId} acs:vpc:{#regionId}:{#accountId}:vpc/* acs:vpc:{#regionId}:{#accountId}:ipv6bandwidth/*
SegmentAddress	acs:vpc:{#regionId}:{#accountId}:eip/* acs:eip:{#regionId}:{#accountId}:eipsegment/{#SegmentInstanceId} acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}
VPC	acs:vpc:{#regionId}:{#accountId}:vpc/{#VpcId} acs:vpc:{#regionId}:{#accountId}:vpc/* acs:vpc:{#regionId}:{#accountId}:vpc/{#InstanceId}
CustomerGateway	acs:vpc:{#regionId}:{#accountId}:customergateway/{#CustomerGatewayId} acs:vpc:{#regionId}:{#accountId}:customergateway/* acs:vpc:{#Region}:{#AccountId}:customergateway/{#CustomerGatewayId}
VpnGateway	acs:vpc:{#regionId}:{#accountId}:vpngateway/* acs:vpc:{#regionId}:{#accountId}:vpngateway/{#VpnGatewayId} acs:vpc:{#Region}:{#AccountId}:vpngateway/{#VpnInstanceId} acs:vpc:{#regionId}:{#accountId}:vpngateway/{#VpnInstanceId} acs:vpc:{#regionId}:{#accountId}:
VpnAttachment	acs:vpc:{#Region}:{#AccountId}:vpnattachment/{#VpnConnectionId}
CommonBandwidthPackage	acs:vpc:{#regionId}:{#accountId}:combandwidthpackage/* acs:vpc:{#regionId}:{#accountId}:combandwidthpackage/{#CommonBandwidthPackageId}
NatGateway	acs:vpc:{#regionId}:{#accountId}:natgateway/{#NatGatewayId} acs:vpc:{#regionId}:{#accountId}:natgateway/* acs:natgateway:{#regionId}:{#accountId}:natgateway/{#NatGatewayId}
VirtualBorderRouter	acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#VirtualBorderRouterId} acs:vpc:{#regionId}:{#AccountId}:virtualborderrouter/{#VbrId} acs:vpc:{#regionId}:{#AccountId}:virtualborderrouter/* acs:vpc:*:{#accountId}:virtualborderrouter/{#VirtualBorderRouterId} acs:vpc:{#regionId}:{#accountId}:virtualborderrouter/{#InstanceId}
RouteTable	acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTableId} acs:vpc:{#regionId}:{#accountId}:routetable/* acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTable}
SslVpnServer	acs:vpc:{#regionId}:{#accountId}:sslvpnserver/* acs:vpc:{#regionId}:{#accountId}:sslvpnserver/{#SslVpnServerId} acs:vpc:{#Region}:{#AccountId}:sslvpnserver/{#SslVpnServerId}
NetworkAcl	acs:vpc:{#regionId}:{#accountId}:networkacl/{#NetworkAclId} acs:vpc:{#regionId}:{#accountId}:networkacl/*
IpsecServer	acs:vpc:{#regionId}:{#accountId}:vpnipsecserver/{#IpsecServerId} acs:vpc:{#Region}:{#AccountId}: vpnipsecserver/{#IpsecServerId} acs:vpc:{#regionId}:{#accountId}:ipsecserver/* acs:vpc:{#regionId}:{#accountId}: vpnipsecserver/{#IpsecServerId}
Address	acs:vpc:{#regionId}:{#accountId}:eip/* acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}
Ipv6Translator	acs:vpc:{#regionId}:{#accountId}:ipv6trans/{#Ipv6TranslatorId} acs:vpc:{#regionId}:{#accountId}:ipv6trans/*
Ipv4Gateway	acs:vpc:{#regionId}:{#accountId}:ipv4gateway/* acs:vpc:{#regionId}:{#accountId}:ipv4gateway/{#ipv4gatewayId}
VpnConnection	acs:vpc:{#regionId}:{#accountId}:vpnconnection/* acs:vpc:{#regionId}:{#accountId}:vpnconnection/{#VpnConnectionId} acs:vpc:{#Region}:{#AccountId}:vpnconnection/{#VpnConnectionId} acs:vpc:{#regionId}:{#accountId}:*
VpnConnections	acs:vpc:{#regionId}:{#accountId}:vpnconnection/{#VpnConnectionId}
PrefixList	acs:vpc:{#regionId}:{#accountId}:prefixlist/* acs:vpc:{#regionId}:{#accountId}:prefixlist/{#PrefixListId}
PhysicalConnection	acs:vpc:{#regionId}:{#accountId}:physicalconnection/{#PhysicalConnectionId} acs:vpc:{#regionId}:{#accountId}:physicalconnection/*
GlobalAccelerationInstance	acs:vpc:{#regionId}:{#accountId}:globalaccelerationinstance/{#GlobalAccelerationInstanceId} acs:vpc:{#regionId}:{#accountId}:globalaccelerationinstance/* acs:vpc:{#regionId}:{#accountId}:GlobalAccelerationInstance/*
Ipv6EgressRule	acs:vpc:{#regionId}:{#accountId}:ipv6gateway/{#Ipv6GatewayId}
DhcpOptionsSet	acs:vpc:{#regionId}:{#accountId}:dhcpoptionsset/{#DhcpOptionsSetId} acs:vpc:{#regionId}:{#accountId}:dhcpoptionsset/*
Instance	acs:ecs:{#regionId}:{#accountId}:instance/{#InstanceId} acs:vpc:{#regionId}:{#accountId}:instance/{#InstanceId} acs:ecs:{#regionId}:{#accountId}:instance/*
HaVip	acs:vpc:{#regionId}:{#accountId}:havip/{#HaVipId} acs:vpc:{#regionId}:{#accountId}:havip/*
RouteEntry	acs:vpc:{#regionId}:{#accountId}:routetable/{#RouteTableId}
PublicIpAddressPool	acs:vpc:{#regionId}:{#accountId}:publicipaddresspool/{#PublicIpAddressPoolId} acs:vpc:{#regionId}:{#accountId}:publicipaddresspool/*
RouteTargetGroup	acs:vpc:{#regionId}:{#accountId}:routetargetgroup/* acs:vpc:{#regionId}:{#accountId}:routetargetgroup/{#RouteTargetGroupId}
Ipv6Address	acs:vpc:{#regionId}:{#accountId}:ipv6address/* acs:vpc:{#regionId}:{#accountId}:ipv6address/{#Ipv6AddressId}
FlowLogService	acs:vpc:{#regionId}:{#accountId}:flowlog/*
VSwitchCidrReservation	acs:vpc:{#regionId}:{#accountId}:vswitchcidrreservation/* acs:vpc:{#regionId}:{#accountId}:vswitchcidrreservation/{#VSwitchCidrReservationId}
GatewayInfo	acs:vpc:{#regionId}:{#accountId}:eip/*
SnatTable	acs:vpc:{#regionId}:{#accountId}:snattable/{#SnatTableId}
TrafficMirrorService	acs:vpc:{#regionId}:{#accountId}:trafficmirror/*
TrafficMirrorFilter	acs:vpc:{#regionId}:{#accountId}:trafficmirrorfilter/{#TrafficMirrorFilterId} acs:vpc:{#regionId}:{#accountId}:trafficmirrorfilter/*
SslVpnClientCert	acs:vpc:{#regionId}:{#accountId}:sslvpnclientcert/{#SslVpnClientCertId} acs:vpc:{#regionId}:{#accountId}:sslvpnclientcert/*
PublicIpAddressPoolService	acs:vpc:{#regionId}:{#accountId}:publicipaddresspoolservice/*
FlowLog	acs:vpc:{#regionId}:{#accountId}:flowlog/{#FlowLogId} acs:vpc:{#regionId}:{#accountId}:flowlog/*
VpnCertificateAttachment	acs:vpc:{#regionId}:{#accountId}:vpncertificateattachment/{#VpnGatewayId}/{#CertificateType}/{#CertificateId}
ForwardTable	acs:vpc:{#regionId}:{#accountId}:forwardtable/{#ForwardTableId}
physicalconnection	acs:vpc:{#regionId}:{#accountId}:physicalconnection/*
FullNat	acs:vpc:{#regionId}:{#accountId}:vpcfullnattable/{#FullNatTableId}
Eip	acs:vpc:{#regionId}:{#accountId}:eip/{#EipId} acs:vpc:{#regionId}:{#accountId}:eip/{#AllocationId}
VRouter	acs:vpc:{#regionId}:{#accountId}:vrouter/{#VRouterId} acs:vpc:{#regionId}:{#accountId}:vrouter/*
Association	acs:vpc:{#regionId}:{#accountId}:havip/{#HaVipId}
IPv6Translator	acs:vpc:{#regionId}:{#accountId}:ipv6trans/* acs:vpc:{#regionId}:{#accountId}:ipv6trans/{#IPv6TranslatorId}
GrantRuleToCen	acs:vpc:{#regionId}:{#accountId}:vpc/{#InstanceId}
SnatEntry	acs:vpc:{#regionId}:{#accountId}:snattable/*

Condition

A tabela a seguir lista as chaves de condição em nível de produto definidas por Virtual Private Cloud. Você também pode usar as Chaves de condição comuns da Alibaba Cloud. Especifique essas chaves no elemento Condition das instruções de política RAM para definir regras de autorização granulares. Na chave de condição, especifique os valores de condição no elemento Condition_value da política.

Cada chave de condição possui um tipo de dado específico, como string, número, booleano ou endereço IP. O tipo de dado determina quais operadores condicionais podem ser usados para comparar os valores da solicitação com os valores da política. Você deve especificar os operadores condicionais compatíveis com o tipo de dado da chave de condição. Operadores incompatíveis tornarão a política inválida. Consulte Operador de condição para combinações válidas.

Chave de condição	Descrição	Tipo de dado
vpc:VRouter	As informações do vRouter.	String
vpc:VPC	As informações da VPC.	String
vpc:tag	As tags da VPC.	String
vpc:TargetAccountRDId	O ID do diretório de recursos do usuário peer.	String
vpc:PhysicalConnection	As informações do circuito Express Connect.	String
vpc:VBR	As informações do Virtual Border Router.	String

Como criar políticas RAM personalizadas?

Você pode criar políticas personalizadas e concedê-las a usuários RAM, grupos de usuários RAM ou funções RAM. Para instruções, consulte: