雲訊息佇列 Kafka 版自訂權限原則參考
如果系統權限原則不能滿足您的要求，您可以建立自訂權限原則實現最小授權。使用自訂權限原則有助於實現許可權的精細化管控，是提升資源訪問安全的有效手段。本文介紹雲訊息佇列 Kafka 版使用自訂權限原則的情境和策略樣本。
什麼是自訂權限原則
在基於RAM的存取控制體系中，自訂權限原則是指在系統權限原則之外，您可以自主建立、更新和刪除的權限原則。自訂權限原則的版本更新需由您來維護。
建立自訂權限原則後，需為RAM使用者、使用者組或RAM角色綁定權限原則，這些RAM身份才能獲得權限原則中指定的存取權限。
已建立的權限原則支援刪除，但刪除前需確保該策略未被引用。如果該權限原則已被引用，您需要在該權限原則的引用記錄中移除授權。
自訂權限原則支援版本控制，您可以按照RAM規定的版本管理機制來管理您建立的自訂權限原則版本。
操作文檔
自訂權限原則
雲訊息佇列 Kafka 版支援以下自訂權限原則。
Action名稱 | 許可權說明 | 是否為唯讀類許可權 |
ListInstance | 查看執行個體 | 是 |
StartInstance | 部署執行個體 | 否 |
UpdateInstance | 更新執行個體配置 | 否 |
ReleaseInstance | 釋放執行個體 | 否 |
ListTopic | 查看Topic | 是 |
CreateTopic | 建立Topic | 否 |
UpdateTopic | 更新Topic配置 | 否 |
DeleteTopic | 刪除Topic | 否 |
ListGroup | 查看Group | 是 |
CreateGroup | 建立Group | 否 |
UpdateGroup | 更新Group配置 | 否 |
DeleteGroup | 刪除Group | 否 |
QueryMessage | 查詢訊息 | 是 |
SendMessage | 發送訊息 | 否 |
DownloadMessage | 下載訊息 | 是 |
CreateMessageSearch | 開通訊息檢索 | 否 |
OperateMessageSearch | 啟停訊息檢索 | 否 |
ListMessageSearch | 查看訊息檢索 | 是 |
DeleteMessageSearch | 刪除訊息檢索任務 | 否 |
CreateDeployment |
| 否 |
DeleteDeployment |
| 否 |
ListDeployments | 查看Connector任務 | 是 |
UpdateDeploymentRemark | 修改Connector任務說明 | 否 |
GetDeploymentLog | 擷取Connector任務作業記錄 | 是 |
OperateDeployment | 啟停Connector任務 | 否 |
CreateOtsSinkDeployment | 建立Tablestore Sink Connector任務 | 否 |
OperateOtsSinkDeployment | 啟停Tablestore Sink Connector任務 | 否 |
DeleteOtsSinkDeployment | 刪除Tablestore Sink Connector任務 | 否 |
CreateAdbSinkDeployment | 建立AnalyticDB Sink Connector任務 | 否 |
OperateAdbSinkDeployment | 啟停AnalyticDB Sink Connector任務 | 否 |
DeleteAdbSinkDeployment | 刪除AnalyticDB Sink Connector任務 | 否 |
EnableAcl | 開啟ACL | 否 |
CreateAcl | 建立ACL | 否 |
DeleteAcl | 刪除ACL | 否 |
ListAcl | 查詢ACL | 是 |
CreateSaslUser | 建立SASL使用者 | 否 |
DeleteSaslUser | 刪除SASL使用者 | 否 |
ListSaslUser | 查詢SASL使用者 | 是 |
CreateETLTask | 建立資料處理任務 | 否 |
ListETLTask | 查詢資料處理任務 | 是 |
DeleteETLTask | 刪除資料處理任務 | 否 |
自訂權限原則樣本
以自己建立的自訂權限原則AliyunKafkaCustomAccess為例，被授予該權限原則的RAM使用者只具有執行個體alikafka_post-cn-xxx的查看Topic、查看Group、查詢訊息和下載訊息的控制台和API的許可權。策略內容如下：
{
"Version": "1",
"Statement": [
{
"Action": [
"alikafka:ListTopic",
"alikafka:ListGroup",
"alikafka:QueryMessage",
"alikafka:DownloadMessage"
],
"Resource": "acs:alikafka:*:*:alikafka_post-cn-xxx",
"Effect": "Allow"
}
]
}