自訂權限原則及常用樣本-雲備份-阿里雲

如果系統權限原則不能滿足您的要求，您可以建立自訂權限原則實現最小授權。使用自訂權限原則有助於實現許可權的精細化管控，是提升資源訪問安全的有效手段。本文介紹<雲端服務名稱>使用自訂權限原則的情境和策略樣本。

什麼是自訂權限原則

在基於RAM的存取控制體系中，自訂權限原則是指在系統權限原則之外，您可以自主建立、更新和刪除的權限原則。自訂權限原則的版本更新需由您來維護。

建立自訂權限原則後，需為RAM使用者、使用者組或RAM角色綁定權限原則，這些RAM身份才能獲得權限原則中指定的存取權限。
已建立的權限原則支援刪除，但刪除前需確保該策略未被引用。如果該權限原則已被引用，您需要在該權限原則的引用記錄中移除授權。
自訂權限原則支援版本控制，您可以按照RAM規定的版本管理機制來管理您建立的自訂權限原則版本。

操作文檔

常見自訂權限原則情境及樣本

雲備份提供備份恢複許可權分離功能。給指定RAM使用者添加RAM許可權，使得該RAM使用者對此備份庫只能進行備份或者恢複操作，避免未經授權的誤操作。

禁止恢複/取回的權限原則

單擊指令碼左上方複製按鈕，快速複製指令碼。例如：

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateRestore",
                "hbr:CreateRestoreJob",
                "hbr:CreateHanaRestore",
                "hbr:CreateUniRestorePlan",
                "hbr:CreateSqlServerRestore"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}

說明

v-0000ryfi******piu為目標備份庫ID。

禁止備份/歸檔的權限原則

單擊指令碼左上方複製按鈕，快速複製指令碼。例如：

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateUniBackupPlan",
                "hbr:UpdateUniBackupPlan",
                "hbr:DeleteUniBackupPlan",
                "hbr:CreateHanaInstance",
                "hbr:UpdateHanaInstance",
                "hbr:DeleteHanaInstance",
                "hbr:CreateHanaBackupPlan",
                "hbr:UpdateHanaBackupPlan",
                "hbr:DeleteHanaBackupPlan",
                "hbr:CreateClient",
                "hbr:CreateClients",
                "hbr:UpdateClient",
                "hbr:UpdateClientSettings",
                "hbr:UpdateClientAlertConfig",
                "hbr:DeleteClient",
                "hbr:DeleteClients",
                "hbr:CreateJob",
                "hbr:UpdateJob",
                "hbr:CreateBackupPlan",
                "hbr:UpdateBackupPlan",
                "hbr:ExecuteBackupPlan",
                "hbr:DeleteBackupPlan",
                "hbr:CreateBackupJob",
                "hbr:CreatePlan",
                "hbr:UpdatePlan",
                "hbr:CreateTrialBackupPlan",
                "hbr:ConvertToPostPaidInstance",
                "hbr:KeepAfterTrialExpiration"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}

說明

v-0000ryfi******piu為目標備份庫ID。

防止RAM使用者誤刪備份資料的RAM Policy樣本如下：

{
    "Version": "1",
    "Statement": [{
        "Effect": "Deny",
        "Action": [
            "hbr:DeleteBackupClient",
            "hbr:DeleteContact",
            "hbr:DeleteContactGroup",
            "hbr:DeleteVault",
            "hbr:DeleteJob",
            "hbr:DeleteClient",
            "hbr:DeleteHanaBackupPlan",
            "hbr:DeleteClients",
            "hbr:DeleteBackupSourceGroup",
            "hbr:DeleteBackupPlan",
            "hbr:DeleteHanaInstance",
            "hbr:DeleteSqlServerInstance",
            "hbr:DeleteSnapshot",
            "hbr:DeleteSqlServerSnapshot",
            "hbr:DeleteSqlServerLog",
            "hbr:DeleteVcenter",
            "hbr:DeleteUdmEcsInstance",
            "hbr:DeleteAppliance",
            "hbr:DeleteUniBackupClient",
            "hbr:DeleteUniBackupPlan",
            "hbr:DeleteUniBackupCluster",
            "hbr:DeleteUniRestorePlan"
        ],
        "Resource": [
            "acs:hbr:*:{uid}:vault/{vaultId}",
            "acs:hbr:*:{uid}:vault/{vaultId}/*"
        ]
    }]
}

說明

其中，vaultId表示需要保護的備份庫ID，如果要保護所有倉庫，請填寫星號（*）。

授權資訊參考

使用自訂權限原則，您需要瞭解業務的許可權管控需求，並瞭解雲備份的授權資訊。詳細內容請參見授權資訊。