自訂權限原則文法與樣本-智能媒體服務-阿里雲

如果系統權限原則不能滿足您的要求，您可以建立自訂權限原則實現最小授權。使用自訂權限原則有助於實現許可權的精細化管控，是提升資源訪問安全的有效手段。本文介紹智能媒體服務使用自訂權限原則的情境和策略樣本。

什麼是自訂權限原則

在基於RAM的存取控制體系中，自訂權限原則是指在系統權限原則之外，您可以自主建立、更新和刪除的權限原則。自訂權限原則的版本更新需由您來維護。

建立自訂權限原則後，需為RAM使用者、使用者組或RAM角色綁定權限原則，這些RAM身份才能獲得權限原則中指定的存取權限。
已建立的權限原則支援刪除，但刪除前需確保該策略未被引用。如果該權限原則已被引用，您需要在該權限原則的引用記錄中移除授權。
自訂權限原則支援版本控制，您可以按照RAM規定的版本管理機制來管理您建立的自訂權限原則版本。

操作文檔

常見自訂權限原則情境及樣本

本文以“授予智能媒體服務部分資源的唯讀存取權限”為例進行參數欄位詳解，其他策略樣本類似，不再重複。

授予智能媒體服務部分資源的唯讀存取權限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ice:GetMediaProducingJob",
        "ice:GetEditingProject",
        "ice:GetMediaInfo",
        "ice:ListMediaBasicInfos",
        "ice:SearchEditingProject"
      ],
      "Resource": "*",
      "Effect": "Allow",
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": "192.168.0.1"
        }
      }
    }
  ]
}

參數欄位說明：

參數	必選	描述
Version	是	定義了策略的版本，智能媒體服務中Version固定為1。
Statement	是	可以根據業務情境包含多條語義，每條包含對Action、Resource、Effect和Condition的描述。
Action	是	支援的Action操作與OpenAPI對應，格式為`ice:API名稱`，多個使用英文逗號分隔。通過指定授權的Action列表，可以組合出對應的許可權分組。所有可用操作，請參見API概覽。
Resource	是	表示智能媒體服務某個具體的資源或某些資源（支援萬用字元``），Resource的規則是`acs:ice:<regionId>:<accountId>:`。Resource也可以為列表，表示有多個Resource。其中`regionId`欄位暫不支援，請設定為``。由於智能媒體服務現在沒有進一步區分資源，因此建議授權媒資庫資源時Resource填``或`acs:ice:::*`。
Effect	是	授權效果，包括允許（Allow）和拒絕（Deny）。每次請求時，系統會逐條依次匹配檢查，所有匹配成功的Statement會根據Effect的值，如果匹配成功的都為`Allow`，則該條請求允許訪問；如果匹配成功有一條為`Deny`，或者沒有任何條目匹配成功，則該條請求禁止訪問。重要當權限原則中同時包含`Allow`和`Deny`時，遵循`Deny`優先原則。
Condition	否	表示策略授權的一些條件，可以對訪問來源等進行限制，詳情請參見條件（Condition）。

授予智能媒體服務所有資源的唯讀存取權限

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ice:Get*",
        "ice:List*",
        "ice:Search*",
        "ice:Describe*"
      ],
      "Resource": "acs:ice:*:*:*",
      "Effect": "Allow"
    }
  ]
}

授予智能媒體服務完整許可權（包含寫入權限）

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ice:*",
      "Resource": "acs:ice:*:*:*"
    }
  ],
  "Version": "1"
}

授權資訊參考

使用自訂權限原則，您需要瞭解業務的許可權管控需求，並瞭解智能媒體服務的授權資訊。詳細內容請參見授權資訊。