Tablestore：配置存取權限

知識儲存

記憶儲存

知識儲存

知識儲存資源支援三個授權層級，從粗到細如下。

資源關鍵字 knowledgebase 和 subspace 為固定值；$knowledgeBaseName 與 $subspace 取自請求中的同名欄位。鑒權層級按以下規則確定：

• 請求未攜帶 knowledgeBaseName（典型如列舉類操作）時，按執行個體級 .../instance/$instanceName/* 鑒權。

• 請求攜帶單個 subspace 時按子空間級鑒權；一次請求涉及多個 subspace 時，回退到所屬知識儲存級 .../knowledgebase/$knowledgeBaseName 鑒權。

• 如需放開某個知識儲存下的全部子空間，使用萬用字元 .../knowledgebase/$knowledgeBaseName/subspace/*，或直接授權到知識儲存級（其覆蓋範圍包含全部子空間）。

記憶儲存

記憶儲存資源支援三個授權層級，從粗到細如下。

資源關鍵字 memorystore、appid、tenantid、agentid、runid 為固定值；$memoryStoreName 取自請求中的同名欄位，$appId、$tenantId、$agentId、$runId 取自請求 scope 中的對應欄位。請求未攜帶 memoryStoreName 時，按執行個體級 .../instance/$instanceName/* 鑒權。

範圍（scope）預設值

請求攜帶 scope 但未指定其中某個欄位時，該欄位在鑒權資源中取預設值 __default__。例如請求 scope 僅指定 appId=app_a，鑒權資源拼接為：

acs:ots:$region:$accountId:instance/$instanceName/memorystore/$memoryStoreName/appid/app_a/tenantid/__default__/agentid/__default__/runid/__default__

在 RAM Policy 中放開某些範圍維度時，必須使用萬用字元 *（如 .../agentid/*/runid/*）顯式佔位，不可省略對應層級，否則將匹配到 __default__ 而非全部值。

唯讀訪問指定知識儲存

以下策略允許對知識儲存 product_docs_kb 進行檢索與查詢，禁止任何寫操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:DescribeKnowledgeBase",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:ListChunks",
        "ots:Retrieve"
      ],
      "Resource": [
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb",
        "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/*"
      ]
    }
  ]
}

按子空間隔離知識庫寫入權限

以下策略允許對知識儲存 product_docs_kb 的子空間 team_a 進行文檔與切片的讀寫，其他子空間不受影響。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddDocuments",
        "ots:GetDocument",
        "ots:ListDocuments",
        "ots:UpdateDocument",
        "ots:DeleteDocuments",
        "ots:ListChunks",
        "ots:UpdateChunks",
        "ots:Retrieve"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/knowledgebase/product_docs_kb/subspace/team_a"
    }
  ]
}

按應用維度隔離記憶訪問

以下策略允許對記憶儲存 agent_mem 中 appId=app_a 的全部記憶（不限 tenant、agent、run）進行讀寫，其他 appId 的記憶不可訪問。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:AddMemories",
        "ots:SearchMemories",
        "ots:ListMemories",
        "ots:GetMemory",
        "ots:UpdateMemory",
        "ots:DeleteMemory"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/memorystore/agent_mem/appid/app_a/tenantid/*/agentid/*/runid/*"
    }
  ]
}

未限定的 tenantid、agentid、runid 必須用 * 顯式放開，不可省略，原因見上文範圍（scope）預設值說明。

執行個體內全權管理

以下策略允許對執行個體 myinstance 下所有相關資源執行全部操作。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ots:*KnowledgeBase",
        "ots:*Document*",
        "ots:*Chunks",
        "ots:Retrieve",
        "ots:*Memory*"
      ],
      "Resource": "acs:ots:cn-hangzhou:$accountId:instance/myinstance/*"
    }
  ]
}