Function Compute:İlkeler ve örnek ilkeler

RAM'de ilke, İlke yapısı ve sözdizimi temel alınarak tanımlanan bir izin kümesidir. Bir ilke, yetkili kaynak kümesini, işlem kümesini ve yetkilendirme koşullarını kesin olarak belirler. Function Compute ilkeleri aşağıdaki türleri içerir:

• Sistem ilkeleri: Sistem ilkeleri Alibaba Cloud tarafından oluşturulur ve güncellenir. Sistem ilkelerini kullanabilirsiniz ancak bunları değiştiremezsiniz.

• Özel ilkeler: Özel ilkeleri oluşturabilir, güncelleyebilir ve silebilirsiniz. Özel ilkelerin sürümlerini kendiniz yönetmeniz gerekir.

Aşağıdaki öğeler farklı türlerdeki sistem ilkelerini listeler:

• Function Compute sistem ilkeleri

  İlke adı	Açıklama
  AliyunFCReadOnlyAccess	Tüm Function Compute kaynaklarında salt okunur izinleri sağlar.
  AliyunFCInvocationAccess	İşlevleri çağırma izinlerini sağlar.
  AliyunFCFullAccess	Tüm Function Compute kaynaklarını yönetme izinlerini sağlar.

  Not

  AliyunFCFullAccess ilkesi, AliyunFCInvocationAccess ve AliyunFCReadOnlyAccess ilkelerinin izinlerini içerir. AliyunFCFullAccess ilkesini bir RAM kullanıcısına ekledikten sonra, söz konusu kullanıcıya AliyunFCInvocationAccess veya AliyunFCReadOnlyAccess ilkesini ayrıca eklemenize gerek yoktur.

• Diğer Alibaba Cloud hizmetleri için sistem ilkeleri

  Alibaba Cloud hizmeti	Sistem ilkesi
  Simple Log Service	AliyunLogReadOnlyAccess: Simple Log Service kaynaklarında salt okunur izinleri sağlar. AliyunLogFullAccess: Simple Log Service kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının Simple Log Service hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunLogReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  Object Storage Service (OSS)	AliyunOSSReadOnlyAccess: OSS kaynaklarında salt okunur izinleri sağlar. AliyunOSSFullAccess: OSS kaynaklarını yönetme izinlerini sağlar.
  CloudMonitor	AliyunCloudMonitorReadOnlyAccess: CloudMonitor kaynaklarında salt okunur izinleri sağlar.
  Certificate Management Service	AliyunYundunCertReadOnlyAccess: Certificate Management Service kaynaklarında salt okunur izinleri sağlar.
  Virtual Private Cloud (VPC)	AliyunVPCReadOnlyAccess: VPC kaynaklarında salt okunur izinleri sağlar.
  Elastic Compute Service (ECS)	AliyunECSReadOnlyAccess: ECS kaynaklarında salt okunur izinleri sağlar.
  RAM	AliyunRAMReadOnlyAccess: Kullanıcıları, grupları ve yetkilendirme bilgilerini görüntüleme izinleri dahil olmak üzere RAM kaynaklarında salt okunur izinleri sağlar. AliyunRAMFullAccess: Kullanıcıları yönetme ve izin atama izinleri dahil olmak üzere RAM kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısına yalnızca AliyunRAMReadOnlyAccess ilkesini eklerseniz, bu kullanıcıyla konsolda yalnızca rol listesini görüntüleyebilirsiniz. RAM kullanıcısı olarak başka işlemler yapmanız gerekiyorsa, ilgili kullanıcıya AliyunRAMFullAccess ilkesini eklemeniz gerekir.
  Application Real-Time Monitoring Service (ARMS)	AliyunARMSReadOnlyAccess: ARMS kaynaklarında salt okunur izinleri sağlar. AliyunARMSFullAccess: ARMS kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının ARMS hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunARMSReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  Simple Message Queue (formerly MNS)	AliyunMNSReadOnlyAccess: Simple Message Queue (formerly MNS) kaynaklarında salt okunur izinleri sağlar. AliyunMNSFullAccess: Simple Message Queue (formerly MNS) kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının Simple Message Queue (formerly MNS) hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunMNSReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.Simple Message Queue (formerly MNS)
  EventBridge	AliyunEventBridgeReadOnlyAccess: EventBridge kaynaklarında salt okunur izinleri sağlar. AliyunEventBridgeFullAccess: EventBridge kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının EventBridge hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunEventBridgeReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  ApsaraMQ for RocketMQ	AliyunMQReadOnlyAccess: ApsaraMQ for RocketMQ kaynaklarında salt okunur izinleri sağlar. AliyunMQFullAccess: ApsaraMQ for RocketMQ kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının ApsaraMQ for RocketMQ hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunMQReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  Container Registry	AliyunContainerRegistryReadOnlyAccess: Container Registry kaynaklarında salt okunur izinleri sağlar. AliyunContainerRegistryFullAccess: Container Registry kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının Container Registry hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunContainerRegistryReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  File Storage NAS (NAS)	AliyunNASReadOnlyAccess: NAS kaynaklarında salt okunur izinleri sağlar. AliyunNASFullAccess: NAS kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının NAS hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunNASReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  ApsaraDB RDS	AliyunRDSReadOnlyAccess: ApsaraDB RDS kaynaklarında salt okunur izinleri sağlar. AliyunRDSFullAccess: ApsaraDB RDS kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının ApsaraDB RDS hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunRDSReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.
  Alibaba Cloud DevOps	AliyunRDCReadOnlyAccess: Apsara DevOps RDC kaynaklarında salt okunur izinleri sağlar. AliyunRDCFullAccess: Apsara DevOps RDC kaynaklarını yönetme izinlerini sağlar. Not Bir RAM kullanıcısının ApsaraDB RDS hizmetine erişmesi için, en az ayrıcalık ilkesi gereği yalnızca AliyunRDCReadOnlyAccess ilkesini ilgili RAM kullanıcısına eklemeniz yeterlidir.

 {
        "Statement": [
            {
                "Action": [
                    "ram:PassRole"
                ],
                "Effect": "Allow",
                "Resource": "*"
            }
        ],
        "Version": "1"
    }

Önceki özel ilkeyi kullanarak China (Hangzhou) bölgesindeki demo işlevini çağırma izinlerini yapılandırabilirsiniz. Aşağıdaki kod parçası ayrıntıları gösterir:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "fc:InvokeFunction"
            ],
            "Resource": "acs:fc:cn-hangzhou:*:functions/demo",
            "Effect": "Allow"
        }
    ]
}

{
	"Version": "1",
	"Statement": [{
			"Action": [
				"fc:CreateFunction",
				"fc:GetFunction",
				"fc:InvokeFunction"
			],
			"Resource": "*",
			"Effect": "Allow"
		},
		{
			"Action": [
				"ram:PassRole"
			],
			"Effect": "Allow",
			"Resource": "*"
		}
	]
}

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:ListProject",
                "log:ListLogStore"
            ],
            "Resource": "acs:log:*:*:project/*"
        }
    ]
}

{
  "Statement": [
    {
      "Action": [
        "oss:ListBucket",
        "oss:GetBucketEventNotification",
        "oss:PutBucketEventNotification",
        "oss:DeleteBucketEventNotification"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceInternetAccess": "true"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceInternetAccess": "false"
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableServiceSLSLogging": "false"
        }
      }
    },
    {
      "Action": "fc:CreateFunction",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "fc:EnableServiceSLSLogging": "true"
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerInternet": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerInternet=true]'"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:UpdateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    },
    {
      "Action": "fc:CreateTrigger",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableHTTPTriggerAnonymous": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateTrigger' on resource 'acs:fc:xx:xx:functions/xx/triggers/xx' with condition '[fc:EnableHTTPTriggerAnonymous=true]'"
}

{
  "Version": "1",
  "Statement": [
    {
      "Action": "fc:CreateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    },
    {
      "Action": "fc:UpdateCustomDomain",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "fc:EnableCustomDomainHTTP": "true"
        }
      }
    }
  ]
}

{
  "statusCode":403,
  "Code":"AccessDenied",
  "Message":"the caller is not authorized to perform 'fc:CreateCustomDomain' on resource 'acs:fc:xxx:xxx:custom-domains/xxx' with condition '[fc:EnableCustomDomainHTTP=true]'"
}