Custom access control policy examples - Resource Directory - Resource Management

RAM kullanıcılarının, kullanıcı gruplarının ve rollerin değiştirilmesini ve silinmesini reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "ram:Attach*",
                "ram:Detach*",
                "ram:BindMFADevice",
                "ram:CreateAccessKey",
                "ram:CreateLoginProfile",
                "ram:CreatePolicyVersion",
                "ram:DeleteAccessKey",
                "ram:DeleteGroup",
                "ram:DeleteLoginProfile",
                "ram:DeletePolicy",
                "ram:DeletePolicyVersion",
                "ram:DeleteRole",
                "ram:DeleteUser",
                "ram:DisableVirtualMFA",
                "ram:AddUserToGroup",
                "ram:RemoveUserFromGroup",
                "ram:SetDefaultPolicyVersion",
                "ram:UnbindMFADevice",
                "ram:UpdateAccessKey",
                "ram:UpdateGroup",
                "ram:UpdateLoginProfile",
                "ram:UpdateRole",
                "ram:UpdateUser"
            ],
            "Resource": "*",
            "Effect": "Deny",         
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN":"acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
               }
           }
        }
    ],
    "Version": "1"
}

Bu ilke, RAM kullanıcılarının, kullanıcı gruplarının ve rollerin değiştirilmesini ve silinmesini reddeder; izin değişikliklerini engeller.

Not

Bu işlemleri yalnızca ResourceDirectoryAccountAccessRole (kaynak dizini üyelerine erişmek için varsayılan rol) gerçekleştirebilir. Tüm RAM kullanıcılarını ve RAM rollerini engellemek için koşulu kaldırın veya belirli kullanıcıların ya da rollerin erişimine izin vermek için PrincipalARN değerini değiştirin.

ResourceDirectoryAccountAccessRole öğesinin ve izinlerinin değiştirilmesini reddet

İlke:

{
   "Version": "1",
   "Statement": [
       {
           "Effect": "Deny",
           "Action": [
               "ram:UpdateRole",
               "ram:DeleteRole",
               "ram:AttachPolicyToRole",
               "ram:DetachPolicyFromRole"
           ],
           "Resource": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
       }
   ]
}

Belirli RAM kullanıcılarının değiştirilmesini ve silinmesini reddet

İlke:

{
    "Version": "1",
    "Statement": [{
        "Action": [
            "ram:AttachPolicyToUser",
            "ram:DetachPolicyFromUser",
            "ram:AddUserToGroup",
            "ram:RemoveUserFromGroup",
            "ram:UpdateUser",
            "ram:DeleteUser",
            "ram:CreateLoginProfile",
            "ram:UpdateLoginProfile",
            "ram:DeleteLoginProfile",
            "ram:CreateAccessKey",
            "ram:DeleteAccessKey",
            "ram:UpdateAccessKey",
            "ram:BindMFADevice",
            "ram:UnbindMFADevice",
            "ram:DisableVirtualMFA"
        ],
        "Resource": [
            "acs:ram:*:*:user/Alice"
        ],
        "Effect": "Deny",
        "Condition": {
            "StringNotLike": {
                "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
            }
        }
    }]
}

Bu ilke, Alice adlı RAM kullanıcısı için değiştirme, silme ve izin değişikliklerini reddeder. İlkeyi, örneğin acs:ram:*:18299873****:user/Alice gibi belirli bir Alibaba Cloud hesabı kapsamına alabilirsiniz.

Not

Bu ilke, kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine yalnızca izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Mevcut RAM kullanıcıları için konsol oturum açmanın etkinleştirilmesini reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "ram:CreateLoginProfile",
                "ram:UpdateLoginProfile"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Bu ilke, mevcut RAM kullanıcıları için konsol oturum açmanın etkinleştirilmesini engeller. Yeni RAM kullanıcıları etkilenmez.

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Kaynak silme işlemi için MFA zorunlu kıl

İlke:

{
  "Statement": [
    {
      "Action": "ecs:DeleteInstance",
      "Effect": "Deny",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "acs:MFAPresent": "false"
        }
      }
    }
  ],
  "Version": "1"
}

Bu ilke, bir ECS örneğini silerken bir RAM kullanıcısının veya RAM rolünün çok faktörlü kimlik doğrulaması (MFA) kullanmasını zorunlu kılmak için örnek olarak sunulmuştur. Diğer kaynakları silmek için ilkenin Action bölümünü ilgili kaynağın işlemiyle değiştirin.

Kullanıcı tabanlı SSO ayarlarının değiştirilmesini reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "ram:SetSamlSsoSettings"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Rol tabanlı SSO ayarlarının değiştirilmesini reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "ram:CreateSAMLProvider",
                "ram:DeleteSAMLProvider",
                "ram:UpdateSAMLProvider"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

ActionTrail olay teslimatının devre dışı bırakılmasını veya değiştirilmesini reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "actiontrail:UpdateTrail",
                "actiontrail:DeleteTrail",
                "actiontrail:StopLogging"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Belirli ağ hizmetlerine erişimi reddet

İlke:

{
    "Statement": [
        {
            "Action": [
                "vpc:*HaVip*",
                "vpc:*RouteTable*",
                "vpc:*VRouter*",
                "vpc:*RouteEntry*",
                "vpc:*VSwitch*",
                "vpc:*Vpc*",
                "vpc:*Cen*",           
                "vpc:*NetworkAcl*"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        },
        {
            "Action": [
                "vpc:*VpnGateway*",
                "vpc:*VpnConnection*",
                "vpc:*CustomerGateway*",
                "vpc:*SslVpnServer*",
                "vpc:*SslVpnClientCert*",
                "vpc:*VpnRoute*",
                "vpc:*VpnPbrRoute*"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Bu ilke, VPC ve VPN Gateway erişimini reddeder. Diğer ağ hizmetlerine erişimi reddetmek için Action değerini ilgili işlemlerle değiştirin.

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

İnternet'e yönelik kaynakların (EIP'ler ve NAT ağ geçitleri) oluşturulmasını reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "vpc:AllocateEipAddress",
                "vpc:AllocateEipAddressPro",
                "vpc:AllocateEipSegmentAddress",
                "vpc:CreateNatGateway"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ]
}

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Hibrit bağlantı hizmetlerine erişimi reddet

İlke:

{
    "Statement": [
       {
            "Action": [
                "vpc:*PhysicalConnection*",
                "vpc:*VirtualBorderRouter*",
                "cen:*",
                "vpc:*VpnGateway*",
                "vpc:*VpnConnection*",
                "vpc:*CustomerGateway*",
                "vpc:*SslVpnServer*",
                "vpc:*SslVpnClientCert*",
                "vpc:*VpnRoute*",
                "vpc:*VpnPbrRoute*",
                "smartag:*"
            ],
            "Resource": "*",
            "Effect": "Deny"         
        }
    ],
    "Version": "1"
}

Bu ilke, Express Connect, Cloud Enterprise Network (CEN), VPN Gateway ve Smart Access Gateway hibrit bağlantı hizmetlerine erişimi reddeder.

Giderler ve Maliyetler hizmetinin belirli özelliklerine erişimi reddet

İlke:

{
    "Statement": [
       {
            "Action": [
                "bss:DescribeOrderList",
                "bss:DescribeOrderDetail",
                "bss:PayOrder",
                "bss:CancelOrder"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ],
    "Version": "1"
}

Bu ilke, Giderler ve Maliyetler hizmetinin Siparişler özelliğine erişimi reddeder. Diğer özellikleri reddetmek için Action değerini ilgili işlemlerle değiştirin.

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

CloudMonitor ayarlarının değiştirilmesini reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cms:Put*",
                "cms:Update*",
                "cms:Create*",
                "cms:Modify*",
                "cms:Disable*",
                "cms:Enable*",
                "cms:Delete*",
                "cms:Send*",
                "cms:Subscribe*",
                "cms:Unsubscribe*",
                "cms:Remove*",
                "cms:CreateAction",
                "cms:Pause*",
                "cms:Stop*",
                "cms:Start*",
                "cms:BatchCreate*",
                "cms:ProfileSet",
                "cms:ApplyMonitoringTemplate"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "acs:PrincipalARN": "acs:ram:*:*:role/resourcedirectoryaccountaccessrole"
                }
            }
        }
    ]
}

Not

Bu ilke, yalnızca kaynak dizininin üye hesaplara erişmek için varsayılan olarak kullandığı ResourceDirectoryAccountAccessRole rolünün bu işlemi gerçekleştirmesine izin verir. Bu işlemi tüm RAM kullanıcılarının ve RAM rollerinin yapmasını engellemek için bu Condition öğesini silebilirsiniz. Kısıtlamayı özelleştirmek için PrincipalARN değerini ekleyebilir veya değiştirebilirsiniz.

Ayrılmış örneklerin satın alınmasını reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:PurchaseReservedInstancesOffering"
            ],
            "Resource": "*",
            "Effect": "Deny"
        }
    ]
}

Belirtilen bir VPC dışındaki ECS örneklerinin oluşturulmasını reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:CreateInstance",
                "ecs:RunInstances"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Condition": {
                "StringNotLike": {
                    "vpc:VPC": "acs:vpc:cn-shenzhen:*:vpc/vpc-wz95ya85js0avrkabc****"
                }
            }
        }
    ]
}

acs:vpc:cn-shenzhen:*:vpc/vpc-wz95ya85js0avrkabc**** belirtilen VPC'dir. Bunu kendi VPC ARN'nizle değiştirin.

Alan adı satın alımlarını reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "domain:CreateOrderActivate"
            ],
            "Resource": "*",
            "Effect": "Deny"
        }
    ]
}

Bilet sistemine erişimi reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "support:*",
                "workorder:*"
            ],
            "Resource": "*",
            "Effect": "Deny"
        }
    ]
}

Belirli bir bölgede ECS erişimini reddet

İlke:

{
    "Version": "1",
    "Statement": [{
        "Effect": "Deny",
        "Action": [
            "ecs:*"
        ],
        "Resource": "acs:ecs:us-east-1:*:*"
    }]
}

Bu ilke, ABD (Virginia) bölgesinde ECS erişimini reddeder.

Kaynak dizini dışındaki kaynak paylaşımını reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "resourcesharing:CreateResourceShare",
                "resourcesharing:UpdateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "resourcesharing:RequestedAllowExternalTargets": "true"
                }
            }
        }
    ]
}

Bu ilke, geçerli kaynak dizini dışındaki hesaplarla paylaşımı olanaklı kılan kaynak paylaşımlarının oluşturulmasını reddeder.

Yetkisiz hesaplarla kaynak paylaşımını reddet

İlke:

{
    "Version": "1",
    "Statement": [
      {
        "Effect": "Deny",
            "Action": [
                "resourcesharing:AssociateResourceShare",
                "resourcesharing:CreateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotLike": {
                    "resourcesharing:Target": [
                        "rd-3G****/r-Wm****/*",
                        "rd-3G****/r-Wm****",
                        "192796193830****"
                    ]
                }
            }
        }
    ]
}

Bu ilke, kaynak paylaşımına yalnızca 192796193830**** hesabı ve rd-3G****/r-Wm**** klasöründeki tüm üyelerle izin verir. resourcesharing:Target değerini gerektiği şekilde ayarlayın.

Harici hesaplardan gelen kaynak paylaşımı davetlerinin kabul edilmesini reddet

İlke:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resourcesharing:AcceptResourceShareInvitation",
            "Resource": "*"
        }
    ]
}

Bu ilke, geçerli kaynak dizini dışındaki hesaplardan gelen kaynak paylaşımı davetlerinin kabul edilmesini reddeder. Aynı dizin içindeki kaynak paylaşımı davet kullanmaz ve etkilenmez.

Yalnızca belirli kaynak türlerinin paylaşılmasına izin ver

İlke:

{
  "Version":  "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "resourcesharing:CreateResourceShare",
        "resourcesharing:AssociateResourceShare"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "resourcesharing:RequestedResourceType": ["VSwitch","Image","Snapshot"]
        }
      }
    }
  ]
}

Bu ilke, yalnızca vSwitch, görüntü ve anlık görüntü paylaşımına izin verir. Kaynak türü kodları için Kaynak Paylaşımı ile Çalışan Hizmetler başlığının Kaynak türü sütununa bakın.

Yalnızca belirli kaynakların paylaşılmasına izin ver

İlke:

{
  "Version":  "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "resourcesharing:CreateResourceShare",
        "resourcesharing:AssociateResourceShare"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "resourcesharing:ResourceArn": [
            "acs:vpc:cn-shanghai:131993166204****:vswitch/vsw-7xv4sfwo86u2etl64****",
            "acs:ecs:cn-shanghai:131993166204****:snapshot/s-7xviog7aq4tenbqj****"
          ]
        }
      }
    }
  ]
}

Bu ilke, yalnızca 131993166204**** Alibaba Cloud hesabı içindeki vsw-7xv4sfwo86u2etl64**** vSwitch ve s-7xviog7aq4tenbqj**** anlık görüntüsünün paylaşılmasına izin verir. Kaynak ARN'leri için Kaynak Paylaşımı ile Çalışan Hizmetler başlığının Kaynak ARN sütununa bakın.

VPC oluşturma için IPAM havuzları gerektir

İlke:

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

Bu ilke, VPC oluşturmayı yalnızca IP Address Manager (IPAM) havuzları aracılığıyla olanaklı kılar.

VPC oluşturma için belirli bir IPAM havuzu gerektir

İlke:

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-bp1dt0ttxkrzpq5nr****"
        }
      }
    }
  ],
  "Version": "1"
}

Bu ilke, VPC oluşturmayı yalnızca ipam-pool-bp1dt0ttxkrzpq5nr**** IPAM havuzu aracılığıyla olanaklı kılar.