j9九游会登录/ 统一身份认证服务 iam_统一身份认证服务（新版）/ 服务授权参考/ / / 云专线 dc
更新时间：2025-12-11 gmt 08:00

云专线 dc-j9九游会登录

云服务在iam预置了常用的权限，称为系统身份策略。如果iam系统身份策略无法满足授权要求，管理员可以根据各j9九游会登录的服务支持的授权项，创建iam自定义身份策略来进行精细的访问控制，iam自定义身份策略是对系统身份策略的扩展和补充。

除iam服务外，organizations服务中的服务控制策略（service control policy，以下简称scp）也可以使用这些授权项元素设置访问控制策略。

scp不直接进行授权，只划定权限边界。将scp绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。iam身份策略授予权限的有效性受scp限制，只有在scp允许范围内的权限才能生效。

iam服务与organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：iam服务与organizations服务权限访问控制的区别。

本章节介绍iam服务身份策略授权场景中自定义身份策略和组织服务中scp使用的元素，这些元素包含了操作（action）、资源（resource）和条件（condition）。

操作（action）

操作（action）即为身份策略中支持的授权项。

  • “访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在身份策略语句的resource元素中指定所有资源类型（“*”）。
    • 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的urn。
    • 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。

    关于dc定义的资源类型的详细信息请参见资源类型（resource）。

  • “条件键”列包括了可以在身份策略语句的condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
    • 如果此列条件键没有值（-），表示此操作不支持指定条件键。

    关于dc定义的条件键的详细信息请参见条件（condition）。

  • “别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的api访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的action元素中指定以下dc的相关操作。

表1 dc支持的授权项

授权项

描述

访问级别

资源类型（*为必须）

条件键

别名

dcaas:directconnect:create

授予创建物理连接。

write

directconnect *

-

-

-

dcaas:directconnect:update

授予更新指定物理连接信息。

write

directconnect *

-

dcaas:directconnect:delete

授予删除指定物理连接。只适用于按需计费物理连接，对于包周期购买的物理连接通过订单退订的方式删除指定物理连接。

write

directconnect *

-

dcaas:directconnect:get

授予查询指定物理连接详细信息。

read

directconnect *

-

dcaas:directconnect:list

授予查询租户创建的所有物理连接。

list

directconnect *

-

-

-

g:enterpriseprojectid

dcaas:directconnect:createhosteddirectconnect

授予j9九游会登录的合作伙伴创建托管物理连接。

write

directconnect *
  • dcaas:directconnect:create

dcaas:directconnect:updatehosteddirectconnect

授予j9九游会登录的合作伙伴更新指定托管物理连接。

write

directconnect *
  • dcaas:directconnect:update

dcaas:directconnect:deletehosteddirectconnect

授予j9九游会登录的合作伙伴删除指定托管物理连接。

write

directconnect *
  • dcaas:directconnect:delete

dcaas:directconnect:gethosteddirectconnect

授予j9九游会登录的合作伙伴查询指定托管物理连接。

read

directconnect *
  • dcaas:directconnect:get

dcaas:directconnect:listhosteddirectconnect

授予j9九游会登录的合作伙伴查询所有托管物理连接列表。

list

directconnect *

g:enterpriseprojectid
  • dcaas:directconnect:list

dcaas:directconnect:createonestopdirectconnect

授予创建一站式物理连接。

write

directconnect *

-
  • dcaas:directconnect:create

-

dcaas:directconnect:updateonestopdirectconnect

授予更新指定一站式物理连接。

write

directconnect *
  • dcaas:directconnect:update

dcaas:directconnect:createorder

授予创建订单用来购买物理连接。

write

directconnect *

-
  • dcaas:directconnect:create

dcaas:directconnect:updateorder

授予更新指定订单，用于物理连接升配或降配。

write

directconnect *

-
  • dcaas:directconnect:update

dcaas:vgw:create

授予创建虚拟网关。

write

vgw *

-

-

vpc

-

instances

-

-

dcaas:vgw:update

授予更新指定虚拟网关的信息。

write

vgw *

-

dcaas:vgw:delete

授予删除指定的虚拟网关。

write

vgw *

-

dcaas:vgw:get

授予查询指定虚拟网关的详细信息。

read

vgw *

-

dcaas:vgw:list

授予查询虚拟网关列表。

list

vgw *

-

-

-

g:enterpriseprojectid

dcaas:vif:create

授予创建虚拟接口。

write

vif *

-

-

directconnect

-

lag

-

vgw

-

gdgw

-

connectgateway

-

lgw

-

-

dcaas:vif:update

授予更新指定虚拟接口。

write

vif *

-

dcaas:vif:delete

授予删除指定虚拟接口。

write

vif *

-

dcaas:vif:get

授予查询指定虚拟接口。

read

vif *

-

dcaas:vif:list

授予查询指定租户所有虚拟接口列表。

list

vif *

-

-

-

g:enterpriseprojectid

dcaas:vif:updatevifextendattribute

授予更新指定虚拟接口扩展属性。

write

vif *

-

dcaas:vifpeer:create

授予创建虚拟接口对等体。

write

vifpeer *

-

-

vif *

-

dcaas:vifpeer:update

授予更新指定虚拟接口对等体信息。

write

vifpeer *

-

-

dcaas:vifpeer:delete

授予删除指定虚拟接口对等体。

write

vifpeer *

-

-

dcaas:vifpeer:get

授予查询指定虚拟接口对等体。

read

vifpeer *

-

-

dcaas:vifpeer:list

授予查询虚拟接口对等体列表。

list

vifpeer *

-

-

dcaas:lag:list

授予查询链路聚合组详细信息列表。

list

lag *

-

-

-

g:enterpriseprojectid

dcaas:gdgw:create

授予创建全域接入网关实例。

write

gdgw *

-

-

-

dcaas:gdgw:update

授予更新指定全域接入网关信息。

write

gdgw *

-

dcaas:gdgw:delete

授予删除指定的全域接入网关。

write

gdgw *

-

dcaas:gdgw:get

授予查询指定全域接入网关实例详情信息。

read

gdgw *

-

dcaas:gdgw:list

授予查询全域接入网关列表。

list

gdgw *

-

-

-

g:enterpriseprojectid

dcaas:gdgw:createpeerlink

授予创建指定全域接入网关的关联连接。

write

gdgw *

-

dcaas:gdgw:updatepeerlink

授予更新指定全域接入网关的指定关联连接。

write

gdgw *

-

dcaas:gdgw:deletepeerlink

授予删除指定全域接入网关的指定对等连接。

write

gdgw *

-

dcaas:gdgw:getpeerlink

授予查询指定全域接入网关的指定关联连接。

read

gdgw *

-

dcaas:gdgw:listpeerlink

授予查询指定全域接入网关的所有关联连接列表。

list

gdgw *

-

dcaas:connectgateway:create

授予权限以创建互联网关。

write

connectgateway *

-

-

dcaas:connectgateway:update

授予权限以更新互联网关。

write

connectgateway *

-

-

dcaas:connectgateway:delete

授予权限以删除互联网关。

write

connectgateway *

-

-

dcaas:connectgateway:get

授予权限以查询互联网关详情。

read

connectgateway *

-

-

dcaas:connectgateway:list

授予权限以查询互联网关列表。

list

connectgateway *

-

-

dcaas:connectgateway:listglobaleip

授予权限以查询绑定的geip列表。

list

connectgateway *

-

-

dcaas:connectgateway:bindglobaleip

授予权限以绑定geip。

write

connectgateway *

-

-

dcaas:connectgateway:unbindglobaleip

授予权限以解绑定geip。

write

connectgateway *

-

-

dcaas:vif:switchovertest

授予权限以进行倒换测试。

write

vif *

-

-

dcaas:vif:listswitchovertestrecord

授予权限以获取倒换测试执行记录。

list

vif *

-

-

dcaas:vif:getswitchovertestrecord

授予权限以获取单条倒换测试执行记录。

read

vif *

-

-

dcaas:resources:batchtaguntag

授予权限以批量增加删除云专线的资源标签。

tagging

directconnect

-

lag

vgw

vif

gdgw

-

dcaas:resources:listresourcetag

授予权限以查询云专线的资源标签。

list

directconnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:listtag

授予权限以查询云专线某个资源类型的标签。

list

directconnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:resources:tag

授予权限以添加云专线的资源标签。

tagging

directconnect

-

lag

vgw

vif

gdgw

-

dcaas:resources:untag

授予权限以删除云专线的资源标签。

tagging

directconnect

-

lag

vgw

vif

gdgw

-

g:tagkeys

dcaas:resources:listbytag

授予根据标签查询云专线资源列表权限。

list

directconnect

-

-

lag

-

vgw

-

vif

-

gdgw

-

dcaas:gdgw:listgdgwroutetable

授予权限以获取专线全域接入网关的路由表。

list

gdgw *

-

dcaas:gdgw:updategdgwroutetable

授予权限以更新专线全域接入网关的路由表。

write

gdgw *

-

dcaas:vgw:listvgwroutetable

授予权限以获取专线虚拟网关的路由表。

list

vgw *

-

dcaas:vgw:updatevgwroutetable

授予权限以更新专线虚拟网关的路由表。

write

vgw *

-

dcaas:quota:listvgwusage

授予权限以获取专线的vpc下vgw配额。

list

-

-

-

dcaas:quota:listusage

授予权限以获取专线的配额。

list

-

-

-

dcaas:lgw:create

授予创建本地网关权限。

write

lgw *

-

-

dcaas:lgw:update

授予更新本地网关权限。

write

lgw *

-

-

dcaas:lgw:delete

授予删除本地网关权限。

write

lgw *

-

-

dcaas:lgw:get

授予查询本地网关详情权限。

read

lgw *

-

-

dcaas:lgw:list

授予查询本地网关列表权限。

list

lgw *

-

-

dcaas:lgwtable:create

授予创建本地网关路由表权限。

write

lgwtable *

-

-

lgw *

-

dcaas:lgwtable:update

授予更新本地网关路由表权限。

write

lgwtable *

-

-

dcaas:lgwtable:delete

授予删除本地网关路由表权限。

write

lgwtable *

-

-

dcaas:lgwtable:get

授予查询本地网关路由表详情权限。

read

lgwtable *

-

-

dcaas:lgwtable:list

授予查询本地网关路由表列表权限。

list

lgwtable *

-

-

dcaas:lgwtable:createlgwtableroute

授予创建本地网关路由表路由权限。

write

lgwtable *

-

-

dcaas:lgwtable:updatelgwtableroute

授予更新本地网关路由表路由权限。

write

lgwtable *

-

-

dcaas:lgwtable:deletelgwtableroute

授予删除本地网关路由表路由权限。

write

lgwtable *

-

-

dcaas:lgwtable:getlgwtableroute

授予查询本地网关路由表路由详情权限。

read

lgwtable *

-

-

dcaas:lgwtable:listlgwtableroute

授予查询本地网关路由表路由列表权限。

list

lgwtable *

-

-

dcaas:lgwtable:batchdeletelgwtableroute

授予批量删除本地网关路由表路由权限。

write

lgwtable *

-

-

dcaas:lgwtable:createlgwtablevpc

授予将本地网关路由表关联至虚拟私有云的权限。

write

lgwtable *

-

-

vpc *

-

dcaas:lgwtable:updatelgwtablevpc

授予更新本地网关路由表虚拟私有云权限。

write

lgwtable *

-

-

dcaas:lgwtable:deletelgwtablevpc

授予解除本地网关路由表与虚拟私有云关联的权限。

write

lgwtable *

-

-

dcaas:lgwtable:getlgwtablevpc

授予查询本地网关路由表虚拟私有云详情权限。

read

lgwtable *

-

-

dcaas:lgwtable:listlgwtablevpc

授予查询本地网关路由表虚拟私有云列表权限。

list

lgwtable *

-

-

dc的api通常对应着一个或多个授权项。表2展示了api与授权项的关系，以及该api需要依赖的授权项。

表2 api与授权项的关系

api

对应的授权项

依赖的授权项

get /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directconnect:get

-

get /v3/{project_id}/dcaas/direct-connects

dcaas:directconnect:list

-

put /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directconnect:update

-

delete /v3/{project_id}/dcaas/direct-connects/{direct_connect_id}

dcaas:directconnect:delete

-

get /v3/{project_id}/dcaas/hosted-connects

dcaas:directconnect:listhosteddirectconnect

-

post /v3/{project_id}/dcaas/hosted-connects

dcaas:directconnect:createhosteddirectconnect

-

put /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directconnect:updatehosteddirectconnect

-

delete /v3/{project_id}/dcaas/hosted-connects/{hosted_connect_id}

dcaas:directconnect:deletehosteddirectconnect

-

get /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:get

-

get /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:list

-

put /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:update

-

delete /v3/{project_id}/dcaas/virtual-gateways/{virtual_gateway_id}

dcaas:vgw:delete

-

post /v3/{project_id}/dcaas/virtual-gateways

dcaas:vgw:create
  • er:instances:get
  • vpc:vpcs:get

get /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:get

-

get /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:list

-

put /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:update

-

delete /v3/{project_id}/dcaas/virtual-interfaces/{virtual_interface_id}

dcaas:vif:delete

-

post /v3/{project_id}/dcaas/virtual-interfaces

dcaas:vif:create

-

put /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifpeer:update

-

delete /v3/{project_id}/dcaas/vif-peers/{vif_peer_id}

dcaas:vifpeer:delete

-

post /v3/{project_id}/dcaas/vif-peers

dcaas:vifpeer:create

-

get /v3/{project_id}/dcaas/global-dc-gateways/{global_dc_gateway_id}

dcaas:gdgw:get

-

get /v3/{project_id}/dcaas/global-dc-gateways/{global_dc_gateway_id}/peer-links/{peer_link_id}

dcaas:gdgw:getpeerlink

-

post /v3/{project_id}/dcaas/switchover-test

dcaas:vif:switchovertest

-

get /v3/{project_id}/dcaas/switchover-test

dcaas:vif:listswitchovertestrecord

-

资源类型（resource）

资源类型（resource）表示身份策略所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的身份策略语句中指定该资源的urn，身份策略仅作用于此资源；如未指定，resource默认为“*”，则身份策略将应用到所有资源。您也可以在身份策略中设置条件，从而指定资源类型。

dc定义了以下可以在自定义身份策略的resource元素中使用的资源类型。

表3 dc支持的资源类型

资源类型

urn

instances

er:::instances:

lgw

dcaas:::lgw:

vif

dcaas:::vif:

lgwtable

dcaas:::lgwtable:

gdgw

dcaas:::gdgw:

vifpeer

dcaas:::vifpeer:

vpc

vpc:::vpc:

vgw

dcaas:::vgw:

directconnect

dcaas:::directconnect:

lag

dcaas:::lag:

connectgateway

dcaas:::connectgateway:

条件（condition）

dc服务不支持在身份策略中的条件键中配置服务级的条件键。dc可以使用适用于所有服务的全局条件键，请参考全局条件键。

父主题：

相关文档

网站地图