j9九游会登录/ 统一身份认证服务 iam_统一身份认证服务（新版）/ 服务授权参考/ / / 云连接 cc
更新时间：2025-12-02 gmt 08:00

云连接 cc-j9九游会登录

云服务在iam预置了常用授权项，称为系统身份策略。如果iam系统身份策略无法满足授权要求，管理员可以根据各j9九游会登录的服务支持的授权项，创建iam自定义身份策略来进行精细的访问控制，iam自定义身份策略是对系统身份策略的扩展和补充。

除iam服务外，organizations服务中的服务控制策略（service control policy，以下简称scp）也可以使用这些授权项元素设置访问控制策略。

scp不直接进行授权，只划定权限边界。将scp绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。iam身份策略授予权限的有效性受scp限制，只有在scp允许范围内的权限才能生效。

iam服务与organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：iam服务与organizations服务权限访问控制的区别。

本章节介绍iam服务身份策略授权场景中自定义身份策略和组织服务中scp使用的元素，这些元素包含了操作（action）、资源（resource）和条件（condition）。

操作（action）

操作（action）即为身份策略中支持的授权项。

  • “访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在身份策略语句的resource元素中指定所有资源类型（“*”）。
    • 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的urn。
    • 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。

    关于cc定义的资源类型的详细信息请参见资源类型（resource）。

  • “条件键”列包括了可以在身份策略语句的condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
    • 如果此列条件键没有值（-），表示此操作不支持指定条件键。

    关于cc定义的条件键的详细信息请参见条件（condition）。

  • “别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的api访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的action元素中指定以下cc的相关操作。

表1 cc支持的授权项

授权项

描述

访问级别

资源类型（*为必须）

条件键

别名

cc:cloudconnections:create

授予创建云连接权限。

write

cloudconnection *

-

-

-

cc:cloudconnections:delete

授予删除云连接权限。

write

cloudconnection *

-

cc:cloudconnections:update

授予更新云连接权限。

write

cloudconnection *

-

cc:cloudconnections:get

授予查询云连接详情权限。

read

cloudconnection *

-

cc:cloudconnections:list

授予查询云连接列表权限。

list

cloudconnection *

-

-

cc:cloudconnections:tag

授予为云连接实例打标签权限。

tagging

cloudconnection *

-

-

cc:cloudconnections:untag

授予为云连接实例删除标签权限。

tagging

cloudconnection *

-

-

cc:cloudconnections:listtags

授予查询为云连接资源的标签列表权限。

list

cloudconnection *

-

-

cc:networkinstances:create

授予创建网络实例权限。

write

networkinstance *

-

-

cloudconnection *

g:resourcetag/

-

cc:networkinstances:delete

授予删除网络实例权限。

write

networkinstance *

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:networkinstances:update

授予更新网络实例权限。

write

networkinstance *

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:networkinstances:get

授予查询网络实例详情权限。

read

networkinstance *

-

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:networkinstances:list

授予查询网络实例列表权限。

list

networkinstance *

-

-

cc:bandwidthpackages:create

授予创建带宽包权限。

write

bandwidthpackage *

-

-

-

cc:bandwidthpackages:delete

授予删除带宽包权限。

write

bandwidthpackage *

-

cc:bandwidthpackages:update

授予更新带宽包权限。

write

bandwidthpackage *

-

cc:bandwidthpackages:get

授予查询带宽包详情权限。

read

bandwidthpackage *

-

cc:bandwidthpackages:list

授予查询带宽包列表权限。

list

bandwidthpackage *

-

-

cc:bandwidthpackages:tag

授予为带宽包打标签权限。

tagging

bandwidthpackage *

-

-

cc:bandwidthpackages:untag

授予为带宽包删除标签权限。

tagging

bandwidthpackage *

-

-

cc:bandwidthpackages:listtags

授予查询带宽包资源的标签列表权限。

list

bandwidthpackage *

-

-

cc:bandwidthpackages:associate

授予关联带宽包权限。

write

bandwidthpackage *

g:resourcetag/

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:bandwidthpackages:disassociate

授予解关联带宽包权限。

write

bandwidthpackage *

g:resourcetag/

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:interregionbandwidths:create

授予创建域间带宽权限。

write

interregionbandwidth *

-

-

cloudconnection *

g:resourcetag/

-

cc:interregionbandwidths:delete

授予删除域间带宽权限。

write

interregionbandwidth *

cc:bandwidthpackageid

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:interregionbandwidths:update

授予更新域间带宽权限。

write

interregionbandwidth *

cc:bandwidthpackageid

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:interregionbandwidths:get

授予查询域间带宽详情权限。

read

interregionbandwidth *

-

-

cloudconnection *

g:resourcetag/

-

g:enterpriseprojectid

cc:interregionbandwidths:list

授予查询域间带宽列表权限。

list

interregionbandwidth *

-

-

cc:cloudconnectionroutes:get

授予查询云连接路由详情权限。

read

-

-

-

cc:cloudconnectionroutes:list

授予查询云连接路由列表权限。

list

-

-

-

cc:authorisation:create

授予创建虚拟私有云授权的权限。

write

-

-

-

cc:authorisation:delete

授予删除虚拟私有云授权的权限。

write

-

-

-

cc:authorisation:update

授予更新虚拟私有云授权基本信息的权限。

write

-

-

-

cc:authorisation:list

授予查询虚拟私有云授权列表权限。

list

-

-

-

cc:authorisation:listpermissions

授予查询被授权的虚拟私有云列表权限。

list

-

-

-

cc:crossborderconsent:show

授予查询明示同意跨境转移个人数据的权限。

read

-

-

-

cc:crossborderconsent:create

授予允许用户明示同意跨境转移个人数据的权限。

write

-

-

-

cc:quota:list

授予查询配额列表权限。

list

-

-

-

cc:capability:list

授予查询云连接、中心网络和分支网络能力列表权限。

list

-

-

-

cc:centralnetwork:create

授予创建中心网络权限。

write

centralnetwork *

-

-

-

cc:centralnetwork:delete

授予删除中心网络权限。

write

centralnetwork *

-

cc:centralnetwork:update

授予更新中心网络权限。

write

centralnetwork *

-

-

cc:centralnetwork:get

授予查询中心网络详情权限。

read

centralnetwork *

-

cc:centralnetwork:list

授予查询中心网络列表权限。

list

centralnetwork *

-

-

cc:centralnetwork:tag

授予为中心网络添加标签权限。

tagging

centralnetwork *

-

-

cc:centralnetwork:untag

授予删除中心网络标签权限。

tagging

centralnetwork *

-

-

cc:centralnetwork:listtags

授予查询中心网络标签权限。

list

centralnetwork *

-

-

cc:centralnetwork:createpolicy

授予创建中心网络策略权限。

write

centralnetwork *

-

-

cc:multipleenterpriserouterids

cc:centralnetwork:applypolicy

授予应用中心网络策略权限。

write

centralnetwork *

-

cc:centralnetwork:deletepolicy

授予删除中心网络策略权限。

write

centralnetwork *

-

cc:centralnetwork:listpolicies

授予查询中心网络策略列表权限。

list

centralnetwork *

-

-

cc:centralnetwork:listchangeset

授予查询当前策略与被应用策略变化集权限。

list

centralnetwork *

-

-

cc:centralnetwork:listconnections

授予查询中心网络连接列表权限。

list

centralnetwork *

-

-

cc:centralnetwork:updateconnection

授予更新中心网络连接权限。

write

centralnetwork *

-

-

cc:globalconnectionbandwidthid

cc:centralnetworkattachment:creategdgw

授予创建中心网络gdgw附件权限。

write

centralnetworkattachment *

-

-

centralnetwork *

g:resourcetag/

-

cc:centralnetworkattachment:updategdgw

授予更新中心网络gdgw附件权限。

write

centralnetworkattachment *

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:getgdgw

授予查询中心网络gdgw附件详情权限。

read

centralnetworkattachment *

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:listgdgws

授予查询中心网络gdgw附件列表权限。

list

centralnetworkattachment *

-

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:createerroutetable

授予创建中心网络er-route-table附件权限。

write

centralnetworkattachment *

-

-

centralnetwork *

g:resourcetag/

-

cc:centralnetworkattachment:updateerroutetable

授予更新中心网络er-route-table附件权限。

write

centralnetworkattachment *

cc:multipleenterpriserouterids

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:geterroutetable

授予查询中心网络er-route-table附件详情权限。

read

centralnetworkattachment *

cc:multipleenterpriserouterids

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:listerroutetables

授予查询中心网络er-route-table附件列表权限。

list

centralnetworkattachment *

-

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:delete

授予删除中心网络附件权限。

write

centralnetworkattachment *

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:centralnetworkattachment:list

授予查询中心网络附件列表权限。

list

centralnetworkattachment *

-

-

centralnetwork *

g:resourcetag/

-

g:enterpriseprojectid

cc:sitenetwork:createp2p

授予创建p2p类型的分支网络权限。

write

sitenetwork *

-

-

cc:sitenetwork:list

授予查询分支网络列表权限。

list

sitenetwork *

-

-

cc:sitenetwork:get

授予查询分支网络详情权限。

read

sitenetwork *

-

-

cc:sitenetwork:update

授予更新分支网络权限。

write

sitenetwork *

-

-

cc:sitenetwork:delete

授予删除分支网络权限。

write

sitenetwork *

-

-

cc:sitenetwork:disassociatebandwidth

授予解关联分支网络带宽权限。

write

sitenetwork *

-

-

cc:sitenetwork:associatebandwidth

授予关联分支网络带宽权限。

write

sitenetwork *

-

-

cc:sitenetwork:updatebandwidthsize

授予更新分支网络带宽大小权限。

write

sitenetwork *

-

-

cc:sitenetwork:updatebandwidth

授予更新分支网络带宽权限。

write

sitenetwork *

-

-

cc:gcbandwidth:list

授予查询骨干带宽列表的权限。

list

gcbandwidth *

-

cc:gcbandwidths:list

-

g:enterpriseprojectid

cc:gcbandwidth:get

授予查询骨干带宽详情的权限。

read

gcbandwidth *

cc:gcbandwidths:get

cc:gcbandwidth:create

授予创建骨干带宽的权限。

write

gcbandwidth *

-

cc:gcbandwidths:create

-

cc:gcbandwidth:update

授予更新骨干带宽的权限。

write

gcbandwidth *

cc:gcbandwidths:update

cc:gcbandwidth:delete

授予删除骨干带宽的权限。

write

gcbandwidth *

cc:gcbandwidths:delete

cc:gcbandwidth:getrelations

授予查询骨干带宽绑定关系的权限。

read

gcbandwidth *

g:enterpriseprojectid

cc:gcbandwidths:get

cc:gcbandwidth:associateinstance

授予实例绑定骨干带宽的权限。

write

gcbandwidth *

cc:gcbandwidths:update

-

cc:gcbassociateresourcetype

cc:gcbandwidth:disassociateinstance

授予取消实例绑定骨干带宽的权限。

write

gcbandwidth *

cc:gcbandwidths:update

cc:gcbandwidth:listsupportbinding

授予查询支持绑定的骨干带宽的权限。

list

gcbandwidth *

-

cc:gcbandwidths:list

-

g:enterpriseprojectid

cc:gcbandwidth:listtags

授予查询骨干带宽资源标签权限。

list

gcbandwidth *

-

cc:gcbandwidths:listbytag

cc:gcbandwidth:tag

授予创建骨干带宽资源标签权限。

tagging

gcbandwidth *

cc:gcbandwidths:createtags

-

cc:gcbandwidth:untag

授予删除骨干带宽资源标签权限。

tagging

gcbandwidth *

cc:gcbandwidths:deletetags

-

g:tagkeys

cc的api通常对应着一个或多个授权项。表2展示了api与授权项的关系，以及该api需要依赖的授权项。

表2 api与授权项的关系

api

对应的授权项

依赖的授权项

post /v3/{domain_id}/ccaas/cloud-connections

cc:cloudconnections:create

-

put /v3/{domain_id}/ccaas/cloud-connections/{id}

cc:cloudconnections:update

-

delete /v3/{domain_id}/ccaas/cloud-connections/{id}

cc:cloudconnections:delete

-

get /v3/{domain_id}/ccaas/cloud-connections/{id}

cc:cloudconnections:get

-

get /v3/{domain_id}/ccaas/cloud-connections

cc:cloudconnections:list

-

post /v3/{domain_id}/ccaas/cloud-connections/filter

cc:cloudconnections:list

-

post /v3/{domain_id}/ccaas/cloud-connections/{id}/tag

cc:cloudconnections:tag

-

post /v3/{domain_id}/ccaas/cloud-connections/{id}/untag

cc:cloudconnections:untag

-

get /v3/{domain_id}/ccaas/cloud-connections/tags

cc:cloudconnections:listtags

-

post /v3/{domain_id}/ccaas/network-instances

cc:networkinstances:create

-

put /v3/{domain_id}/ccaas/network-instances/{id}

cc:networkinstances:update

-

delete /v3/{domain_id}/ccaas/network-instances/{id}

cc:networkinstances:delete

-

get /v3/{domain_id}/ccaas/network-instances/{id}

cc:networkinstances:get

-

get /v3/{domain_id}/ccaas/network-instances

cc:networkinstances:list

-

post /v3/{domain_id}/ccaas/bandwidth-packages

cc:bandwidthpackages:create

-

put /v3/{domain_id}/ccaas/bandwidth-packages/{id}

cc:bandwidthpackages:update

-

delete /v3/{domain_id}/ccaas/bandwidth-packages/{id}

cc:bandwidthpackages:delete

-

get /v3/{domain_id}/ccaas/bandwidth-packages/{id}

cc:bandwidthpackages:get

-

get /v3/{domain_id}/ccaas/bandwidth-packages

cc:bandwidthpackages:list

-

post /v3/{domain_id}/ccaas/bandwidth-packages/filter

cc:bandwidthpackages:list

-

post /v3/{domain_id}/ccaas/bandwidth-packages/{id}/tag

cc:bandwidthpackages:tag

-

post /v3/{domain_id}/ccaas/bandwidth-packages/{id}/untag

cc:bandwidthpackages:untag

-

get /v3/{domain_id}/ccaas/bandwidth-packages/tags

cc:bandwidthpackages:listtags

-

post /v3/{domain_id}/ccaas/bandwidth-packages/{id}/associate

cc:bandwidthpackages:associate

-

post /v3/{domain_id}/ccaas/bandwidth-packages/{id}/disassociate

cc:bandwidthpackages:disassociate

-

post /v3/{domain_id}/ccaas/inter-region-bandwidths

cc:interregionbandwidths:create

-

put /v3/{domain_id}/ccaas/inter-region-bandwidths/{id}

cc:interregionbandwidths:update

-

delete /v3/{domain_id}/ccaas/inter-region-bandwidths/{id}

cc:interregionbandwidths:delete

-

get /v3/{domain_id}/ccaas/inter-region-bandwidths/{id}

cc:interregionbandwidths:get

-

get /v3/{domain_id}/ccaas/inter-region-bandwidths

cc:interregionbandwidths:list

-

get /v3/{domain_id}/ccaas/cloud-connection-routes/{id}

cc:cloudconnectionroutes:get

-

get /v3/{domain_id}/ccaas/cloud-connection-routes

cc:cloudconnectionroutes:list

-

post /v3/{domain_id}/ccaas/authorisations

cc:authorisation:create

-

delete /v3/{domain_id}/ccaas/authorisations/{id}

cc:authorisation:delete

-

put /v3/{domain_id}/ccaas/authorisations/{id}

cc:authorisation:update

-

get /v3/{domain_id}/ccaas/authorisations

cc:authorisation:list

-

get /v3/{domain_id}/ccaas/permissions

cc:authorisation:listpermissions

-

get /v3/{domain_id}/ccaas/quotas

cc:quota:list

-

get /v3/{domain_id}/gcn/quotas

cc:quota:list

-

get /v3/{domain_id}/ccaas/capabilities

cc:capability:list

-

get /v3/{domain_id}/gcn/capabilities

cc:capability:list

-

post /v3/{domain_id}/gcn/central-networks

cc:centralnetwork:create
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

delete /v3/{domain_id}/gcn/central-networks/{central_network_id}

cc:centralnetwork:delete
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

put /v3/{domain_id}/gcn/central-networks/{central_network_id}

cc:centralnetwork:update

-

get /v3/{domain_id}/gcn/central-networks/{central_network_id}

cc:centralnetwork:get

-

get /v3/{domain_id}/gcn/central-networks

cc:centralnetwork:list

-

post /v3/{domain_id}/gcn/central-networks/filter

cc:centralnetwork:list

-

post /v3/{domain_id}/gcn/central-networks/{central_network_id}/tag

cc:centralnetwork:tag

-

post /v3/{domain_id}/gcn/central-networks/{central_network_id}/untag

cc:centralnetwork:untag

-

get /v3/{domain_id}/gcn/central-networks/tags

cc:centralnetwork:listtags

-

post /v3/{domain_id}/gcn/central-network/{central_network_id}/policies

cc:centralnetwork:createpolicy
  • er:instances:get
  • er:routetables:get

post /v3/{domain_id}/gcn/central-network/{central_network_id}/policies/{policy_id}/apply

cc:centralnetwork:applypolicy
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

delete /v3/{domain_id}/gcn/central-network/{central_network_id}/policies/{policy_id}

cc:centralnetwork:deletepolicy

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/policies

cc:centralnetwork:listpolicies

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/policies/{policy_id}/change-set

cc:centralnetwork:listchangeset

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/connections

cc:centralnetwork:listconnections

-

put /v3/{domain_id}/gcn/central-network/{central_network_id}/connections/{connection_id}

cc:centralnetwork:updateconnection

-

post /v3/{domain_id}/gcn/central-network/{central_network_id}/gdgw-attachments

cc:centralnetworkattachment:creategdgw
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

put /v3/{domain_id}/gcn/central-network/{central_network_id}/gdgw-attachments/{gdgw_attachment_id}

cc:centralnetworkattachment:updategdgw

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/gdgw-attachments/{gdgw_attachment_id}

cc:centralnetworkattachment:getgdgw

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/gdgw-attachments

cc:centralnetworkattachment:listgdgws

-

post /v3/{domain_id}/gcn/central-network/{central_network_id}/er-route-table-attachments

cc:centralnetworkattachment:createerroutetable
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

put /v3/{domain_id}/gcn/central-network/{central_network_id}/er-route-table-attachments/{er_route_table_attachment_id}

cc:centralnetworkattachment:updateerroutetable

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/er-route-table-attachments/{er_route_table_attachment_id}

cc:centralnetworkattachment:geterroutetable

-

get /v3/{domain_id}/gcn/central-network/{central_network_id}/er-route-table-attachments

cc:centralnetworkattachment:listerroutetables

-

delete /v3/{domain_id}/gcn/central-network/{central_network_id}/attachments/{attachment_id}

cc:centralnetworkattachment:delete
  • er:instances:get
  • er:routetables:get
  • er:routetables:listpropagations
  • er:routetables:enablepropagation
  • er:routetables:disablepropagation
  • er:routetables:listassociations
  • er:routetables:associate
  • er:routetables:disassociate

get /v3/{domain_id}/gcn/central-network/{central_network_id}/attachments

cc:centralnetworkattachment:list

-

get /v3/{domain_id}/ccaas/domain-cross-border-consents

cc:crossborderconsent:show

-

post /v3/{domain_id}/ccaas/domain-cross-border-consents

cc:crossborderconsent:create

-

post /v3/{domain_id}/dcaas/p2p-site-networks

cc:sitenetwork:createp2p

-

get /v3/{domain_id}/dcaas/site-networks

cc:sitenetwork:list

-

get /v3/{domain_id}/dcaas/site-networks/{site_network_id}

cc:sitenetwork:get

-

put /v3/{domain_id}/dcaas/site-networks/{site_network_id}

cc:sitenetwork:update

-

delete /v3/{domain_id}/dcaas/site-networks/{site_network_id}

cc:sitenetwork:delete

-

post /v3/{domain_id}/dcaas/site-network/{site_network_id}/connections/{site_connection_id}/disassociate

cc:sitenetwork:disassociatebandwidth

-

post /v3/{domain_id}/dcaas/site-network/{site_network_id}/connections/{site_connection_id}/associate

cc:sitenetwork:associatebandwidth

-

post /v3/{domain_id}/dcaas/site-network/{site_network_id}/connections/{site_connection_id}/update-bandwidth-size

cc:sitenetwork:updatebandwidthsize

-

post /v3/{domain_id}/dcaas/site-network/{site_network_id}/connections/{site_connection_id}/update-bandwidth

cc:sitenetwork:updatebandwidth

-

get /v3/{domain_id}/dcaas/site-network/capabilities

cc:capability:list

-

get /v3/{domain_id}/dcaas/site-network/quotas

cc:quota:list

-

资源类型（resource）

资源类型（resource）表示身份策略所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的身份策略语句中指定该资源的urn，身份策略仅作用于此资源；如未指定，resource默认为“*”，则身份策略将应用到所有资源。您也可以在身份策略中设置条件，从而指定资源类型。

cc定义了以下可以在自定义身份策略的resource元素中使用的资源类型。

表3 cc支持的资源类型

资源类型

urn

cloudconnection

cc:::cloudconnection:

gcbandwidth

cc:::gcbandwidth:

interregionbandwidth

cc:::interregionbandwidth:

networkinstance

cc:::networkinstance:

sitenetwork

cc:::sitenetwork:

bandwidthpackage

cc:::bandwidthpackage:

centralnetwork

cc:::centralnetwork:

centralnetworkattachment

cc:::centralnetworkattachment:

条件（condition）

条件键概述

条件（condition）是身份策略生效的特定条件，包括条件键和运算符。

  • 条件键表示身份策略语句的condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。
    • 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。
    • 服务级条件键（前缀通常为服务缩写，如cc:）仅适用于对应服务的操作，详情请参见表4。
    • 单值/多值表示api调用时请求中与条件关联的值数。单值条件键在api调用时的请求中最多包含一个值，多值条件键在api调用时请求可以包含多个值。例如：g:sourcevpce是单值条件键，表示仅允许通过某个vpc终端节点发起请求访问某资源，一个请求最多包含一个vpc终端节点id值。g:tagkeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用api请求时传入标签可以传入多个值。
  • 运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，身份策略才能生效。支持的运算符请参见：运算符。

cc支持的服务级条件键

cc定义了以下可以在自定义身份策略的condition元素中使用的条件键，您可以使用这些条件键进一步细化身份策略语句应用的条件。

表4 cc支持的服务级条件键

服务级条件键

类型

单值/多值

说明

cc:vpcid

string

单值

根据指定的虚拟私有云资源id过滤访问。

cc:virtualgatewayid

string

单值

根据指定的专线虚拟网络资源id过滤访问。

cc:enterpriserouterid

string

单值

根据指定的企业路由器资源id过滤访问。

cc:multipleenterpriserouterids

string

多值

根据指定的多个企业路由器资源id过滤访问。

cc:bandwidthpackageid

string

单值

根据指定的带宽包资源id过滤访问。

cc:globalconnectionbandwidthid

string

单值

根据指定的全域互联带宽资源id过滤访问。

cc:globaldcgatewayid

string

单值

根据指定的全球接入网关资源id过滤访问。

cc:gcbassociateresourcetype

string

单值

根据绑定的全球互联带宽资源资源类型过滤访问。

条件键示例

  • cc:vpcid

    示例：根据指定的虚拟私有云资源id过滤访问网络实例的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:networkinstances:create",
"cc:networkinstances:delete",
"cc:networkinstances:update"
],
"condition":{
"stringequals":{
"cc:vpcid":[
"xxx"
]
}
}
}
]
}
  • cc:virtualgatewayid

    示例：根据指定的专线虚拟网络资源id过滤访问网络实例的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:networkinstances:create",
"cc:networkinstances:delete",
"cc:networkinstances:update"
],
"condition":{
"stringequals":{
"cc:virtualgatewayid":[
"xxx"
]
}
}
}
]
}
  • cc:enterpriserouterid

    示例：根据指定的企业路由器资源id过滤访问中心网络全球接入网关附件的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:centralnetworkattachment:creategdgw",
"cc:centralnetworkattachment:updategdgw",
"cc:centralnetworkattachment:getgdgw",
"cc:centralnetworkattachment:delete"
],
"condition":{
"stringequals":{
"cc:enterpriserouterid":[
"xxx"
]
}
}
}
]
}
  • cc:multipleenterpriserouterids

    示例：根据指定的多个企业路由器资源id过滤访问中心网络及中心网络路由表附件的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:centralnetwork:create",
"cc:centralnetwork:createpolicy",
"cc:centralnetworkattachment:createerroutetable",
"cc:centralnetworkattachment:updateerroutetable",
"cc:centralnetworkattachment:geterroutetable",
"cc:centralnetworkattachment:delete"
],
"condition":{
"stringequals":{
"cc:multipleenterpriserouterids":[
"xxx"
]
}
}
}
]
}
  • cc:bandwidthpackageid

    示例：根据指定的带宽包资源id过滤访问域间带宽实例的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:interregionbandwidths:create",
"cc:interregionbandwidths:delete",
"cc:interregionbandwidths:update"
],
"condition":{
"stringequals":{
"cc:bandwidthpackageid":[
"xxx"
]
}
}
}
]
}
  • cc:globalconnectionbandwidthid

    示例：根据指定的全域互联带宽资源id过滤访问更新中心网络连接的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:centralnetwork:updateconnection"
],
"condition":{
"stringequals":{
"cc:globalconnectionbandwidthid":[
"xxx"
]
}
}
}
]
}
  • cc:globaldcgatewayid

    示例：根据指定的全球接入网关资源id过滤访问中心网络全球接入网关附件的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:centralnetworkattachment:creategdgw",
"cc:centralnetworkattachment:updategdgw",
"cc:centralnetworkattachment:getgdgw",
"cc:centralnetworkattachment:delete"
],
"condition":{
"stringequals":{
"cc:globaldcgatewayid":[
"xxx"
]
}
}
}
]
}
  • cc:gcbassociateresourcetype

    示例：根据全球互联带宽资源资源类型过滤访问资源绑定或解绑骨干带宽的权限。

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
    		 
    {
"version":"5.0",
"statement":[
{
"effect":"allow",
"action":[
"cc:gcbandwidth:associateinstance",
"cc:gcbandwidth:disassociateinstance",
],
"condition":{
"stringequals":{
"cc:gcbassociateresourcetype":[
"xxx"
]
}
}
}
]
}
父主题：

相关文档

网站地图