云监控服务 ces-j9九游会登录

云服务在iam预置了常用授权项，称为系统身份策略。如果iam系统身份策略无法满足授权要求，管理员可以根据各j9九游会登录的服务支持的授权项，创建iam自定义身份策略来进行精细的访问控制，iam自定义身份策略是对系统身份策略的扩展和补充。

除iam服务外，organizations服务中的服务控制策略（service control policies，以下简称scp）也可以使用这些授权项元素设置访问控制策略。

scp不直接进行授权，只划定权限边界。将scp绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。iam身份策略授予权限的有效性受scp限制，只有在scp允许范围内的权限才能生效。

iam服务与organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：iam服务与organizations服务权限访问控制的区别。

本章节介绍iam服务身份策略授权场景中自定义身份策略和组织服务中scp使用的元素，这些元素包含了操作（action）、资源（resource）和条件（condition）。

如何使用这些元素编辑iam自定义身份策略，请参考创建自定义身份策略。
如何使用这些元素编辑scp自定义策略，请参考创建scp。

操作（action）

操作（action）即为身份策略中支持的授权项。

“访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在身份策略中相应操作对应的访问级别。
“资源类型”列指每个操作是否支持资源级权限。
- 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在身份策略语句的resource元素中指定所有资源类型（“*”）。
- 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的urn。
- 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。
关于ces定义的资源类型的详细信息请参见资源类型（resource）。
“条件键”列包括了可以在身份策略语句的condition元素中支持指定的键值。
- 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
- 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
- 如果此列条件键没有值（-），表示此操作不支持指定条件键。
关于ces定义的条件键的详细信息请参见条件（condition）。
“别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的api访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的action元素中指定以下ces的相关操作。

表1 ces支持的授权项
授权项	描述	访问级别	资源类型（*为必须）	条件键	别名
ces:alarms:create	授予创建告警规则的权限。	write	-	g:enterpriseprojectid g:requesttag/ g:tagkeys ces:namespace	-
ces:alarms:list	授予查询告警规则列表的权限。	list	-	g:enterpriseprojectid	-
ces:alarms:put	授予更新告警规则的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarmsonoff:put
ces:alarms:put	授予更新告警规则的权限。	write	-	g:requesttag/ g:tagkeys	ces:alarmsonoff:put
ces:alarms:putaction	授予启停告警规则的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:put
ces:alarms:get	授予查询指定告警规则的权限。	read	alarm *	g:enterpriseprojectid	ces:alarms:list
ces:alarms:delete	授予删除指定告警规则的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	-
ces:alarms:getinstancestatus	授予查询实例告警状态的权限。	read	alarm *	g:enterpriseprojectid	ces:alarmsinstancestatus:get
ces:alarms:getclassinfo	授予查询不同类型的告警规则数量的权限。	read	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarmclassinfo:get
ces:alarms:listnamespaces	授予查询告警namespace列表的权限。	list	-	g:enterpriseprojectid	ces:alarmnamespaces:list
ces:alarms:listoneclickalarms	授予查询一键告警列表的权限。	list	-	g:enterpriseprojectid	ces:oneclickalarms:list
ces:alarms:putoneclickalarms	授予批量启停一键告警权限。	write	-	g:enterpriseprojectid	ces:oneclickalarms:put
ces:alarms:addresources	授予为指定告警规则批量增加资源的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:put
ces:alarms:deleteresources	授予为指定告警规则批量删除资源的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:put
ces:alarms:getpolicies	授予查询指定告警规则的策略列表权限。	read	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:get
ces:alarms:getresources	授予查询指定告警规则的资源列表权限。	read	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:list
ces:alarms:updatepolicies	授予更新指定告警规则的策略列表权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:put
ces:alarms:putalarmnotifications	授予修改告警通知信息的权限。	write	alarm *	g:resourcetag/ g:enterpriseprojectid	ces:alarms:put
ces:alarms:putnotificationmaskrules	授予设置告警通知屏蔽规则的权限。	write	-	g:enterpriseprojectid	ces:notificationmasks:update
ces:alarms:listnotificationmaskresources	授予查询告警通知屏蔽资源列表的权限。	list	-	g:enterpriseprojectid	ces:notificationmasks:list
ces:alarms:deletenotificationmaskrules	授予批量删除告警通知屏蔽规则的权限。	write	-	g:enterpriseprojectid	ces:notificationmasks:delete
ces:alarms:listnotificationmaskrules	授予查询告警通知屏蔽列表的权限。	list	-	g:enterpriseprojectid	ces:notificationmasks:list
ces:alarms:createoneclickalarms	授予创建一键告警的权限。	write	-	g:enterpriseprojectid	ces:oneclickalarms:post
ces:alarms:putoneclickalarmpolicies	授予批量启停一键告警策略权限。	write	-	g:enterpriseprojectid	ces:oneclickalarms:put
ces:alarms:putoneclickalarmnotifications	授予批量修改一键告警通知规则的权限。	write	-	g:enterpriseprojectid	ces:oneclickalarms:updatenotifications
ces:alarms:deleteoneclickalarms	授予批量删除一键告警的权限。	write	-	g:enterpriseprojectid	ces:oneclickalarms:delete
ces:notificationgroup:delete	授予删除通知组的权限。	write	-	-	-
ces:notificationgroup:convertobject	授予对通知对象转换的权限。	write	-	-	-
ces:notificationgroup:listsubscriptions	授予查询通知组订阅详情列表的权限。	list	-	-	-
ces:widgets:put	授予批量更新视图的权限。	write	-	ces:namespace	-
ces:widgets:create	授予创建视图的权限。	write	-	ces:namespace	-
ces:widgets:delete	授予删除指定视图的权限。	write	-	-	-
ces:dashboards:create	授予创建dashboard的权限。	write	dashboard *	-	-
ces:dashboards:create	授予创建dashboard的权限。	write	-	g:enterpriseprojectid	-
ces:dashboards:get	授予查询指定dashboard的权限。	read	dashboard *	-	-
ces:dashboards:get	授予查询指定dashboard的权限。	read	-	g:enterpriseprojectid	-
ces:dashboards:list	授予批量查询dashboard列表的权限。	list	dashboard *	-	-
ces:dashboards:list	授予批量查询dashboard列表的权限。	list	-	g:enterpriseprojectid	-
ces:dashboards:put	授予更新指定dashboard的权限。	write	dashboard *	g:enterpriseprojectid	-
ces:widgets:list	授予批量查询指定dashboard的视图列表权限。	list	-	-	-
ces:dashboards:delete	授予批量删除dashboard的权限。	write	dashboard *	g:enterpriseprojectid	-
ces:systemdashboard:get	授予批量查询系统dashboard的权限。	read	-	-	-
ces:systemdashboard:put	授予更新指定系统dashboard的权限。	write	-	-	ces:systemdashboard:update
ces:widgets:get	授予查询指定视图的权限。	read	-	-	-
ces:dashboard:listservices	授予查询云服务看板列表的权限。	list	-	-	-
ces:dashboard:listresourcestatistics	授予查询云服务看板指定维度下资源统计的权限。	list	-	-	-
ces:dashboard:listalarmstatistics	授予查询云服务看板告警级别统计的权限。	list	-	-	-
ces:dashboard:listresourcegroupalarmstatistics	授予查询云服务看板资源分组告警级别统计的权限。	list	-	-	-
ces:dashboardgroups:delete	授予删除监控视图分组的权限。	write	-	-	-
ces:dashboardgroups:list	授予查看监控视图分组的权限。	list	-	-	-
ces:dashboardgroups:create	授予创建监控视图分组的权限。	write	-	-	-
ces:dashboardgroups:update	授予批量更新监控视图分组的权限。	write	-	-	ces:dashboardgroups:put
ces:metrics:list	授予查询指标列表的权限。	list	-	-	-
ces:metricdata:create	授予上报指标数据的权限。	write	-	-	-
ces:metricdata:get	授予查询单条指标数据的权限。	read	-	-	ces:metricdata:list
ces:metricdata:list	授予批量查询指标数据的权限。	list	-	-	-
ces:namespacesdimensions:listagentdimensions	授予查询指定实例下agent维度指标信息的权限。	list	-	-	ces:namespacesdimensions:list
ces:namespacesdimensions:list	授予批量查询指定指标维度的权限。	list	-	ces:namespace	-
ces:namespacesdimensions:get	授予批量查询指定命名空间的维度层级关系的权限。	read	-	ces:namespace	ces:namespacesdimensions:list
ces:agent:putheartbeat	授予更新指定服务器心跳状态的权限。	write	-	-	ces:heartbeat:post
ces:agent:putstatus	授予更新指定实例下agent状态的权限。	write	-	-	ces:heartbeat:post
ces:agent:getstatus	授予查询指定实例下agent状态的权限。	read	-	-	ces:agentstatus:get
ces:agent:liststatuses	授予批量查询实例下agent状态列表的权限。	list	-	-	ces:agentstatus:get ces:agentstatus:list
ces:agent:putversion	授予更新指定实例下agent版本的权限。	write	-	-	ces:agentupgrade:post
ces:metrics:listsupported	授予批量查询全部支持指标的权限。	list	-	-	ces:currentregionsupportedmetrics:list
ces:namespacesmetrics:list	授予批量查询指标的权限。	list	-	-	ces:currentregionsupportedmetrics:list
ces:ecsinstancestatistics:get	授予批量查询弹性云服务器cpu指标统计信息的权限。	read	-	-	-
ces:evsinstancestatistics:get	授予批量查询evs指标统计信息的权限。	read	-	-	-
ces:namespacesdimensions:listinstances	授予批量查询指定维度的实例的权限。	list	-	ces:namespace	ces:namespacesdimensions:list
ces:metadata:get	授予批量查询维度元数据的权限。	read	-	ces:namespace	ces:metadata:list
ces:resourcesmetadata:list	授予批量查询资源元数据的权限。	list	-	ces:namespace	-
ces:metrics:liststatistics	授予批量查询维度指标数据统计的权限。	list	-	-	ces:metrics:list
ces:agent:listprefixmetrics	授予批量查询有前缀的指标。	list	-	-	ces:prefixmetrics:list
ces:metricdata:export	授予创建指标报告的权限。	write	-	-	-
ces:sortedmetrics:list	授予批量查询指定维度指标排序的权限。	list	-	-	-
ces:sortedmetrics:create	授予创建指定维度的指标排序的权限。	write	-	-	-
ces:namespaces:list	授予批量查询namespace的权限。	list	-	-	-
ces:vpcinstancestatistics:get	授予查询vpc指标统计信息的权限。	read	-	-	-
ces:resourcesconsole:list	授予批量查询指定namespace的资源控制台信息的权限。	list	-	ces:namespace	-
ces:metricdata:listpercentile	授予批量查询指标数据百分比的权限。	list	-	-	ces:percentilemetricdata:get
ces:metrics:listkeymetrics	授予查询关键指标的权限。	list	-	ces:namespace	-
ces:alarmhistoriesreportjob:create	授予批量创建告警记录报表任务的权限。	write	-	-	-
ces:alarmhistoriesreportjob:list	授予批量查询告警记录报表任务的权限。	list	-	-	ces:metricreportjobs:list
ces:alarmhistoriesreportjob:delete	授予批量删除告警记录报表任务的权限。	write	-	-	-
ces:alarmhistoriesreportjob:download	授予批量查询指定namespace的资源控制台信息的权限。	read	-	-	-
ces:metricreportjob:download	授予下载指标报表的权限。	read	-	-	-
ces:metricreportjobs:list	授予批量查询指标报表任务的权限。	list	-	-	-
ces:metricreportjob:create	授予批量创建指标报表任务的权限。	write	-	-	-
ces:metricreportjobs:delete	授予批量删除指标报表任务的权限。	write	-	-	-
ces:quotas:get	授予查询配额的权限。	read	-	-	-
ces:i18n:list	授予获取国际化信息的权限。	list	-	-	ces:i18n:get
ces:resourcesstatistics:list	授予批量查询资源统计信息的权限。	list	-	-	ces:resourcesstatistics:get
ces:supportedfeature:list	授予批量查询支持的特性信息的权限。	list	-	-	-
ces:asynctasks:list	授予批量查询异步任务的权限。	list	-	-	-
ces:agent:getagencysecurityinfo	授予查询指定委托安全信息的权限。	read	-	-	ces:agency:get
ces:agent:putconfigstatus	授予更新主机监控规则配置状态的权限。	write	-	-	ces:agentconfigstatus:put
ces:agent:getconfigstatus	授予查询指定服务器配置状态的权限。	read	-	-	ces:agentconfigstatus:get
ces:agent:listextensionstatuses	授予批量查询指定服务器扩展状态的权限。	list	-	-	ces:agentstatus:get
ces:agent:put	授予更新指定服务器的主机监控指标数据的权限。	write	-	-	ces:agentclientmonitor:put
ces:agent:createprof	授予创建指定服务器prof的权限。	write	-	-	ces:agentclientprof:post
ces:agent:listprocesses	授予查询指定服务器监控进程数据的权限。	list	-	-	ces:agentprocessesmetricdata:list ces:agentprocesses:list
ces:agent:listplugins	授予批量查询指定服务器插件信息的权限。	list	-	-	ces:agentclientplugininfo:get
ces:agent:putplugins	授予批量更新指定服务器插件信息的权限。	write	-	-	ces:agentclientplugininfo:put
ces:agent:putprocessactions	授予批量更新指定服务器的进程动作的权限。	write	-	-	ces:agentprocesses:put
ces:agentprocesses:list	授予批量查询指定服务器进程信息的权限。	list	-	-	-
ces:agent:putprocesses	授予批量更新指定服务器进程信息的权限。	write	-	-	ces:agentprocesses:create
ces:agent:createspecifiedprocess	授予批量创建指定服务器进程信息的权限。	write	-	-	ces:instancespecifiedprocesses:create
ces:agent:listspecifiedprocess	授予批量查询指定服务器指定进程的权限。	list	-	-	ces:instancespecifiedprocesses:list
ces:agent:deletespecifiedprocess	授予批量删除指定服务器指定进程的权限。	write	-	-	ces:instancespecifiedprocesses:delete
ces:agent:listtaskinvoke	授予批量查询指定服务器的任务调用的权限。	list	-	-	ces:agenttask:get
ces:agent:submittaskresult	授予上报指定服务器任务结果的权限。	write	-	-	ces:agenttask:post
ces:agent:listtelescopeconfigs	授予批量查询指定服务器的嵌套配置的权限。	list	-	-	ces:agentclienttelescopeconfigs:get
ces:agent:listconfchecks	授予批量查询指定服务器的dns的权限。	list	-	-	ces:confchecks:get
ces:agent:listtaskinvocations	授予批量查询指定服务器的agent任务的权限。	list	-	-	ces:taskinvocation:get
ces:agent:createagentinvocations	授予批量创建agent任务的权限。	write	-	-	ces:taskinvocation:post
ces:agent:listagentinstallsteps	授予查询agent安装步骤信息的权限。	list	-	-	-
ces:agent:listmetricdata	授予批量查询agent指标数据详情的权限。	list	-	-	ces:agentmetricdata:list
ces:agent:listinstanceswithagent	授予查询机器有关的agent信息的权限。	list	-	-	-
ces:agent:updateagentavailabilitytask	授予修改agent可用性任务的权限。	write	-	-	ces:agentclientavailabilitytask:put
ces:agent:getagentavailabilitytask	授予查询agent可用性任务的权限。	read	-	-	ces:agentclientavailabilitytask:get
ces:availabilitymonitortask:create	授予批量创建可用性监控任务的权限。	write	-	-	-
ces:availabilitymonitortask:list	授予查询可用性监控任务列表的权限。	list	-	-	-
ces:availabilitymonitortask:get	授予查询可用性监控任务详情的权限。	read	-	-	-
ces:availabilitymonitortask:update	授予修改可用性监控任务的权限。	write	-	-	-
ces:availabilitymonitortask:delete	授予删除可用性监控任务的权限。	write	-	-	-
ces:obstransfers:create	授予配置obs转储规则的权限。	write	-	-	-
ces:obstransfers:listbuckets	授予查询obs桶列表的权限。	list	-	-	ces:obsbuckets:list
ces:obstransfers:put	授予修改单个transfer对象的权限。	write	-	-	-
ces:obstransfers:get	授予查询单个transfer对象的权限。	read	-	-	-
ces:obstransfers:list	授予批量查询obs转储信息的权限。	list	-	-	-
ces:alarmhistory:list	授予查询告警历史列表的权限。	list	-	g:enterpriseprojectid	-
ces:alarmhistory:listnamespaces	授予查询告警记录namespace列表的权限。	list	-	g:enterpriseprojectid	ces:alarmhistorynamespaces:list
ces:alarmhistory:statistics	授予查询告警统计信息的权限。	list	-	g:enterpriseprojectid	ces:alarmsstatistics:get
ces:customalarmtemplates:create	授予创建自定义告警模板的权限。	write	-	g:enterpriseprojectid	-
ces:customalarmtemplates:delete	授予删除指定自定义告警模板的权限。	write	-	g:enterpriseprojectid	-
ces:customalarmtemplates:get	授予查询指定自定义告警模板的权限。	read	-	g:enterpriseprojectid	ces:customalarmtemplates:list
ces:customalarmtemplates:list	授予查询自定义告警模板列表的权限。	list	-	g:enterpriseprojectid	-
ces:customalarmtemplates:listassociatedalarms	授予查询指定自定义告警模板关联的告警规则列表的权限。	list	-	g:enterpriseprojectid	-
ces:customalarmtemplates:put	授予更新指定自定义告警模板的权限。	write	-	g:enterpriseprojectid	-
ces:customalarmtemplates:associateresourcegroup	授予修改告警模板异步关联资源分组的权限。	write	-	g:enterpriseprojectid	ces:customalarmtemplates:put
ces:customalarmtemplates:disassociateresourcegroup	授予解除告警模板关联的权限。	write	-	g:enterpriseprojectid	ces:customalarmtemplates:create
ces:alarmscontacts:list	授予查询联系人列表的权限。	list	-	g:enterpriseprojectid	-
ces:alarmscontacts:get	授予查询指定联系人信息的权限。	read	-	g:enterpriseprojectid	-
ces:notificationgroup:create	授予创建告警通知组的权限。	write	-	g:enterpriseprojectid	-
ces:notificationobject:list	授予查询告警通知对象列表的权限。	list	-	g:enterpriseprojectid	-
ces:notificationobject:create	授予创建告警通知对象的权限。	write	-	g:enterpriseprojectid	-
ces:notificationobject:delete	授予批量删除通知对象的权限。	write	-	g:enterpriseprojectid	-
ces::listnotificationsubscriptions	授予列出通知订阅的权限。	list	-	-	ces:alarms:listnotificationsubscriptions
ces::batchcreatenotificationsubscriptions	授予批量创建通知订阅的权限。	write	-	-	ces:alarms:batchcreatenotificationsubscriptions
ces:alarms:listnotificationtemplates	授予查询自定义通知模板的权限。	list	-	-	-
ces:alarms:createnotificationtemplate	授予新增自定义通知模板的权限。	write	-	-	-
ces:alarms:batchdeletenotificationtemplates	授予删除自定义通知模板的权限。	write	-	-	-
ces:alarms:updatenotificationtemplate	授予修改自定义通知模板的权限。	write	-	-	-
ces:alarms:listpresetnotificationtemplates	授予获取预置模板字段及字段位置信息的权限。	list	-	-	-
ces:alarms:listnotificationtemplateassociationalarms	授予查询通知模板相关告警的权限。	list	-	-	-
ces:events:post	授予上报事件的权限。	write	-	-	-
ces:events:get	授予查询指定事件详情的权限。	read	-	-	-
ces:events:list	授予查询事件列表的权限。	list	-	-	-
ces:events:listeventstatistics	授予批量查询事件统计信息的权限。	list	-	-	ces:eventdata:list ces:eventsstatistics:get
ces:events:listsystemeventnames	授予批量查询系统事件信息的权限。	list	-	-	ces:syseventsnames:list
ces:events:listcustomeventnames	授予批量查询自定义事件信息的权限。	list	-	-	ces:customeventsnames:list
ces:events:createsubscription	授予创建事件告警的权限。	write	-	-	ces:eventsubscription:create
ces:events:listsystemevents	授予查询系统事件列表的权限。	list	-	-	ces:systemevents:list
ces:events:listsystemeventmeta	授予查询系统事件白名单列表的权限。	list	-	-	ces:syseventsnames:list
ces:eventdata:get	授予查询主机配置的权限。	read	-	-	ces:sapeventdata:list
ces:datasharejob:list	授予批量查询数据转储任务列表的权限。	list	-	-	-
ces:datasharejob:create	授予创建数据转储任务的权限。	write	-	-	-
ces:datasharejob:delete	授予删除指定数据转储任务的权限。	write	-	-	-
ces:datasharejob:get	授予查询指定数据转储任务的权限。	read	-	-	-
ces:datasharejob:put	授予修改指定数据转储任务状态的权限。	write	-	-	ces:datasharejob:action
ces:resourcegroups:addresources	授予为指定资源分组批量添加关联资源的权限。	write	-	g:enterpriseprojectid	ces:resourcegroups:put
ces:resourcegroups:create	授予创建资源分组的权限。	write	-	g:enterpriseprojectid	-
ces:resourcegroups:delete	授予删除资源分组的权限。	write	-	g:enterpriseprojectid	-
ces:resourcegroups:deleteresources	授予为指定资源分组批量删除关联资源的权限。	write	-	g:enterpriseprojectid	ces:resourcegroups:put
ces:resourcegroups:get	授予查询指定资源分组的权限。	read	-	g:enterpriseprojectid	-
ces:resourcegroups:getserviceresources	授予查询指定资源分组指定服务类别指定维度的权限。	read	-	g:enterpriseprojectid	ces:resourcegroups:get
ces:resourcegroups:list	授予查询所有资源分组的权限。	list	-	g:enterpriseprojectid	ces:resourcegroups:get
ces:resourcegroups:put	授予更新指定资源分组的权限。	write	-	g:enterpriseprojectid	-
ces:resourcegroups:putassociationalarmtemplate	授予修改资源分组关联告警模板的权限。	write	-	g:enterpriseprojectid	ces:resourcegroups:put
ces:resourcegroups:listservices	授予查询指定资源分组批量服务类别的权限。	list	-	g:enterpriseprojectid	ces:resourcegroups:get ces:resourcegroupsservices:list
ces:tags:create	授予批量创建ces指定类型标签的权限。	write	-	g:requesttag/ g:tagkeys	ces:tags:action
ces:tags:list	授予批量查询ces标签列表的权限。	list	-	-	ces:projecttags:list
ces:tags:listbyresource	授予列出资源标签的权限。	list	-	-	-
ces:tags:listresources	授予列出标签资源的权限。	list	-	g:requesttag/ g:tagkeys	ces:resourceinstances:list
ces:agency:get	授予查询委托和角色的权限。	read	-	-	-
ces:agency:post	授予创建委托和角色的权限。	write	-	-	-
ces:monitoroverview:listserviceresources	授予查询监控概览云服务下资源列表的权限。	list	-	ces:namespace	-
ces:monitoroverview:updatefavorite	授予批量收藏/取消收藏的权限。	write	-	-	-
ces:monitoroverview:listserviceresourcegroups	授予查询监控概览资源分组列表的权限。	list	-	-	-
ces:monitoroverview:updatekeymetrics	授予批量设置关键指标的权限。	write	-	-	-
ces:monitoroverview:listsitemonitorstatistics	授予查询站点监控统计数据的权限。	list	-	-	-
ces:sitemonitorrule:list	授予批量查询站点监控的权限。	list	-	g:enterpriseprojectid	ces:remotechecks:list
ces:sitemonitorrule:listdetectresults	授予批量查询站点监控检测结果的权限。	list	-	-	ces:sitemonitordetectresult:get
ces:sitemonitorrule:listsites	授予批量查询全部站点监控的权限。	list	-	-	ces:remotechecksites:list
ces:sitemonitorrule:delete	授予批量删除站点监控的权限。	write	-	g:enterpriseprojectid	-
ces:sitemonitorrule:create	授予创建站点监控的权限。	write	-	g:enterpriseprojectid	ces:remotechecks:create
ces:sitemonitorrule:put	授予更新指定站点监控的权限。	write	-	g:enterpriseprojectid	-
ces:sitemonitorrule:get	授予查询指定站点监控规则的权限。	read	-	g:enterpriseprojectid	-
ces:sitemonitorrule:listdefaultsites	授予批量查询系统支持的探测点列表的权限。	list	-	-	ces:remotechecksites:list
ces:sitemonitorrule:getstatistic	授予查询站点监控统计信息的权限。	read	-	-	ces:statisticssitemonitor:get
ces:sitemonitorruledatacenter:put	授予更新指定站点监控数据中心的权限。	write	-	-	ces:sitemonitorruledatacenter:update
ces:sitemonitorruledatacenter:get	授予查询指定站点监控数据中心的权限。	read	-	-	-
ces:sitemonitorrule:showhealthcheck	授予查询站点监控健康检查结果的权限。	read	-	-	ces:sitemonitorhealthcheck:get
ces:sitemonitorrule:createhealthcheck	授予创建站点监控健康检查规则的权限。	write	-	-	ces:sitemonitorhealthcheck:create
ces:nettopology:listregion	授予查询租户vpc所在region信息权限。	list	-	-	-
ces:nettopology:listvpc	授予查询租户指定region的vpc详情权限。	list	-	-	-
ces:nettopology:getvpctopology	授予查询租户单个vpc拓扑权限。	read	-	-	-
ces:nettopology:listroutetableresource	授予查询路由表关联资源信息权限。	list	-	-	-
ces:qualitymonitor:listprobes	授予查询质量监控探测点列表的权限。	list	-	-	-
ces:qualitymonitor:create	授予创建质量监控任务的权限。	write	-	-	-
ces:qualitymonitor:delete	授予删除质量监控任务的权限。	write	-	-	-
ces:qualitymonitor:update	授予修改质量监控任务的权限。	write	-	-	-
ces:qualitymonitor:get	授予查询指定质量监控任务详情的权限。	read	-	-	-
ces:qualitymonitor:list	授予查询质量监控任务列表的权限。	list	-	-	-
ces:qualitymonitor:liststatistics	授予查询质量监控统计信息的权限。	list	-	-	-
ces:qualitymonitor:querymapstatus	授予查询地图详情的权限。	list	-	-	-
ces:qualitymonitor:querymapthresholdconfig	授予查询大陆阈值配置的权限。	list	-	-	-
ces:qualitymonitor:updatemapthresholdconfig	授予更新质量监控地图阈值配置的权限。	write	-	-	-
ces:qualitymonitor:getdetectrecorddetail	授予查询探测详情的权限。	read	-	-	-
ces:qualitymonitor:listdetectgroups	授予查询运营商或城市分组列表的权限。	list	-	-	-
ces:qualitymonitor:listdetectrecords	授予查询质量监控探测详情列表的权限。	list	-	-	-
ces:paidcontent:update	授予启停ces付费功能的权限。	write	-	-	-
ces:paidcontent:list	授予查询已开通的ces付费功能的权限。	list	-	-	-
ces:notificationobject:update	授予修改消息通知对象权限。	write	-	-	-
ces:notificationpolicy:create	授予创建通知策略的权限。	write	-	-	-
ces:notificationpolicy:update	授予更新通知策略的权限。	write	-	-	-
ces:notificationpolicy:get	授予查询通知策略的权限。	read	-	-	-
ces:notificationpolicy:list	授予查询通知策略列表的权限。	list	-	-	-
ces:notificationpolicy:delete	授予删除通知策略的权限。	write	-	-	-
ces:notificationpolicy:updatealarmrelations	授予更新通知策略与告警规则绑定关系的权限。	write	-	-	-
ces:dashboard:listserviceresourcesstatistics	授予查询云服务看板资源统计信息的权限。	list	-	ces:namespace	-
ces:serviceproducts:list	授予批量查询云服务产品的权限。	list	-	-	-
ces:dashboard:listcloudserviceresources	授予查询云服务看板资源列表信息的权限。	list	-	ces:namespace	-
ces:metric:creategroups	授予创建指标分组的权限。	write	-	-	-
ces:metric:listgroups	授予查看指标分组的权限。	list	-	-	-
ces:metric:deletegroups	授予删除指标分组的权限。	write	-	-	-
ces:metric:updategroups	授予更新指标分组的权限。	write	-	-	-
ces:metric:listconfig	授予获取指标相关配置的权限。	list	-	-	-
ces:metric:createconfig	授予设置指标相关配置的权限。	write	-	-	-
ces:alarms:publishnotification	授予测试发送告警通知权限。	write	-	-	-
ces:resourcesreportjob:create	授予创建资源报表任务的权限。	write	-	-	-
ces:resourcesreportjob:list	授予批量查询资源报表任务的权限。	list	-	-	-
ces:resourcesreportjob:delete	授予批量删除资源报表任务的权限。	write	-	-	-
ces:resourcesreportjob:download	授予下载资源报表的权限。	read	-	-	-
ces:agent:listspecifiedprocresources	授予查询自定义进程指标的权限。	list	-	-	-
ces:dashboard:listalarmingresources	授予查询云服务看板告警资源详情的权限。	list	-	-	-
ces:alarmhistory:update	授予修改告警历史的权限。	write	-	-	-
ces:alarmrulesreportjob:create	授予批量创建告警规则报表任务的权限。	write	-	-	-
ces:alarmrulesreportjob:list	授予批量查询告警规则报表任务的权限。	list	-	-	-
ces:alarmrulesreportjob:delete	授予批量删除告警规则报表任务的权限。	write	-	-	-
ces:alarmrulesreportjob:download	授予下载告警规则报表的权限。	read	-	-	-
ces:qualitymonitor:createquickdetecttask	授予创建质量监控快速探测任务的权限。	write	-	-	-
ces:qualitymonitor:listquickdetecttasks	授予查询质量监控快速探测任务列表的权限。	list	-	-	-
ces:qualitymonitor:showquickdetecttaskdetail	授予查询质量监控快速探测任务单次探测详情的权限。	list	-	-	-
ces:qualitymonitor:showquickdetecttask	授予查询质量监控快速探测任务详情的权限。	list	-	-	-
ces::listserviceresources	授予查询云服务资源列表的权限。	list	-	-	ces:serviceresources:list
ces:alarmtemplates:list	授予批量查询告警模板的权限。	list	-	-	-
ces:eventsblackwhitelist:list	授予查询事件黑白名单列表的权限。	list	-	-	-
ces:eventsblackwhitelist:update	授予更新事件黑白名单列表的权限。	write	-	-	-
ces:metric:listmetadata	授予查询指标元数据信息的权限。	list	-	-	-
ces:datasharejob:listagencyprojects	授予查询数据转储委托方项目列表的权限。	list	-	-	-
ces:datasharejob:listdmsinstancesbyagency	授予批量查询委托方dms实例列表的权限。	list	-	-	-
ces:datasharejob:listdmstopicsbyagency	授予批量查询委托方dms主题列表的权限。	list	-	-	-
ces:processmonitortasks:list	授予查询进程监控任务列表的权限。	list	-	-	-
ces:processmonitortasks:create	授予创建进程监控任务的权限。	write	-	-	-
ces:processmonitortasks:get	授予查询进程监控任务的权限。	read	-	-	-
ces:processmonitortasks:put	授予更新进程监控任务的权限。	write	-	-	-
ces:processmonitortasks:delete	授予删除进程监控任务的权限。	write	-	-	-
ces:dashboard:createmonitordashboards	授予创建监控大盘的权限。	write	-	-	-
ces:dashboard:listmonitordashboards	授予查询监控大盘模板的权限。	list	-	-	-
ces:wecom:create	授予创建企业微信应用的权限。	write	-	-	-
ces:wecom:update	授予更新企业微信应用的权限。	write	-	-	-
ces:wecom:delete	授予删除企业微信应用的权限。	write	-	-	-
ces:wecom:list	授予查询企业微信应用列表的权限。	list	-	-	-
ces:wecom:get	授予查询企业微信应用的权限。	read	-	-	-
ces:nettopology:listtenanteps	授予查询租户关联企业项目信息权限。	list	-	-	-
ces:nettopology:listglobaltopology	授予查询租户全局拓扑权限。	list	-	-	-
ces:netdetection:listdetectrecords	授予查询租户探测记录权限。	list	-	-	-
ces:netdetection:createdetectcase	授予新增租户探测用例权限。	write	-	-	-
ces:netdetection:listdetectcases	授予查询租户探测用例权限。	list	-	-	-
ces:netdetection:updatedetectcase	授予更新租户探测用例权限。	write	-	-	-
ces:netdetection:deletedetectcase	授予删除租户探测用例权限。	write	-	-	-
ces:netdetection:listdetectcasereports	授予查询租户探测用例报告权限。	list	-	-	-
ces:netdetection:listandcreateuploadcode	授予查询并创建上传码权限。	list	-	-	-
ces:smartreporttask:create	授予创建智能报告任务的权限。	write	-	-	-
ces:smartreporttask:list	授予查询智能报告任务列表的权限。	list	-	-	-
ces:smartreporttask:update	授予更新智能报告任务的权限。	write	-	-	-
ces:smartreporttask:delete	授予批量删除智能报告任务的权限。	write	-	-	-
ces:smartreporttask:changestatus	授予批量启停智能报告任务的权限。	write	-	-	-
ces:smartreporttask:listexecutehistory	授予查询智能报告任务执行记录的权限。	list	-	-	-
ces:smartreporttask:downloadreportjob	授予下载智能报告任务报表的权限。	read	-	-	-
ces:smartreporttask:listsupportedservices	授予查询智能报告任务支持的云产品列表的权限。	list	-	-	-
ces:smartreportjob:listresources	授予查询指定智能报告任务资源列表的权限。	list	-	-	-
ces:smartreportjob:show	授予查询指定智能报告任务详情的权限。	read	-	-	-

ces的api通常对应着一个或多个授权项。表2展示了api与授权项的关系，以及该api需要依赖的授权项。

表2 api与授权项的关系
api	对应的授权项	依赖的授权项
post /v2/{project_id}/alarms	ces:alarms:create	-
post /v2/{project_id}/alarms/batch-delete	ces:alarms:delete	-
post /v2/{project_id}/alarms/action	ces:alarms:putaction	-
get /v2/{project_id}/alarms	ces:alarms:list	-
post /v2/{project_id}/alarms/{alarm_id}/resources/batch-create	ces:alarms:addresources	-
post /v2/{project_id}/alarms/{alarm_id}/resources/batch-delete	ces:alarms:deleteresources	-
get /v2/{project_id}/alarms/{alarm_id}/resources	ces:alarms:getresources	-
put /v2/{project_id}/alarms/{alarm_id}/policies	ces:alarms:updatepolicies	-
get /v2/{project_id}/alarms/{alarm_id}/policies	ces:alarms:getpolicies	-
put /v2/{project_id}/alarms/{alarm_id}/notifications	ces:alarms:putalarmnotifications	-
get /v2/{project_id}/alarm-histories	ces:alarmhistory:list	-
post /v2/{project_id}/alarm-templates	ces:customalarmtemplates:create	-
post /v2/{project_id}/alarm-templates/batch-delete	ces:customalarmtemplates:delete	-
put /v2/{project_id}/alarm-templates/{template_id}	ces:customalarmtemplates:put	-
get /v2/{project_id}/alarm-templates	ces:customalarmtemplates:list	-
get /v2/{project_id}/alarm-templates/{template_id}	ces:customalarmtemplates:get	-
get /v2/{project_id}/alarm-templates/{template_id}/association-alarms	ces:customalarmtemplates:listassociatedalarms	-
post /v2/{project_id}/resource-groups	ces:resourcegroups:create	-
post /v2/{project_id}/resource-groups/batch-delete	ces:resourcegroups:delete	-
put /v2/{project_id}/resource-groups/{group_id}	ces:resourcegroups:put	-
get /v2/{project_id}/resource-groups/{group_id}	ces:resourcegroups:get	-
get /v2/{project_id}/resource-groups	ces:resourcegroups:list	-
put /v2/{project_id}/resource-groups/{group_id}/alarm-templates/async-association	ces:resourcegroups:putassociationalarmtemplate	-
post /v2/{project_id}/resource-groups/{group_id}/resources/batch-create	ces:resourcegroups:addresources	-
post /v2/{project_id}/resource-groups/{group_id}/resources/batch-delete	ces:resourcegroups:deleteresources	-
get /v2/{project_id}/resource-groups/{group_id}/services/{service}/resources	ces:resourcegroups:getserviceresources	-
post /v2/{project_id}/one-click-alarms	ces:alarms:createoneclickalarms	-
get /v2/{project_id}/one-click-alarms	ces:alarms:listoneclickalarms	-
get /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarms	ces:alarms:listoneclickalarms	-
put /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarm-rules/action	ces:alarms:putoneclickalarms	-
post /v2/{project_id}/one-click-alarms/batch-delete	ces:alarms:deleteoneclickalarms	-
put /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/notifications	ces:alarms:putoneclickalarmnotifications	-
put /v2/{project_id}/one-click-alarms/{one_click_alarm_id}/alarms/{alarm_id}/policies/action	ces:alarms:putoneclickalarmpolicies	-
put /v2/{project_id}/notification-masks	ces:alarms:putnotificationmaskrules	-
post /v2/{project_id}/notification-masks/batch-update	ces:alarms:putnotificationmaskrules	-
put /v2/{project_id}/notification-masks/{notification_mask_id}	ces:alarms:putnotificationmaskrules	-
post /v2/{project_id}/notification-masks/batch-delete	ces:alarms:deletenotificationmaskrules	-
post /v2/{project_id}/notification-masks/batch-query	ces:alarms:listnotificationmaskrules	-
get /v2/{project_id}/notification-masks/{notification_mask_id}/resources	ces:alarms:listnotificationmaskresources	-
post /v2/{project_id}/dashboards	ces:dashboards:create	-
get /v2/{project_id}/dashboards	ces:dashboards:list	-
put /v2/{project_id}/dashboards/{dashboard_id}	ces:dashboards:put	-
post /v2/{project_id}/dashboards/batch-delete	ces:dashboards:delete	-
post /v2/{project_id}/dashboards/{dashboard_id}/widgets	ces:widgets:create	-
get /v2/{project_id}/dashboards/{dashboard_id}/widgets	ces:widgets:list	-
get /v2/{project_id}/widgets/{widget_id}	ces:widgets:get	-
delete /v2/{project_id}/widgets/{widget_id}	ces:widgets:delete	-
post /v2/{project_id}/widgets/batch-update	ces:widgets:put	-
get /v2/{project_id}/{resource_type}/tags	ces:tags:list	-
get /v2/{project_id}/instances/{instance_id}/agent-dimensions	ces:namespacesdimensions:listagentdimensions	-
post /v2/{project_id}/batch-query-metric-data	ces:metricdata:list	-
post /v1.0/{project_id}/alarms	ces:alarms:create	-
put /v1.0/{project_id}/alarms/{alarm_id}	ces:alarms:put	-
put /v1.0/{project_id}/alarms/{alarm_id}/action	ces:alarms:putaction	-
delete /v1.0/{project_id}/alarms/{alarm_id}	ces:alarms:delete	-
get /v1.0/{project_id}/alarms/{alarm_id}	ces:alarms:get	-
get /v1.0/{project_id}/alarms	ces:alarms:list	-
get /v1.0/{project_id}/alarm-histories	ces:alarmhistory:list	-
post /v1.0/{project_id}/events	ces:events:post	-
get /v1.0/{project_id}/events	ces:events:list	-
get /v1.0/{project_id}/event/{event_name}	ces:events:get	-
get /v1.0/{project_id}/metrics	ces:metrics:list	-
post /v1.0/{project_id}/batch-query-metric-data	ces:metricdata:list	-
get /v1.0/{project_id}/event-data	ces:eventdata:get	-
get /v1.0/{project_id}/metric-data	ces:metricdata:get	-
post /v1.0/{project_id}/metric-data	ces:metricdata:create	-
get /v1.0/{project_id}/quotas	ces:quotas:get	-
get /v1.0/{project_id}/resource-groups/{group_id}	ces:resourcegroups:get	-
put /v1.0/{project_id}/resource-groups/{group_id}	ces:resourcegroups:put	-
delete /v1.0/{project_id}/resource-groups/{group_id}	ces:resourcegroups:delete	-
post /v1.0/{project_id}/resource-groups	ces:resourcegroups:create	-
get /v1.0/{project_id}/resource-groups	ces:resourcegroups:list	-
post /v1.0/{project_id}/alarm-template	ces:customalarmtemplates:create	-
put /v1.0/{project_id}/alarm-template/{template_id}	ces:customalarmtemplates:put	-
delete /v1.0/{project_id}/alarm-template/{template_id}	ces:customalarmtemplates:delete	-
get /v1.0/{project_id}/alarm-template	ces:customalarmtemplates:list	-
post /v3/{project_id}/agent-status/batch-query	ces:agent:liststatuses	-
get /v3/{project_id}/agent-invocations	ces:agent:listtaskinvocations	-
post /v3/{project_id}/agent-invocations/batch-create	ces:agent:createagentinvocations	-

资源类型（resource）

资源类型（resource）表示身份策略所作用的资源。如表3中的某些操作指定了可以在该操作指定的资源类型，则必须在具有该操作的身份策略语句中指定该资源的urn，身份策略仅作用于此资源；如未指定，resource默认为“*”，则身份策略将应用到所有资源。您也可以在身份策略中设置条件，从而指定资源类型。

ces定义了以下可以在身份策略的resource元素中使用的资源类型。

表3 ces支持的资源类型
资源类型	urn
alarm	ces:::alarm:
dashboard	ces:::dashboard:

条件（condition）

条件键概述

条件（condition）是身份策略生效的特定条件，包括条件键和运算符。

条件键表示身份策略语句的condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。
- 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。ces服务适用除g:requestedregion条件键外所有服务的全局条件键，详情请参见：全局条件键。
  
  ces有提供全局服务的能力（例如：告警通知、任务中心），所以按全局级服务处理，不支持g:requestedregion全局条件键。
- 服务级条件键（前缀通常为服务缩写，如ces:）仅适用于对应服务的操作，详情请参见表4。
- 单值/多值表示api调用时请求中与条件关联的值数。单值条件键在api调用时的请求中最多包含一个值，多值条件键在api调用时请求可以包含多个值。例如：g:sourcevpce是单值条件键，表示仅允许通过某个vpc终端节点发起请求访问某资源，一个请求最多包含一个vpc终端节点id值。g:tagkeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用api请求时传入标签可以传入多个值。
运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，身份策略才能生效。支持的运算符请参见：运算符。

ces支持的服务级条件键

ces定义了以下可以在自定义身份策略的condition元素中使用的条件键，您可以使用这些条件键进一步细化身份策略语句应用的条件。

表4 ces支持的服务级条件键
服务级条件键	类型	单值/多值	说明
ces:namespace	string	多值	根据请求参数中指定的命名空间过滤访问。具体操作请参见。

父主题：

上一篇：企业管理 eps

下一篇：消息通知服务 smn

意见反馈

文档内容是否对您有帮助？

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨