j9九游会登录/ 统一身份认证服务 iam_统一身份认证服务（新版）/ 服务授权参考/ / / 客户运营能力
更新时间：2025-12-30 gmt 08:00

客户运营能力-j9九游会登录

云服务在iam预置了常用授权项，称为系统身份策略。如果iam系统身份策略无法满足授权要求，管理员可以根据各j9九游会登录的服务支持的授权项，创建iam自定义身份策略来进行精细的访问控制，iam自定义身份策略是对系统身份策略的扩展和补充。

除iam服务外，organizations服务中的服务控制策略（service control policies，以下简称scp）也可以使用这些授权项元素设置访问控制策略。

scp不直接进行授权，只划定权限边界。将scp绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。iam策略授予权限的有效性受scp限制，只有在scp允许范围内的权限才能生效。

iam服务与organizations服务在使用这些元素进行访问控制时，存在着一些区别，详情请参见：iam服务与organizations服务权限访问控制的区别

本章节介绍iam服务基于身份策略授权场景中自定义策略和组织服务中scp使用的元素，这些元素包含了操作（action）、资源（resource）和条件（condition）。

操作（action）

操作（action）即为身份策略中支持的授权项。

  • “访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在策略中相应操作对应的访问级别。
  • “资源类型”列指每个操作是否支持资源级权限。
    • 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在策略语句的resource元素中指定所有资源类型（“*”）。
    • 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的urn。
    • 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。

    关于bss 定义的资源类型的详细信息请参见资源类型（resource）。

  • “条件键”列包括了可以在策略语句的condition元素中支持指定的键值。
    • 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。
    • 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。
    • 如果此列条件键没有值（-），表示此操作不支持指定条件键。

    关于bss 定义的条件键的详细信息请参见条件（condition）。

  • “别名”列包括了可以在身份策略中配置的策略授权项。通过这些授权项，可以控制支持策略授权的api访问。详细信息请参见身份策略兼容性说明。

您可以在身份策略语句的action元素中指定以下api的相关操作。

billing:contract:viewdiscount 授权项仅影响响应中的折扣信息返回。即使没有该权限，接口仍可正常调用，但响应中将不返回折扣信息。

表1 bss 支持的授权项

授权项

描述

访问级别

资源类型（*为必须）

条件键

别名

billing:contract:viewdiscount

授予查看商务折扣的权限

read

-

-

-

billing:balance:view

授予查看收支明细，付款历史记录，消费配额，调账记录，欠费查询的权限

list

-

-

-

billing:coupon:view

授予查看优惠券、储值卡、激活代金券的权限

read

-

-

-

billing:order:view

授予查看订单信息、查看按需套餐包的权限

list

-

-

-

billing:order:pay

授予支付订单的权限

write

-

-

-

billing:subscription:view

授予查看续费管理信息，查询可按需转包年/包月资源列表的权限。

read

-

-

-

billing:subscription:renew

授予续费、设置自动续费、设置到期策略、按需转包年/包月的权限

write

-

-

-

billing:subscription:unsubscribe

授予查看可退订资源，退订资源，取消发货，硬件退换货的权限

write

-

-

-

billing:resourcepackages:view

授予查看资源包，剩余量汇总，使用明细查询/导出的权限

list

-

-

-

billing:billdetail:view

授予查看账单明细的权限

read

-

-

-

billing:bill:view

授予查看账单、本月消费、近7天扣费资源，消费走势的权限

list

-

-

-

costcenter:costdetail:listcostdetails

授予查询成本明细的权限。

read

-

-

-

costcenter:costanalysis:listcosts

授予查看成本分析的权限

read

-

-

-

billing::activeepfinance

授予开通企业项目功能的权限

write

-

-

-

businessunitcenter:businessunit:view

授予查看组织与账号的权限

read

-

-

-

businessunitcenter:businessunitfinance:view

授予查看企业组织财务信息的权限

read

-

-

-

businessunitcenter:businessunitfinance:update

授予修改企业组织财务信息的权限

write

-

-

-

bss的api通常对应着一个或多个授权项。表 api与授权项的关系展示了api与授权项的关系，以及该api需要依赖的授权项。

细粒度鉴权失败情况下，响应字段encoded_authorization_message的值需要调安全令牌服务sts提供的接口解密后才能查看。解密接口的apie地址：。

注意：调用者需要有 sts::decodeauthorizationmessage 的权限才在apie调用解密接口，否则报错：sts5.1001。

表2 api与授权项的关系

场景

子场景

接口名称

接口url（api）

对应的授权项

授权项名称

依赖的授权项

管理产品

查询商品价格

查询按需产品价格

post /v2/bills/ratings/on-demand-resources

billing:contract:viewdiscount

查看折扣、价格信息。

-

查询包年/包月产品价格

post /v2/bills/ratings/period-resources/subscribe-rate

billing:contract:viewdiscount

查看折扣、价格信息

-

查询包年/包月资源的续订金额

post /v2/bills/ratings/period-resources/renew-rate

billing:contract:viewdiscount

查看折扣、价格信息。

-

管理账户

管理账户

查询账户余额

get /v2/accounts/customer-accounts/balances

billing:balance:view

查看账户信息。

-

查询储值卡列表

get /v2/promotions/benefits/stored-value-cards

billing:coupon:view

查看优惠券、现金券、代金券。

-

查询收支明细

get /v2/accounts/customer-accounts/account-change-records

billing:balance:view

查看账户信息。

-

管理交易

管理优惠券

查询优惠券列表

get /v2/promotions/benefits/coupons

billing:coupon:view

查看优惠券、现金券、代金券。

-

查询优惠券收支明细

get /v2/promotions/benefits/account-change-records

billing:balance:view

查看账户信息。

-

管理包年/包月订单

查询订单列表

get /v2/orders/customer-orders

billing:order:view

查看订单信息。

-

查询订单详情

get /v2/orders/customer-orders/details/{order_id}

billing:order:view

查看订单信息。

-

查询订单可用优惠券

get /v2/orders/customer-orders/order-coupons

billing:order:view

查看订单信息。

-

查询订单可用折扣

get /v2/orders/customer-orders/order-discounts

billing:contract:viewdiscount

查看折扣、价格信息。

-

支付包年/包月产品订单

post /v3/orders/customer-orders/pay

billing:order:pay

订单支付。

-

查询退款订单的金额详情

get /v2/orders/customer-orders/refund-orders

billing:order:view

查看订单信息。

-

管理包年/包月资源

查询客户包年/包月资源列表

post /v2/orders/suscriptions/resources/query
  • billing:subscription:view
  • billing:order:view（待下线）

查看订单信息。

-

续订包年/包月资源

post /v2/orders/subscriptions/resources/renew

billing:subscription:renew

下单、取消订单、修改收货地址。

-

退订包年/包月资源

post /v2/orders/subscriptions/resources/unsubscribe

billing:subscription:unsubscribe

下单、取消订单、修改收货地址。

-

设置包年/包月资源自动续费

post /v2/orders/subscriptions/resources/autorenew/{resource_id}

billing:subscription:renew

下单、取消订单、修改收货地址。

-

取消包年/包月资源自动续费

delete /v2/orders/subscriptions/resources/autorenew/{resource_id}

billing:subscription:renew

下单、取消订单、修改收货地址。

-

设置或取消包年/包月资源到期转按需

post /v2/orders/subscriptions/resources/to-on-demand

billing:subscription:renew

下单、取消订单、修改收货地址。

-

设置包年/包月资源自动续费扣款日和续费后资源统一到期日

post /v2/orders/subscriptions/resources/renew/config

billing:subscription:renew

下单、取消订单、修改收货地址。

-

管理资源包

查询资源包列表

post /v3/payments/free-resources/query

billing:resourcepackages:view

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

查询资源包使用明细

get /v2/bills/customer-bills/free-resources-usage-records
  • billing:resourcepackages:view
  • billing:billdetail:view（待下线）

查看消费明细、资源消费、账单分析、付款历史记录。

-

查询资源包使用量

post /v2/payments/free-resources/usages/details/query

billing:resourcepackages:view

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

管理账单

管理账单

查询资源详单

post /v2/bills/customer-bills/res-records/query

billing:billdetail:view

查看消费明细、资源消费、账单分析、付款历史记录。

-

查询汇总账单

get /v2/bills/customer-bills/monthly-sum

billing:bill:view

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

查询资源消费记录

get /v2/bills/customer-bills/res-fee-records
  • billing:billdetail:view
  • billing:bill:view（待下线）

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

查询流水账单

get /v2/bills/customer-bills/fee-records
  • billing:billdetail:view
  • billing:bill:view（待下线）

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

查询95计费资源用量

查询95计费资源用量明细

get /v2/bills/customer-bills/resources/usage/details

billing:billdetail:view

查看消费明细、资源消费、账单分析、付款历史记录。

-

查询95计费资源用量汇总

get /v2/bills/customer-bills/resources/usage/summary

billing:resourcepackages:view

查看账单、月度成本、用量明细、成本管理、收支以及总览页面的费用走势。

-

管理成本

管理成本

查询月度成本

get /v2/costs/cost-analysed-bills/monthly-breakdown
  • costcenter:costdetail:listcostdetails
  • costcenter:costanalysis:listcosts（待下线）

查看成本分析。

-

查询成本数据

post /v4/costs/cost-analysed-bills/query

costcenter:costanalysis:listcosts

查看成本分析。

-

管理企业

管理企业项目

开通客户企业项目权限

post /v2/enterprises/enterprise-projects/authority

billing::activeepfinance

开通企业项目功能。

-

管理企业多账号

查询企业子账号列表

get /v2/enterprises/multi-accounts/sub-customers

businessunitcenter:businessunit:view

企业中心组织与账号查看权限。

-

查询企业组织结构

get /v2/enterprises/multi-accounts/enterprise-organizations

businessunitcenter:businessunit:view

企业中心组织与账号查看权限。

-

查询企业主的可拨款余额

get /v2/enterprises/multi-accounts/transfer-amount

businessunitcenter:businessunitfinance:view

查看企业组织财务信息。

-

查询企业子账号可回收余额

get /v2/enterprises/multi-accounts/retrieve-amount

businessunitcenter:businessunitfinance:view

查看企业组织财务信息。

-

创建企业子账号

post /v2/enterprises/multi-accounts/sub-customers

businessunitcenter:businessunit:view

修改企业组织与子账号

-

企业主账号向企业子账号拨款

post /v2/enterprises/multi-accounts/transfer-amount

businessunitcenter:businessunitfinance:update

修改企业组织财务信息。

-

企业主账号从企业子账号回收余额

post /v2/enterprises/multi-accounts/retrieve-amount

businessunitcenter:businessunitfinance:update

修改企业组织财务信息。

-

查询企业主账号可拨款优惠券列表

get /v2/enterprises/multi-accounts/transfer-coupons

businessunitcenter:businessunitfinance:view

查看企业组织财务信息

-

查询企业子账号可回收优惠券列表

get /v2/enterprises/multi-accounts/retrieve-coupons

businessunitcenter:businessunitfinance:view

查看企业组织财务信息

-

企业主账号向企业子账号拨款优惠券

post v2/enterprises/multi-accounts/transfer-coupon

businessunitcenter:businessunitfinance:update

修改企业组织财务信息

-

企业主账号从企业子账号回收优惠券

post /v2/enterprises/multi-accounts/retrieve-coupon

businessunitcenter:businessunitfinance:update

修改企业组织财务信息

-

资源类型（resource）

bss 服务不支持在身份策略中的资源中指定资源进行权限控制。如需允许访问bss服务，请在策略的resource元素中使用通配符号*，表示策略将应用到所有资源。

条件（condition）

条件（condition）是身份策略生效的特定条件，包括条件键和运算符。

  • 条件键表示身份策略语句的condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。
    • 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。
    • 服务级条件键（前缀通常为服务缩写，如bss:）仅适用于对应服务的操作，详情请参见表3。
    • 单值/多值表示api调用时请求中与条件关联的值数。单值条件键在api调用时的请求中最多包含一个值，多值条件键在api调用时请求可以包含多个值。例如：g:sourcevpce是单值条件键，表示仅允许通过某个vpc终端节点发起请求访问某资源，一个请求最多包含一个vpc终端节点id值。g:tagkeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用api请求时传入标签可以传入多个值。
  • 运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，身份策略才能生效。支持的运算符请参见：运算符。

bss定义了以下可以在身份策略的condition元素中使用的条件键，您可以使用这些条件键进一步细化身份策略语句应用的条件。

表3 bss支持的服务级条件键

服务级条件键

类型

单值/多值

说明

billing:cloudservicetype

string

多值

根据请求参数中云服务的类型，过滤访问。常见问题

条件键示例

  • billing:cloudservicetype

    示例：表示仅支持退订hws.service.type.ebs云服务资源订单

    {
	"version": "5.0",
	"statement": [{
		"effect": "allow",
		"action": [
			"billing:subscription:unsubscribe"
		],
		"condition": {
			"foranyvalue:stringequals": {
				"billing:cloudservicetype": [
                                 "hws.service.type.ebs"
                             ]
			}
		}
	}]
}
父主题：

相关文档

网站地图