容器镜像服务
有奖捉虫：办公协同&微信生态&物联网文档专题 HOT
文档中心 > 容器镜像服务 > 操作指南 > 个人版操作指南 > 配置访问权限 > 个人版资源级 API 接口及授权方案变更指南

个人版资源级 API 接口及授权方案变更指南

最近更新时间：2023-04-07 14:45:41

我的收藏

本页目录：

概述

容器镜像服务（TCR）同时向企业客户及个人用户提供容器镜像托管分发服务。其中，个人版为用户提供简单、免费的基础服务，即当前容器服务（TKE）内的镜像仓库。 为向用户提供接口定义更加规范，访问时延下降显著的 API 接口服务，原有个人版镜像仓库（CCR）的 API 接口已由 2.0 版本升级至最新的 3.0 版本，接口名称及授权方案也发生了相应变更。本文档介绍了支持资源级鉴权的 API 升级后新旧接口映射关系及如何使用最新的授权方案。

API 映射关系

API 2.0 名称
API 3.0 名称
接口描述
最新资源（Resource）描述方式
CreateCCRNamespace
CreateNamespacePersonal
创建个人版命名空间
qcs::tcr:$region:$account:repo/$namespace
DeleteUserNamespace
DeleteNamespacePersonal
删除个人版命名空间
qcs::tcr:$region:$account:repo/$namespace
GetUserRepositoryList
DescribeRepositoryOwnerPersonal
查询个人版所有仓库
qcs::tcr:$region:$account:repo/*
CreateRepository
CreateRepositoryPersonal
创建个人版镜像仓库
qcs::tcr:$region:$account:repo/$namespace/$repo
DeleteRepository
DeleteRepositoryPersonal
删除个人版镜像仓库
qcs::tcr:$region:$account:repo/$namespace/$repo
BatchDeleteRepository
BatchDeleteRepositoryPersonal
批量删除个人版镜像仓库
qcs::tcr:$region:$account:repo/$namespace/*
DeleteTag
DeleteImagePersonal
删除个人版仓库 tag
qcs::tcr:$region:$account:repo/$namespace/$repo
BatchDeleteTag
BatchDeleteImagePersonal
批量删除个人版仓库 tag
qcs::tcr:$region:$account:repo/$namespace/$repo
pull
PullRepositoryPersonal
拉取个人版镜像仓库内镜像
qcs::tcr:$region:$account:repo/$namespace/$repo
push
PushRepositoryPersonal
推送个人版镜像仓库内镜像
qcs::tcr:$region:$account:repo/$namespace/$repo

授权方案映射关系

由于产品名称及 API 接口版本的升级变更，TCR 个人版原有的资源（Resource）描述方式及动作（Action）发生了相应变更，请您在使用 API 3.0接口的同时，使用最新的资源及操作授权方案。 API 升级期间，访问管理相关接口将同时兼容新旧的资源（Resource）描述方式及动作（Action），以保障用户自定义策略仍然生效。为方便您统一管理 API 接口及授权方案，建议您统一将授权方案升级为最新版本，详情请参考 个人版授权方案示例。

旧版资源级授权方案

动作（Action）：以 ccr 作为产品前缀，API 接口名称为2.0版本。例如，创建命名空间为 ccr:CreateCCRNamespace。
资源描述（Resource）：以 ccr 作为产品名称，仅有 repo 资源类型。例如，描述命名空间 namespace-a 下的镜像仓库 repo-b，则为 qcs::ccr:::repo/namespace-a/repo-b。其中，$region，$account 若置空，则默认为全部地域，账号默认为创建策略的 CAM 用户所属的主账号。 具体授权方案请参考：TKE 镜像仓库资源级权限设置。

新版资源级授权方案

动作（Action）： 以 tcr 作为产品前缀，API 接口名称为3.0版本。例如，创建个人版命名空间为 tcr:CreateNamespacePersonal。
资源描述（Resource）：以 tcr 作为产品名称，具有 instance、repository 和repo 三种资源类型。其中，repo 为个人版专属的资源类型。例如，描述个人版命名空间 namespace-a 下的镜像仓库 repo-b，则为 qcs::tcr:$region:$account:repo/namespace-a/repo-b。其中，$region,$account 若置空，则默认为全部地域，账号默认为创建策略的 CAM 用户所属的主账号。 具体授权方案请参考：个人版接入 CAM 的 API 列表 及 个人版授权方案示例。

新旧授权方案兼容示例

例如，授权子账号可读默认地域下 namespace-a 命名空间内的 repo-b 的镜像仓库，该镜像仓库为个人版。则仅能查询仓库信息、拉取该仓库内镜像，但无法删除仓库、修改仓库属性及推送镜像。
旧版授权方案：
{
    "version": "2.0",
    "statement": [{
        "action": [
            "ccr:pull"
        ],
        "resource": "qcs::ccr:::repo/namespace-a/repo-b",
        "effect": "allow"
    }]
}
新版授权方案：
{
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:PullRepositoryPersonal"
        ],
        "resource": "qcs::tcr:::repo/namespace-a/repo-b",
        "effect": "allow"
    }]
}

中国站