访问策略语言概述

注意：

在给子用户或者协作者添加访问策略时，请务必根据业务需要，按照最小权限原则进行授权。如果您直接授予子用户或者协作者所有资源(resource:*)，或者所有操作(action:*)权限，则存在由于权限范围过大导致数据安全风险。

概述

访问策略可用于授予访问数据保险箱资源的权限。访问策略使用基于 JSON 的访问策略语言。您可以通过访问策略语言授权指定委托人（principal）对指定的数据保险箱资源执行指定的操作。

访问策略语言描述了访问策略（Access Policy）的基本元素和用法。

访问策略中的元素

访问策略语言包含用于描述权限信息的一条或多条语句（statement），由以下部分组成：

• 委托人（principal）：描述策略授权的实体，例如主账号、子账号、匿名用户等。
• 效力（effect）：该元素是必填项，描述声明产生的结果是“允许”还是“显式拒绝”，包括 allow 和 deny 两种情况。
• 操作（action）：该元素是必填项，描述允许或拒绝的操作。操作可以是 API（以 name 前缀描述）或者功能集（一组特定的 API，以 permid 前缀描述）。
• 资源（resource）：描述授权的具体数据，资源是用六段式描述。
• 条件（condition）：该元素是非必填项，描述策略生效的约束条件，条件包括操作符、操作键和操作值组成。条件值可包括 IP 地址等信息，有些服务允许您在条件中指定其他值。

元素用法

指定委托人

委托人 principal 元素用于指定被允许或拒绝访问资源的用户、账户、服务或其他实体。下面是指定 principal 的示例。

"principal": {
  "qcs": [
    "qcs::cam::uin/100000000001:uin/100000000001"
  ]
}

授权主账户 UIN 100000000001权限：

"principal": {
  "qcs": [
    "qcs::cam::uin/100000000001:uin/100000000001"
  ]
}

授权子账户 UIN 100000000011（主账户 UIN 为100000000001）权限：

注意：

操作前需确保子账号已被添加到主账号的子账号列表中。

"principal": {
  "qcs": [
    "qcs::cam::uin/100000000001:uin/100000000011"
  ]
}

指定效力

如果没有显式授予（允许）对资源的访问权限，则隐式拒绝访问。您也可显式拒绝（deny）对资源的访问，这样可确保用户无法访问该资源，即使有其他策略授予了访问权限的情况下也是如此。下面是指定允许效力的示例。

"effect" : "allow"

指定操作

数据保险箱定义了可在策略中指定的某一个特定的数据保险箱操作，指定的操作与发起的 API 请求操作完全一致。

保险箱操作

对象操作

生命周期管理

访问策略

分片上传

指定允许操作的示例如下：

"action": [
  "name/cdcs:GetObject",
  "name/cdcs:CheckObject"
]

指定资源

资源（resource）元素描述一个或多个操作对象，如保险箱、对象等。所有资源均可采用下述的六段式描述方式。

qcs:project_id:service_type::account:resource

参数说明如下：

下面是指定保险箱 examplecoffer-1250000000 的示例。

"resource": ["qcs::cdcs::uid/1250000000:examplecoffer-1250000000/*"]

下面是指定保险箱 examplecoffer-1250000000 中的 exampleobject 对象的示例。

"resource": ["qcs::cdcs::uid/1250000000:examplecoffer-1250000000/exampleobject"]

指定条件

访问策略语言可使您在授予权限时指定条件。例如限制用户访问来源，限制授权时间等。下面列出了目前支持的条件操作符列表以及通用的条件键和示例等信息。

下面是满足来访 IP 为 10.121.2.0/24 网段内的示例。

"ip_equal":{"qcs:ip ":"10.121.2.0/24"}

下面是满足来访 IP 为 101.226.***.185 和 101.226.***.186 的示例。

"ip_equal": {
  "qcs:ip": [
    "101.226.***.185",
    "101.226.***.186"
  ]
}

实际案例

允许主账号1234下的子账号5678，在访问来源 IP 为 101.226.***.185/101.226.***.186 时，对保险箱 examplecoffer-1250000000 中的对象执行 GET（下载）和 HEAD 操作。

{
   "version": "2.0",
    "statement": [
        {
           "principal": {
              "qcs": [
                 "qcs::cam::uin/1234:uin/5678"
              ]
           },
            "action": [
                "name/cdcs:GetObject",
                "name/cdcs:CheckObject"
            ],
            "condition": {
                "ip_equal": {
                    "qcs:ip": [
                        "101.226.***.185",
                        "101.226.***.186"
                    ]
                }
            },
            "effect": "allow",
            "resource": [
                "qcs::cdcs::uid/1250000000:examplecoffer-1250000000/*"
            ]
        }
    ]
}