点击这里注册天翼云特邀VIP帐号，立即体验天翼云对象存储>>>

天翼云对象存储（经典版）I型访问控制教程-IAM策略编写规则Statement

Statement为策略的主要元素，该元素为必填项。Statement中可含一条单独的JSON语句，也可包含由多条语句组成的JSON语句块。每条单独的语句块必须使用大括号{}括起来。每个JSON语句块中包括下列元素：Sid（非必填）、Effect（必填）、Action或NotAction（二选一）、Resource或NotResource（二选一）、Condition（非必填）。

Statement语句的结构如下：

“Statement”: [ {…},   {…}, {…}, …]

例如下例为多个JSON语句块组成的示例：

{
    "Version":     "2012-10-17",
    "Statement": [
    {
        "Sid": "AllowGroupToManageTrail",
        "Effect": "Allow",
        "Action": "cloudtrail:*",
        "Resource": "*"
    },
    {
        "Sid": "AllowGroupToSeeBucket",
        "Effect": "Allow",
        "Action": [
            "oos:GetObject",
            "oos:ListBucket"
        ],
        "Resource": [
            "arn:ctyun:oos::10rc2arpn6306:trailbucket",
            "arn:ctyun:oos::10rc2arpn6306:trailbucket/*"
        ]
    }
    ]
}

Sid

Sid是针对策略语句提供的可选标识符，用户可以为声明数组中的每份声明指定Sid值，Sid值是策略文件ID的子ID。在IAM中，Sid值在JSON策略中必须唯一。

Effect

Effect元素是必需具备的元素，用于指定声明所产生的结果是“允许”还是“显式拒绝”。Effect的有效值为Allow和Deny。在默认情况下，将拒绝访问资源。如要允许访问资源，必须将Effect元素设置为Allow。

Action

Action元素描述将允许或拒绝的指定操作。每个服务有对应的任务操作，用户可以使用相应服务来执行所描述的任务。目前提供的服务有：oos（对象存储）、cloudtrail（操作跟踪）、statistics（统计）和iam。具体每种服务包括的操作详见操作列表。

Action元素的语法结构为：”Action”: “服务:具体操作”。其中具体操作也可以用通配符（*）表示某类操作。

示例1：OOS：获取对象操作。

"Action":   "oos:GetObject"

示例2：IAM：创建IAM用户。

"Action":   "iam:CreateUser"

示例3：使用通配符（*）表示执行OOS的所有服务。

"Action":   "oos:*"

示例4：使用通配符（*）表示执行IAM服务中包含AccessKey的操作。

"Action":   "iam:*AccessKey*"

NotAction

NotAction元素描述与指定操作列表之外的所有内容显式匹配。使用NotAction时只列出不应匹配的一些操作。使用NotAction时：

• 如果使用Allow效果，则允许未列出的所有适用操作或服务。
  

• 如果使用Deny效果，则拒绝此类未列出的操作或服务。如果想允许某个已列出的操作，则必须显式允许此操作。
  

示例1：除删除存储桶操作外，允许用户执行OOS其他所有操作。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "NotAction": "oos:DeleteBucket",
        "Resource": "arn:ctyun:oos::10rc2arpn6306:*",
    }
    ]
}

示例2：允许用户执行除IAM服务外的所有操作。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "NotAction": "iam:*",
        "Resource": "*",
    }
    ]
}

示例3：拒绝除oos、cloudtrail和statistics之外的服务。但并不是允许oos、cloudtrail和statistics服务的操作，如果允许oos、cloudtrail和statistics中的某个操作，需要再写新的策略进行显式允许。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Deny",
        "NotAction": [
            "oos:*",
            "cloudtrail:*",
            "statistics:*",
        ], 
        "Resource": "*",
    }
    ]
}

Resource

Resource元素指定执行策略的资源，可以指定一个或多个对象。

格式可以为：

• “Resource”: “arn:ctyun:service::accountid:resource”
  

• “Resource”: “arn:ctyun:service::accountid:resourcetype/resource”
  

其中：

• service：服务名；
  

• accountid：账户ID；
  

• resourcetype：资源类型。
  

• resource：具体资源。在指定资源时，可以使用通配符，其中*表示字符的任意组合，？表示任何单个字符。
  

            说明：

• 在resource最后部分添加策略变量“${ctyun:username}”指定占位符。当策略执行时，策略变量将被替换为请求本身的用户名。
  

• 在resource最后部分添加策略变量“${ctyun:AccessKey}”指定占位符。当策略执行时，策略变量将被替换为请求本身的AccessKey。
  

如下列举例，将含有策略变量的策略附加给多个用户，当用户A发起请求时，username将替换为A的用户名；当用户B发起请求时，username将替换为B的用户名。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "NotAction": "oos:DeleteBucket",
        "Resource": "arn:ctyun:oos::10rc2arpn6306:*",
    }
    ]
}

NotResource

NotResource元素指除指定资源列表之外的所有内容显式匹配的策略元素。使用NotResource时，只列出不应匹配的一些资源，而不是包括将匹配的资源列表。使用NotResource时应注意，在此元素中指定的资源是受限的资源，即：

• 如果使用Allow，则将允许未列出的所有资源，包括所有其他服务中的资源；
  

• 如果使用Deny，则拒绝所有未列出资源。
  

Condition

Condition元素描述允许用户指定策略生效的条件。在Condition元素中，用户可构建表达式，并使用条件运算符将策略中的条件与请求值相匹配。

Condition元素可以由多个条件组成。条件包括：条件运算符、条件键和条件值组成，一个条件键可以对应多个条件值。

Condition的语法结构如下：

说明：条件键不区分大小写。如果条件值是时间，将需要设置的时间转换为UTC+0时区的时间。

若存在多个条件，各个条件之间的约束如下：

• 存在多个条件运算符，采用逻辑AND评估这些条件；
  

• 若一个条件键对应多个条件值，采用逻辑OR评估这些条件值；
  

• 必须满足所有条件运算符才能做出允许或者拒绝。如果多个条件中的任何一个不满足，那么策略不生效。
  

条件键、运算符、条件值见下表：