权限策略由哪些元素组成_访问控制-阿里云帮助中心

RAM中使用权限策略描述授权的具体内容，权限策略由效果（Effect）、操作（Action）、资源（Resource）、条件（Condition）和授权主体（Principal）等基本元素组成。

元素名称	描述
效果（Effect）	授权效果包括两种：允许（Allow）和拒绝（Deny）。
操作（Action）	操作是指对具体资源的操作。
资源（Resource）	资源是指被授权的具体对象。
条件（Condition）	条件是指授权生效的条件。
授权主体（Principal）	授权主体是指允许或拒绝访问资源的主体，仅适用于基于资源的策略。例如：RAM角色的信任策略。

效果（Effect）

Effect元素用于指定授权的效果是允许或拒绝，是必选元素。Effect元素的取值：Allow和Deny。

"Effect": "Allow"

"Action": [
  "oss:ListBuckets",
  "ecs:Describe*",
  "rds:Describe*"
]

"Resource": [
  "acs:ecs:*:*:instance/inst-001",
  "acs:ecs:*:*:instance/inst-002",
  "acs:oss:*:*:mybucket",
  "acs:oss:*:*:mybucket/*"
]

"Principal": {
  "RAM": [
    "acs:ram::123456789012****:root",
    "acs:ram::987654321098****:root"
  "Service": "ecs.aliyuncs.com"
}

条件操作类型	支持类型
字符串类型（String）	StringEquals StringNotEquals StringEqualsIgnoreCase StringNotEqualsIgnoreCase StringLike StringNotLike
数字类型（Number）	NumericEquals NumericNotEquals NumericLessThan NumericLessThanEquals NumericGreaterThan NumericGreaterThanEquals
日期类型（Date and time）	DateEquals DateNotEquals DateLessThan DateLessThanEquals DateGreaterThan DateGreaterThanEquals
布尔类型（Boolean）	Bool
IP地址类型（IP address）	IpAddress NotIpAddress

通用条件关键字	类型	描述
`acs:CurrentTime`	Date and time	Web Server接收到请求的时间。以ISO 8601格式表示，例如： `2012-11-11T23:59:59Z` 。
`acs:SecureTransport`	Boolean	发送请求是否使用了安全信道。例如：HTTPS。
`acs:SourceIp`	IP address	发送请求时的客户端IP地址。
`acs:MFAPresent`	Boolean	用户登录时是否使用了多因素认证（MFA）。
`acs:PrincipalARN`	String	请求主体的身份。仅限在资源目录管控策略和RAM角色信任策略中使用。例如： `acs:ram:::role/resourcedirectory` 。
`acs:PrincipalRDId`	String	请求主体所属云账号所在的资源目录ID。仅限在RAM角色信任策略和OSS Bucket Policy中使用。
`acs:PrincipalRDPath`	String	请求主体所属云账号所在的资源目录中的路径。仅限在RAM角色信任策略和OSS Bucket Policy中使用。
`acs:RequestTag/<tag-key>`	String	请求中传递的标签信息。<tag-key>为标签键，请在使用时替换为实际值。支持的云服务及资源类型，请参见支持标签的云服务中的资源类型鉴权信息。
`acs:ResourceTag/<tag-key>`	String	请求访问的资源上绑定的标签信息。<tag-key>为标签键，请在使用时替换为实际值。支持的云服务及资源类型，请参见支持标签的云服务中的资源类型鉴权信息。

服务级别条件关键字	云服务名称	类型	描述
`rds:ResourceTag/<tag-key>`	RDS	String	RDS资源的标签关键字。<tag-key>为标签键，请在使用时替换为实际值。
`oss:Delimiter`	OSS	String	OSS对Object名字进行分组的分隔符。
`oss:Prefix`	OSS	String	OSS Object名称的前缀。