如何构建IAM权限策略

对于IAM授权中使用的权限策略，详细规则如下。

权限策略示例

{
    "version": "1",
    "statement": [
        {
            "action": [
                "wos:GetBucket"
            ],
            "resource": [
                "wsc:wos:*:*:testbucket"
            ],
            "effect": "allow"
        },
        {
            "action": [
                "wos:PutObject",
                "wos:GetObject",
                "wos:DeleteObject"
            ],
            "resource": [
                "wsc:wos:*:*:testbucket/*"
            ],
            "effect": "allow"
        }
    ]
}

这是一个授权的Policy，父账号可以用这样的一个Policy通过IAM服务向子账号授权。Policy当中有一个statement（一条Policy当中可以有多条statement）。statement里面规定了相应的action、resource和effect。

这条Policy配置的权限：列举空间testbucket中所有文件的信息；上传文件到空间testbucket；下载空间testbucket中的文件；删除空间testbucket中的文件。

配置细则

version

version定义了权限策略的版本，当前支持版本为“1”。

statement

通过statement描述授权语义，其中可以根据业务场景包含多条语义，每条包含对action、effect和resource的描述。每次请求系统会逐条依次匹配检查，所有匹配成功的statement会根据effect的设置不同分为通过（allow）、禁止（deny），其中禁止（deny）的优先。如果匹配成功的都为通过，该条请求即鉴权通过。如果匹配成功有一条禁止，或者没有任何条目匹配成功，该条请求被禁止访问。

action

action指代的是wos提供的S3 API或控制台的操作。action的规则是wos:{action_name}，支持通配，可以用代表 0 个或多个任意的英文字母，如wos:List*表示wos提供的所有action_name以 List 开头的 S3 API或控制台操作。
action是一个列表，可以选择操作中的一种或几种，所有的action_name前面都必须加上“wos:”。可以有多个action。

action分为三大类：
• Service级别操作，对应类似于wos:GetService之类的操作。
• Bucket级别操作，对应类似于wos:PutBucketLifecycle、wos:GetBucket之类的操作，操作的对象是Bucket。
• Object级别操作，对应类似于wos:GetObject、wos:PutObject、wos:DeleteObject和wos:AbortMultipartUpload，操作对象是Object。

具体的action和S3 API的对应关系如下：

• Service 级别

注：给子账号分配了GetService权限，则子账号可以获取其父账号拥有的所有空间。（子账号创建的空间，该空间的拥有者为其父账号）

• Bucket 级别

• Object 级别

具体的action和控制台操作的对应关系如下：

• Service 级别

注：

1. 给子账号分配了GetService权限，则子账号可以获取其父账号拥有的所有空间。（子账号创建的空间，该空间的拥有者为其父账号）
2. 使用控制台的子账号，都需要有GetService权限，否则可能无法正常使用控制台上的其他操作。
3. 给子账号分配了GetBucketAnalysis权限，则子账号可以查看统计分析下的所有菜单项。

• Bucket 级别

• Object 级别

resource

resource指代的是存储在wos上的资源，resource的规则是wsc:wos:{region}:{bucket_owner}:{bucket_name}/{object_name}，支持通配。可以用代表 0 个或多个任意的英文字母。其中的region字段暂时不做支持，设置为“*”。
resource也是一个列表，可以包含一个或多个资源。可以有多个resource。

对于所有Service级别的操作，不支持指定到具体的资源，即wsc: wos:
*: * : * 。
对于所有Bucket级别的操作，只支持指定到具体的空间，即wsc:wos:{region}:{bucket_owner}:{bucket_name}。
对于所有Object级别的操作。支持指定到具体的文件，即wsc:wos:{region}:{bucket_owner}:{bucket_name}/{object_name}。

effect

effect代表本条的statement的授权的结果，分为allow和deny，分别指代通过和禁止。多条statement同时匹配成功时，禁止（deny）的优先级更高。
例如，期望禁止用户对某一目录进行删除，但对于其他文件有全部权限：

{
  "version": "1",
  "statement": [
    {
      "effect": "allow",
      "action": [
        "wos:*"
      ],
      "resource": [
        "wsc:wos:*:*:bucketname/*"
      ]
    },
    {
      "effect": "deny",
      "action": [
        "wos:DeleteObject"
      ],
      "resource": [
        "wsc:wos:*:*:bucketname/test/*"
      ]
    }
  ]
}