策略语法

以OBS的自定义策略为例，说明策略的语法。

{ 
    "Version": "1.1", 
    "Statement": [ 
        { 
            "Effect": "Allow", 
            "Action": [ 
                "obs:bucket:ListAllMyBuckets", 
                "obs:bucket:HeadBucket", 
                "obs:bucket:ListBucket", 
                "obs:bucket:GetBucketLocation" 
            ], 
            "Condition": { 
                "StringEndWithIfExists": { 
                    "g:UserName": [ 
                        "specialCharactor" 
                    ] 
                }, 
                "Bool": { 
                    "g:MFAPresent": [ 
                        "true" 
                    ] 
                } 
            }, 
            "Resource": [ 
                "obs:*:*:bucket:*" 
            ] 
        } 
    ] 
}

策略结构

策略结构包括Version（策略版本号）和Statement（策略权限语句）两部分，其中Statement可以有多个，表示不同的授权项。 

图 策略结构

策略参数

策略参数包含Version和Statement两部分，下面介绍策略参数详细说明。了解策略参数后，您可以根据场景自定义策略。 

表 策略参数说明

• 条件键条件键表示策略语句的Condition 元素中的键值。根据适用范围，分为全局条件键和服务条件键。

  • 全局级条件键（前缀为g:）适用于所有操作，IAM提供 通用全局条件键 。

    • 通用全局条件键：在鉴权过程中，云服务不需要提供用户身份信息，IAM将自动获取并鉴权。详情请参见表-通用全局条件键

  • 服务级条件键（前缀为服务缩写，如obs:）仅适用于对应服务的操作，详情请参见对应云服务的用户指南。

表 通用全局条件键

• 运算符

运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，策略才能生效，详情请参见下表。运算符可以增加后缀“IfExists”，表示对应请求值为空或满足条件的请求值均使策略生效，如“StringEqualsIfExists”表示请求值为空或请求值等于条件值均使策略生效。

表 运算符（字符串型运算符，如未增加说明，不区分大小写。）