语法说明

您可以在定义操作（Action）或资源（Resource）时使用逻辑非语法，来表达对部分操作或资源的“排除”语义。具体关键字如下：

• NotAction： 定义要排除的操作范围，必须和Action一同使用，含义为包含Action内定义的操作但排除NotAction内定义的操作。
• NotResource： 定义要排除的资源范围，必须和NotResource一同使用，含义为包含Resource内定义的资源但排除NotResource内定义的资源。

例如，以下策略包含除私有网络外其他全部云服务的权限：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "*"
      ],
      "NotAction":[
        "vpc:*"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

以下策略包含操作除私有网络vpc-bp15zckdt37pq72zv****之外其他全部vpc资源的权限：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:*"
      ],
      "Resource": [
        "*"
      ],
      "NotResource": [
        "trn:vpc:cn-beijing:2000001234:vpc/vpc-bp15zckdt37pq72zv****"
      ]
    }
  ]
}

支持NotAction和NotResource的云服务

目前仅部分云服务支持NotAction和NotResource语法，对于不支持的云服务，您无法在策略中使用NotAction或NotResource关键字。以下是支持的服务列表：