本文介绍了 CloudFS 支持的授权项和常用的权限策略示例。

背景信息

策略是对权限的一种描述，IAM 提供基于身份的策略(Identity-based policies)和基于资源的策略（Resource-based policies。不论是用户、用户组还是角色，都需要通过关联策略来赋予权限。更多信息，请参考策略语法。
每个策略由以下元素组成：

• Statement：策略的声明是对策略语句的封装，可包含单条语句或由多条语句组成的数组。
• Effect：值为" Allow "或者" Deny "，标识是否允许有操作指定资源的权限。
• Action：授权项。表示具体的操作，与 API 的 Action 含义相同。
• Resource：指定动作(Action)作用的资源。格式为：trn: {service}:{region}:{account}: {resourceType}/{id}。
  

支持的授权项

CloudFS 支持的授权项如下表所示。

接口与 Action 对应表

接口与授权策略中的 Action 的对应关系。

授权策略示例

示例一：对某个路径的完全控制权限

授权用户对路径 /path 及其子路径的完全控制权限。

{
     "Statement" : [
        {
             "Effect" : "Allow",
             "Action" : [
                 "cfs:*" 
            ],
             "Resource": [
                 "trn:cfs:*:*:{file-system-name}/path/*"
                 ]
        }
    ]
}

示例二：对某个路径的读取权限

授权用户对 /readPath 路径及其子路径的读取权限。

{
     "Statement" : [
        {
             "Effect" : "Allow",
             "Action" : [
                 "cfs:Read" 
            ],
             "Resource": [
                 "trn:cfs:*:*: {file-system-name}/readPath/*"
                 ]
        }
    ]
}

示例三：对某个路径的写权限，并拒绝某子路径的删除操作

授权用户对 /writePath 及其子路径的写权限。同时禁止对路径 /writePath/subPath/ 的写权限，则对该路径的删除操作将被禁止。

{
     "Statement" : [
        {
             "Effect" : "Allow",
             "Action" : [
                 "cfs:Write" 
            ],
             "Resource": [
                 "trn:cfs:*:*: {file-system-name}/writePath/*"
                 ]
        }
        {
              "Effect" : "Deny",
              "Action" : [
                "cfs:Write" 
             ],
              "Resource": [
                  "trn:cfs:*:*: {file-system-name}/writePath/subPath/"
                  ]
        }
    ]
}

示例四：数据湖模式下禁用 List 权限

禁用用户对某个 TOS Bucket 挂载的 List 权限。禁用后可以正常进行 FUSE 挂载，可以做 cd、cat、cp 等读写操作，但是不能 ls。
以下权限策略作用为：

• 授权用户对 Namespace ID 为 12345 Bucket 的完全控制权限。
• 禁用用户对 Namespace ID 为 12345 Bucket 的 List 权限。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cfs:*"
      ],
      "Resource": [
          "trn:cfs:*:*:{file-system-name}/12345"
          ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "cfs:List"
      ],
      "Resource": [
          "trn:cfs:*:*:{file-system-name}/12345"
          ]
    }
  ]
}