操作步驟

1. 使用阿里云賬號(hào)登錄RAM控制臺(tái)。

2. 創(chuàng)建自定義的權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理 > 權(quán)限策略。

   2. 在權(quán)限策略頁(yè)面，單擊創(chuàng)建權(quán)限策略。

   3. 在創(chuàng)建權(quán)限策略頁(yè)面，單擊腳本編輯頁(yè)簽。

      說(shuō)明

      RAM提供可視化編輯和腳本編輯方式來(lái)創(chuàng)建權(quán)限策略。創(chuàng)建KMS資源的自定義權(quán)限策略時(shí)，您需要使用腳本編輯方式，可視化編輯方式僅支持選擇KMS的全部資源和全部操作。

   4. 編輯權(quán)限策略腳本，然后單擊繼續(xù)編輯基本信息。

      編寫(xiě)KMS權(quán)限策略腳本時(shí)，您需要自定義授權(quán)語(yǔ)句，包括效果（Effect）、操作（Action）、資源（Resource）以及條件（Condition，可選項(xiàng)）。更多信息，請(qǐng)參見(jiàn)附錄：KMS支持的資源（Resource）、操作（Action）、條件（Condition）。

      說(shuō)明

      關(guān)于權(quán)限策略語(yǔ)法結(jié)構(gòu)的詳情，請(qǐng)參見(jiàn)權(quán)限策略語(yǔ)法和結(jié)構(gòu)。

   5. 輸入權(quán)限策略名稱(chēng)和備注信息，根據(jù)頁(yè)面提示檢查并優(yōu)化權(quán)限策略?xún)?nèi)容。

   6. 單擊確定。

3. 授予RAM用戶(hù)自定義的權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 用戶(hù)。

   2. 在用戶(hù)頁(yè)面，找到目標(biāo)RAM用戶(hù)，在操作列單擊添加權(quán)限。

   3. 在新增授權(quán)面板，完成如下配置，然后單擊確認(rèn)新增授權(quán)。

      配置項(xiàng)	說(shuō)明
      資源范圍	選擇權(quán)限在當(dāng)前阿里云賬號(hào)生效或者在指定資源組內(nèi)生效。目前KMS還未支持資源組功能，請(qǐng)選擇整個(gè)云賬號(hào)。
      授權(quán)主體	需要授權(quán)的RAM用戶(hù)。系統(tǒng)自動(dòng)填入您選擇的RAM用戶(hù)，您也可以手動(dòng)添加其他RAM用戶(hù)。
      權(quán)限策略	根據(jù)使用場(chǎng)景選擇自定義的權(quán)限策略。

附錄：KMS支持的資源（Resource）、操作（Action）、條件（Condition）

資源（Resource）

KMS定義的資源類(lèi)型包括抽象密鑰容器、抽象憑據(jù)容器、抽象別名容器、密鑰、憑據(jù)、別名，您可以通過(guò)以下方式獲取資源對(duì)應(yīng)的資源名稱(chēng)ARN（Aliyun Resource Names），用于RAM權(quán)限策略的Resource元素。例如，查看密鑰的ARN：

1. 登錄密鑰管理服務(wù)控制臺(tái)，在頂部菜單欄選擇地域后，在左側(cè)導(dǎo)航欄單擊資源 > 密鑰管理。

2. 在用戶(hù)主密鑰頁(yè)簽，定位到目標(biāo)密鑰，單擊操作列的詳情，在密鑰詳情頁(yè)面獲取ARN。不同資源類(lèi)型對(duì)應(yīng)的ARN格式不同，具體信息，如下表所示。

   說(shuō)明

   請(qǐng)將${region}和${account}替換為您實(shí)際的地域和阿里云賬號(hào)，您也可以根據(jù)需求縮小資源范圍。${region}支持通配符*，表示所有支持的地域。

   資源類(lèi)型	ARN
   抽象密鑰容器	acs:kms:${region}:${account}:key
   抽象憑據(jù)容器	acs:kms:${region}:${account}:secret
   抽象別名容器	acs:kms:${region}:${account}:alias
   密鑰	acs:kms:${region}:${account}:key/${key-id} 說(shuō)明 密鑰資源的ARN支持通配符*。例如： acs:kms:${region}:${account}:key/*：表示對(duì)應(yīng)地域和賬號(hào)下的所有密鑰。 acs:kms:*:${account}:key/*：表示對(duì)應(yīng)賬號(hào)下所有地域的所有密鑰。
   憑據(jù)	acs:kms:${region}:${account}:secret/${secret-name} 說(shuō)明 憑據(jù)資源的ARN支持以下兩種通配方式： acs:kms:${region}:${account}:secret/*：表示對(duì)應(yīng)地域和賬號(hào)下的所有憑據(jù)。 acs:kms:${region}:${account}:secret/prefix*：表示對(duì)應(yīng)地域和賬號(hào)下憑據(jù)名稱(chēng)前綴為prefix的所有憑據(jù)。
   別名	acs:kms:${region}:${account}:alias/${alias-name}

操作（Action）

針對(duì)每一個(gè)需要進(jìn)行訪問(wèn)控制的接口，KMS都定義了用于RAM權(quán)限策略的操作（Action），通常為kms:<api-name>。

以下表格列出了KMS接口的對(duì)應(yīng)RAM權(quán)限策略操作，以及接口所訪問(wèn)的資源類(lèi)型。

條件（Condition）