單個API

"Action": "ots:GetRow"                    

多個API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

所有只讀API

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

所有讀寫API

"Action": "ots:*"               

所有SQL操作API

"Action": "ots:SQL*"

管理類API訪問的資源

管理類API主要為實例相關(guān)的操作，僅由控制臺調(diào)用。對該類API的Action和Resource定義，將影響用戶使用控制臺。以下訪問的資源省略了acs:ots:[region]:[user_id]:前綴，只描述實例和表部分。

數(shù)據(jù)類API訪問的資源

數(shù)據(jù)類API主要為表和行相關(guān)的操作，控制臺和SDK都會調(diào)用，對該類API的Action和Resource定義，將影響用戶使用控制臺。以下訪問的資源省略了acs:ots:[region]:[user_id]:前綴，只描述實例和表部分。

Tunnel API訪問的資源

Tunnel API主要為通道相關(guān)的操作，控制臺和SDK都會調(diào)用，對該類API的Action和Resource定義，將影響用戶使用控制臺。以下訪問的資源省略了acs:ots:[region]:[user_id]:前綴，只描述實例和表部分。

訪問IP限制

通過自定義權(quán)限策略限制訪問表格存儲的源IP地址，并且支持根據(jù)網(wǎng)段進行過濾。典型配置如下：

• 限制多個IP地址。

  以下示例用于只允許IP地址為10.10.XX.XX和10.11.XX.XX的請求訪問。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 限制單個IP地址和IP網(wǎng)段。

  以下示例用于只允許IP地址為10.10.XX.XX或10.10.XX.XX/24網(wǎng)段的請求訪問。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS訪問限制

通過自定義權(quán)限策略限制是否通過HTTPS訪問表格存儲。

以下示例用于限制請求必須通過HTTPS訪問表格存儲。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS版本訪問限制

通過自定義權(quán)限策略限制是否通過TLSv1.2和TLSv1.3版本訪問表格存儲。

以下示例用于限制請求必須通過TLSv1.2和TLSv1.3版本訪問表格存儲。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA訪問限制

通過自定義權(quán)限策略限制是否通過MFA（多因素認證）訪問表格存儲。

以下示例用于限制請求必須通過MFA訪問表格存儲。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

訪問時間限制

通過自定義權(quán)限策略限制請求的訪問時間，即只允許或拒絕在某個時間點范圍之前的請求。

以下示例用于限制用戶在北京時間2016年1月1日零點之前可以訪問表格存儲，之后將不能再訪問。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

場景一：多種授權(quán)條件

對于訪問IP地址為10.10.XX.XX/24網(wǎng)段的用戶，可以對所有名稱為online-01和online-02的實例執(zhí)行讀或者寫操作（包括實例下的所有表），且要求只能在2016-01-01 00:00:00之前訪問和通過HTTPS訪問。

1. 使用阿里云賬號登錄訪問控制RAM管理控制臺（默認已開通訪問控制服務(wù)）。

2. 創(chuàng)建權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理 > 權(quán)限策略。

   2. 在權(quán)限策略頁面，單擊創(chuàng)建權(quán)限策略。

   3. 在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯頁簽，并將如下內(nèi)容填寫到策略內(nèi)容中。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. 單擊繼續(xù)編輯基本信息，輸入策略名稱和備注。

   5. 單擊確定。

3. 為RAM用戶授予權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 用戶。

   2. 在用戶頁面，找到需要授權(quán)的RAM用戶，單擊用戶操作列的添加權(quán)限。

   3. 在新增授權(quán)面板，選擇權(quán)限為自定義策略后，搜索已新建的策略名稱，并選中該策略前的復(fù)選框?qū)⒉呗蕴砑拥?b data-tag="uicontrol" id="b9c5baeb1fscj" class="uicontrol">已選擇授權(quán)策略欄。

   4. 單擊確認新增授權(quán)。

   5. 單擊關(guān)閉。

場景二：拒絕請求

對于訪問IP地址為10.10.XX.XX的用戶，拒絕對華北2（北京）地域名稱以online和product開頭的實例下的所有表執(zhí)行寫操作（不包括對實例的操作）。

1. 使用阿里云賬號登錄訪問控制RAM管理控制臺（默認已開通訪問控制服務(wù)）。

2. 創(chuàng)建權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇權(quán)限管理 > 權(quán)限策略。

   2. 在權(quán)限策略頁面，單擊創(chuàng)建權(quán)限策略。

   3. 在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯頁簽，并將如下內(nèi)容填寫到策略內(nèi)容中。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. 單擊繼續(xù)編輯基本信息，輸入策略名稱和備注。

   5. 單擊確定。

3. 為RAM用戶授予權(quán)限策略。

   1. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 用戶。

   2. 在用戶頁面，找到需要授權(quán)的RAM用戶，單擊用戶操作列的添加權(quán)限。

   3. 在新增授權(quán)面板，選擇權(quán)限為自定義策略后，搜索已新建的策略名稱，并選中該策略前的復(fù)選框?qū)⒉呗蕴砑拥?b data-tag="uicontrol" id="a3ecf13f29va0" class="uicontrol">已選擇授權(quán)策略欄。

   4. 單擊確認新增授權(quán)。

   5. 單擊關(guān)閉。