Tablestore：自訂RAM Policy

單個API

"Action": "ots:GetRow"                    

多個API

"Action": [
"ots:PutRow",
"ots:GetRow"
]                  

所有隻讀API

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ots:BatchGet*",
        "ots:Describe*",
        "ots:Get*",
        "ots:List*",
        "ots:Consume*",
        "ots:Search",
        "ots:ComputeSplitPointsBySize"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}                

所有讀寫API

"Action": "ots:*"               

所有SQL操作API

"Action": "ots:SQL*"

管理類API訪問的資源

管理類API主要為執行個體相關的操作，僅由控制台調用。對該類API的Action和Resource定義，將影響使用者使用控制台。以下訪問的資源省略了acs:ots:[region]:[user_id]:首碼，只描述執行個體和表部分。

資料類API訪問的資源

資料類API主要為表和行相關的操作，控制台和SDK都會調用，對該類API的Action和Resource定義，將影響使用者使用控制台。以下訪問的資源省略了acs:ots:[region]:[user_id]:首碼，只描述執行個體和表部分。

Tunnel API訪問的資源

Tunnel API主要為通道相關的操作，控制台和SDK都會調用，對該類API的Action和Resource定義，將影響使用者使用控制台。以下訪問的資源省略了acs:ots:[region]:[user_id]:首碼，只描述執行個體和表部分。

訪問IP限制

通過配置IP白名單限制訪問Tablestore的源IP地址，並且支援根據網段進行過濾。典型配置如下：

• 限制多個IP地址。

  以下樣本用於只允許IP地址為10.10.XX.XX和10.11.XX.XX的請求訪問。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.11.XX.XX"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                           

• 限制單個IP地址和IP網段。

  以下樣本用於只允許IP地址為10.10.XX.XX或10.10.XX.XX/24網段的請求訪問。

  {
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "ots:*",
          "Resource": "acs:ots:*:*:*",
          "Condition": {
              "IpAddress": {
                  "acs:SourceIp": [
                      "10.10.XX.XX",
                      "10.10.XX.XX/24"
                  ]
              }
          }
      }
  ],
  "Version": "1"
  }                            

HTTPS訪問限制

通過自訂權限原則限制是否通過HTTPS訪問Tablestore。

以下樣本用於限制請求必須通過HTTPS訪問Tablestore。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:SecureTransport": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

TLS版本訪問限制

通過自訂權限原則限制是否通過TLSv1.2和TLSv1.3版本訪問Tablestore。

以下樣本用於限制請求必須通過TLSv1.2和TLSv1.3版本訪問Tablestore。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ots:*",
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringNotEquals": {
                  "ots:TLSVersion": [
                    "TLSv1.2",
                    "TLSv1.3"
                  ]
                }
            }
        }
    ]
}

MFA訪問限制

通過自訂權限原則限制是否通過MFA（多因素認證）訪問Tablestore。

以下樣本用於限制請求必須通過MFA訪問Tablestore。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent ": "true"
                }
            }
        }
    ],
    "Version": "1"
}                    

訪問時間限制

通過自訂權限原則限制請求的訪問時間，即只允許或拒絕在某個時間點範圍之前的請求。

以下樣本用於限制使用者在北京時間2016年1月1日零點之前可以訪問Tablestore，之後將不能再訪問。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ots:*",
            "Resource": "acs:ots:*:*:*",
            "Condition": {
                "DateLessThan": {
                    "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                }
            }
        }
    ],
    "Version": "1"
}                    

情境一：多種授權條件

對於訪問IP地址為10.10.XX.XX/24網段的使用者，可以對所有名稱為online-01和online-02的執行個體執行讀或者寫操作（包括執行個體下的所有表），且要求只能在2016-01-01 00:00:00之前訪問和通過HTTPS訪問。

1. 使用阿里雲帳號登入存取控制Resource Access Management控制台（預設已開通存取控制服務）。

2. 建立權限原則。

   1. 在左側導覽列，選擇許可權管理 > 權限原則。

   2. 在權限原則頁面，單擊建立權限原則。

   3. 在建立權限原則頁面，單擊指令碼編輯頁簽，並將如下內容填寫到策略內容中。

      {
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ots:*",
              "Resource": [
                  "acs:ots:*:*:instance/online-01",
                  "acs:ots:*:*:instance/online-01/table*",
                  "acs:ots:*:*:instance/online-02",
                  "acs:ots:*:*:instance/online-02/table*"
              ],
              "Condition": {
                  "IpAddress": {
                      "acs:SourceIp": [
                          "10.10.XX.XX/24"
                      ]
                  },
                  "DateLessThan": {
                      "acs:CurrentTime": "2016-01-01T00:00:00+08:00"
                  },
                  "Bool": {
                      "acs:SecureTransport": "true"
                  }
              }
          }
      ],
      "Version": "1"
      }                            

   4. 單擊繼續編輯基本資料，輸入策略名稱稱和備忘。

   5. 單擊確定。

3. 為RAM使用者授予權限原則。

   1. 在左側導覽列，選擇身份管理 > 使用者。

   2. 在使用者頁面，找到需要授權的RAM使用者，單擊使用者操作列的添加許可權。

   3. 在新增授權面板，選擇許可權為自訂策略後，搜尋已建立的策略名稱稱，並選中該策略前的複選框將策略添加到已選擇授權策略欄。

   4. 單擊確認新增授權。

   5. 單擊關閉。

情境二：拒絕請求

對於訪問IP地址為10.10.XX.XX的使用者，拒絕對華北2（北京）地區名稱以online和product開頭的執行個體下的所有表執行寫操作（不包括對執行個體的操作）。

1. 使用阿里雲帳號登入存取控制Resource Access Management控制台（預設已開通存取控制服務）。

2. 建立權限原則。

   1. 在左側導覽列，選擇許可權管理 > 權限原則。

   2. 在權限原則頁面，單擊建立權限原則。

   3. 在建立權限原則頁面，單擊指令碼編輯頁簽，並將如下內容填寫到策略內容中。

      {
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "ots:Create*",
                      "ots:Insert*",
                      "ots:Put*",
                      "ots:Update*",
                      "ots:Delete*",
                      "ots:BatchWrite*"
                  ],
                  "Resource": [
                      "acs:ots:cn-beijing:*:instance/online*/table*",
                      "acs:ots:cn-beijing:*:instance/product*/table*"
                  ],
                  "Condition": {
                      "IpAddress": {
                          "acs:SourceIp": [
                              "10.10.XX.XX"
                          ]
                      }
                  }
              }
          ],
          "Version": "1"
      }                 

   4. 單擊繼續編輯基本資料，輸入策略名稱稱和備忘。

   5. 單擊確定。

3. 為RAM使用者授予權限原則。

   1. 在左側導覽列，選擇身份管理 > 使用者。

   2. 在使用者頁面，找到需要授權的RAM使用者，單擊使用者操作列的添加許可權。

   3. 在新增授權面板，選擇許可權為自訂策略後，搜尋已建立的策略名稱稱，並選中該策略前的複選框將策略添加到已選擇授權策略欄。

   4. 單擊確認新增授權。

   5. 單擊關閉。