如果系统预设的镜像仓库策略，不能满足您对于权限管控需求，您可使用自定义策略。 ## 操作步骤 1. 登录 [访问控制 IAM 控制台](https://console.volcengine.com/iam)。 2. 在左侧导航栏，单击 **策略管理**。 3. 在 **策略管理** 页面，单击 **新建自定义策略** 。 4. 在 **新建自定义策略** 对话框创建策略，示例如下。 ```json { "Statement": [ { "Effect": "Allow", "Action": [ "cr:GetUser", "cr:SetUser", "cr:ListRegistries" ], "Resource": [ "*" ] } ] } ``` :::tip 编辑策略内容时需要遵循 IAM 的策略语法。详细信息，请参见 [策略语法](https://www.volcengine.com/docs/6257/65059)。 ::: 5. 单击 **提交**，完成创建。 6. 在创建成功页面，单击 **添加授权**。 7. 选择目标账号。本示例为 `cr-demo`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_3756175bb0eb293e1cb9a5aceffa48c8.png =700x) 8. 单击 **确定** 完成添加。 ## 鉴权示例以下为镜像仓库的各场景中鉴权规则的用法。 ### 场景一：推送镜像授予 IAM 用户某个实例下命名空间（例如：实例 instance\-a，命名空间 library）的推送镜像的权限。IAM 用户登录镜像仓库后可以推送该命名空间下所有镜像实例，可以通过 OpenAPI 查到该命名空间的信息以及该命名空间下所有镜像实例的相关信息。 ```Plain Text { "Statement": [ { "Effect": "Allow", "Action": [ "cr:List*", "cr:Get*", "cr:Pull*", "cr:Push*" ], "Resource": [ "trn:cr:*:*:instance/instance-a", "trn:cr:*:*:repository/instance-a/library", "trn:cr:*:*:repository/instance-a/library/*" ] } ] } ``` ### 场景二：拉取镜像授予 IAM 用户某个实例下命名空间（例如：实例 instance\-a，命名空间 library）的读权限。IAM 用户登录镜像仓库后可以拉取该命名空间下所有镜像实例，可以通过 OpenAPI 查到该命名空间的信息以及该命名空间下所有镜像实例的相关信息。 ```Plain Text { "Statement": [ { "Effect": "Allow", "Action": [ "cr:List*", "cr:Get*", "cr:Pull*" ], "Resource": [ "trn:cr:*:*:instance/instance-a", "trn:cr:*:*:repository/instance-a/library", "trn:cr:*:*:repository/instance-a/library/*" ] } ] } ```