Identity and Access Management（IAM）是基于身份的权限控制，系统包含了不同产品模块的 IAM 预设策略。云堡垒机的用户授权提供 IAM 授权，在多用户协同管理资源的场景下，IAM 子用户操作云堡垒机资源时，需要授予相应的权限和策略。

系统预设策略

系统预设策略统一由火山引擎创建，只能使用不能修改，策略的版本更新由火山引擎维护，云堡垒机提供 5 种系统预设策略。

用户自定义策略

自定义策略是由用户创建的更精细化描述资源管理的权限集合，可以灵活满足用户的差异化权限管理需求，用户可自主创建、更新和删除策略，以及维护策略的版本。自定义策略通过 JSON 格式的 PolicyDocument 表达，由一系列 Statement 组成，Statement 由 Effect、Action、Resource 组成，详细写作语法参见：策略语法。

以下是云堡垒机中普通用户权限的策略示例，具体自定义策略可按需配置。

{
    "Statement": [
        {
            "Action": [
                "vbh:*"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecs:DescribeZones"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "vpc:DescribeSecurityGroups",
                "vpc:DescribeSubnets",
                "vpc:DescribeVpcs",
                "vpc:InnerDescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "cloud_trail:LookupEvents"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}