本文为您介绍IAM策略的类型及云连接器相关的策略，以帮助您快速了解IAM策略。IAM策略支持系统预设策略和自定义策略两种类型，您可直接使用系统预设策略为IAM身份授权，但系统预设策略有限若无法满足您的需求，您可通过自定义策略精准授权，灵活管控账号资源。 ## 系统预设策略 IAM平台已提前为您设置了关于云连接器的默认策略，您可为直接为IAM身份（IAM用户、用户组或角色）授权系统预设策略。**系统预设策略只能用于授权，不可编辑和修改**。 ### 云连接器系统预设策略 |系统预设策略名称 |描述 | |---|---| |CloudConnectFullAccess |被授权该策略后的IAM身份（IAM身份、用户组、角色）可获得权限范围内全部云连接器的管理权限。 | |CloudConnectReadOnlyAccess |被授权该策略后的IAM身份（IAM身份、用户组、角色）可获得权限范围内全部云连接器的查看权限。如果IAM身份只授予该权限，则只可查看云连接器资源，不可对云连接器资源进行任何操作，也不可查看其他未授权的产品。 | ### 云连接器控制台功能依赖的角色或策略 |控制台功能 |依赖云服务 |所需角色/策略 | |---|---|---| |跨服务访问授权 |访问控制 |用户首次使用云连接器服务时，需要授权云连接器访问相关云资源，此时系统同步创建服务关联角色 ServiceRoleForCloudConnector，允许云连接器服务扮演该角色以实现访问。若授权失败，请参考 [跨服务访问授权失败怎么办？](https://www.volcengine.com/docs/83812/1188054#IrrkkC68) | |查看云连接器监控数据 |云监控 |为IAM用户授予CloudConnectFullAccess权限后，还需要增加CloudMonitorReadOnlyAccess权限，才能查看云连接器资源的监控信息。 | ### 云连接器产品系统预设策略详情 #### CloudConnectFullAccess 策略详情 ```json { "Statement": [ { "Effect": "Allow", "Action": [ "cloudconnector:*CloudConnector*" ], "Resource": [ "*" ] } ] } ``` #### CloudConnectReadOnlyAccess 策略详情 ```json { "Statement": [ { "Effect": "Allow", "Action": [ "cloudconnector:Describe*" ], "Resource": [ "*" ] } ] } ``` #### ServiceRoleForCloudConnector 策略详情 ```json { "Statement": [ { "Effect": "Allow", "Action": [ "vpc:DescribeVpcs", //查看VPC实例列表 "vpc:DescribeVpcAttributes", //查看VPC实例详情 "vpc:DescribeSubnets", //查看子网列表 "vpc:DescribeSubnetAttributes", //查看子网详情 "vpc:DescribeSecurityGroups", //查看安全组列表 "vpc:DescribeEipAddresses",//查看公网IP列表 "vpc:CreateNetworkInterface", //创建网卡 "vpc:DeleteNetworkInterface",//删除网卡 "vpc:DescribeNetworkInterfaceAttributes", //查看网卡详情 "vpc:DescribeNetworkInterfaces", //查看网卡列表 "vpc:DescribeRouteTableList",//查看路由表列表 "vpc:CreateRouteEntry", //创建路由条目 "vpc:DeleteRouteEntry", //删除路由条目 "vpc:DescribeRouteEntryList", //查看路由条目列表 "directconnect:DescribeDirectConnectConnectionAttributes", //查看物理专线详情 "directconnect:CreateSharedDirectConnectConnection", //创建共享物理专线 "directconnect:DescribeSharedDirectConnectConnections",//查看共享物理专线详情 "directconnect:DeleteDirectConnectConnection", //删除物理专线 "directconnect:DescribeDirectConnectGateways", //查看专线网关列表 "directconnect:DescribeDirectConnectVirtualInterfaces", //查看虚拟接口列表 "directconnect:DescribeDirectConnectConnections",//查看物理专线列表 "directconnect:DescribeDirectConnectGatewayAttributes",//查看专线网关详情 "cen:GrantInstanceToCen", //添加CEN跨账号授权 "cen:RevokeInstanceFromCen",//删除CEN跨账号授权 "cen:DescribeInstanceGrantedRules", //查看CEN跨账号授权 "cen:DescribeCenAttributes"//查看CEN实例详情 ], "Resource": [ "*" ] } ] } ``` ### 自定义策略 |类型 |说明 |相关文档 | |---|---|---| |自定义策略类型 |自定义策略根据策略可绑定的主体不同分为基于身份的策略(Identity\-based policies)和基于资源的策略（Resource\-based policies）。 |* [基于身份的策略](https://www.volcengine.com/docs/6257/65059#%E5%9F%BA%E4%BA%8E%E8%BA%AB%E4%BB%BD%E7%9A%84%E7%AD%96%E7%95%A5)|\ | | |* [基于资源的策略](https://www.volcengine.com/docs/6257/65059#%E5%9F%BA%E4%BA%8E%E8%B5%84%E6%BA%90%E7%9A%84%E7%AD%96%E7%95%A5) | |自定义策略语法 |自定义策略语法通过策略元素定义策略的权限，自定义**基于身份的策略**和**基于资源的策略**时，策略元素有所区别。 |* [通用自定义策略语法示例](https://www.volcengine.com/docs/6257/1253728)|\ | | |* [云连接器自定义策略语法示例](https://www.volcengine.com/docs/83812/1604618) | |新建自定义策略 |火山引擎主账号或拥有访问控制管理权限的子用户进行授权时，系统预设策略无法满足需求，可通过自定义策略精细化定义权限。 |[新建自定义策略](https://www.volcengine.com/docs/6257/1158323) | ## 相关文档 [常见系统预设策略](https://www.volcengine.com/docs/6257/1253730)：文档中介绍了部分常用的系统预设策略，以帮助您更快速的了解、使用系统策略进行权限管控。