tencent cloud

PrevNext

文档反馈

请输入关键字

Recent Pages

文档
访问管理
    文档
    Download PDF

    评估逻辑

    最后更新时间：2024-12-16 17:25:30
    下载PDF
    腾讯云用户访问云资源时， CAM 通过以下评估逻辑决定允许或拒绝。
    
    
    1. 默认情况下，所有请求都将被拒绝。
    2. CAM 会检查当前用户关联的所有策略。
    2.1 判断是否匹配策略，是则进行下一步判断；否则最终判断为 deny ，不允许访问云资源。
    2.2 判断是否有匹配 deny 策略，是则最终判定为 deny ，不允许访问云资源；否则进行下一步判断。
    2.3 判断是否有匹配 allow 策略，是则最终判断为 allow ，允许访问云资源；否则最终判定为 deny，不允许访问云资源。
    注意：
    对于主账号，默认拥有其名下所有资源的访问权限；且目前仅 COS/CAS 产品支持跨账号的资源访问。
    有些通用策略，会默认关联所有 CAM 用户。具体请见下文的 通用策略表。
    其他策略都必须显式指定，包括 allow 和 deny 策略。
    对于支持跨账号资源访问的业务，存在权限传递的场景，即主账号 A 授权主账号 B 下的某个子账号对其资源的访问权限。这个时候 CAM 会同时校验 A 是否授权给 B 该权限以及 B 是否授权给子帐号该权限，两者同时满足的前提下， B 的子账号才有权访问 A 的资源。
    
    目前支持的
    通用策略表如下：
    策略说明
    策略定义
    查询密钥需要 MFA 验证
    {
    "principal":"",
    "action":"account:QueryKeyBySecretId",
    "resource":"",
    "condition":{"string_equal":{"mfa":"0"}}
    }
    设置敏感操作需要 MFA 验证
    {
    "principal":"",
    "action":"account:SetSafeAuthFlag",
    "resource":"",
    "condition":{"string_equal":{"mfa":"0"}}
    }
    绑定 token 需要 MFA 验证
    {
    "principal":"",
    "action":"account:BindToken",
    "resource":"",
    "condition":{"string_equal":{"mfa":"0"}}
    }
    解绑 token 需要 MFA 验证
    {
    "principal":"",
    "action":"account:UnbindToken",
    "resource":"",
    condition":{"string_equal":{"mfa":"0"}}
    }
    修改邮箱需要 MFA 验证
    {
    "principal":"",
    "action":"account:ModifyMail",
    "resource":"",
    "condition":{"string_equal":{"mfa":"0"}}
    }
    修改手机号需要 MFA 验证
    {
    "principal":"",
    "action":"account:ModifyPhoneNum",
    "resource":"",
    "condition":{"string_equal":{"mfa":"0"}}
    }
    
    联系我们

    联系我们，为您的业务提供专属服务。

    联系我们
    技术支持

    如果你想寻求进一步的帮助，通过工单与我们进行联络。我们提供7x24的工单服务。

    提交工单
    7x24 电话支持
    Copyright © 2013-2024 Tencent Cloud. All Rights Reserved.
    隐私条款服务条款缓存条款