支持的授权项 策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下： 权限：允许或拒绝某项操作。 对应API接口：自定义策略实际调用的API接口。 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。 IAM 项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见IAM与企业管理的区别。

支持的授权项 策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下： 权限：允许或拒绝某项操作。 对应API接口：自定义策略实际调用的API接口。 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。 IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。 “√”表示支持，“x”表示暂不支持。 云证书管理服务 （CCM）支持的自定义策略授权项如下所示： SSL证书管理 私有证书管理

镜像管理 权限 对应的API接口 授权项（Action） 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 实例授权 标签授权 创建镜像（OpenStack原生）（废弃） POST /v2.1/{project_id}/servers/{server_id}/action ecs:servers:createImage ecs:servers:list evs:volumes:get evs:snapshots:create ims:images:create ims:images:get ims:images:list ims:images:update ims:images:delete ims:quotas:get √ × × × 父主题： 权限和授权项

浮动IP管理 权限 对应的API接口 授权项（Action） 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 实例授权 标签授权 创建浮动IP（OpenStack原生） POST /v2.1/{project_id}/os-floating-ips ecs:serverFloatingIps:use vpc:floatingIps:get vpc:floatingIps:create vpc:floatingIps:update vpc:ports:get √ × × × 查询浮动IP列表（OpenStack原生） GET /v2.1/{project_id}/os-floating-ips ecs:serverFloatingIps:use vpc:floatingIps:get vpc:ports:get √ × × × 查询浮动IP（OpenStack原生） GET /v2.1/{project_id}/os-floating-ips/{floating_ip_id} ecs:serverFloatingIps:use vpc:floatingIps:get vpc:ports:get √ × × × 删除浮动IP（OpenStack原生） DELETE /v2.1/{project_id}/os-floating-ips/{floating_ip_id} ecs:serverFloatingIps:use vpc:floatingIps:get vpc:floatingIps:delete vpc:floatingIps:update vpc:ports:get √ × × × 父主题： 权限和授权项

授权项说明 在BMS服务中，OpenStack原生API授权项和授权项作用域与弹性云服务器的一致，具体请参考《弹性云服务器API参考》“API授权项列表”章节。 在IAM中自定义BMS的用户策略时，需要给BMS的用户策略中加入ecs:*:get和ecs:*:list两个权限，否则可能会因为权限不足导致部分云服务页面使用异常。 高速网络和自定义网络当前不支持企业项目，请用主账号使用这两个功能。 企业项目的子账号需要在IAM中给子账号授予vpc:ports:get权限，否则在裸金属服务器详情中弹性公网IP和安全组会显示异常。

支持的授权项 策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下： 权限：允许或拒绝某项操作。 对应API接口：自定义策略实际调用的API接口。 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。 IAM项目（Project）/企业项目（Enterprise Project）：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。 “√”表示支持，“x”表示暂不支持。 BMS服务支持的自定义策略授权项如下所示： 生命周期管理：包含裸金属服务器所有生命周期接口对应的授权项，例如：创建裸金属服务器、查询裸金属服务器详情等接口。 状态管理：包含裸金属服务器状态管理接口对应的授权项，例如：批量关闭、批量重启、批量启动裸金属服务器等。 密码管理：包含裸金属服务器密码相关接口对应的授权项，例如：查询裸金属服务器是否支持重置密码、重置裸金属服务器密码等接口。 规格查询：包含裸金属服务器规格相关接口对应的授权项，例如：查询裸金属服务器规格详情和扩展信息列表接口。 网卡管理：包含裸金属服务器网卡相关接口对应的授权项，例如：查询裸金属服务器网卡信息接口。 磁盘管理：包含裸金属服务器磁盘相关接口对应的授权项，例如：向指定裸金属服务器挂载磁盘、卸载指定裸金属服务器的磁盘等接口。 元数据管理：包含裸金属服务器元数据相关接口对应的授权项，例如：更新裸金属服务器元数据接口。 租户配额管理：包含租户配额相关接口对应的授权项，例如：查询租户配额接口。

Console引用 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 查询sfs turbo配额 Console引用 sfsturbo:shares:getQuota - √ √ 获取可用区信息 Console引用 sfsturbo:shares:getAZInfo - √ √ 获取sfs turbo规格信息 Console引用 sfsturbo:shares:getFlavors - √ √ 检查文件系统名称 Console引用 sfsturbo:shares:checkShareName - √ √

权限管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 加入AD域 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/active-directory-domain sfsturbo:shares:addActiveDirectoryDomain - √ √ 查询AD域配置 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/active-directory-domain sfsturbo:shares:showActiveDirectoryDomain - √ √ 修改AD域配置 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/active-directory-domain sfsturbo:shares:updateActiveDirectoryDomain - √ √ 退出AD域 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/active-directory-domain sfsturbo:shares:deleteActiveDirectoryDomain - √ √ 创建权限规则 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/perm-rules sfsturbo:shares:createPermRule - √ √ 查询文件系统的权限规则列表 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/perm-rules sfsturbo:shares:listPermRules - √ √ 查询文件系统的某一个权限规则 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/perm-rules/{rule_id} sfsturbo:shares:showPermRule - √ √ 修改权限规则 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/perm-rules/{rule_id} sfsturbo:shares:updatePermRule - √ √ 删除权限规则 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/perm-rules/{rule_id} sfsturbo:shares:deletePermRule - √ √ 创建并绑定LDAP配置 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/ldap sfsturbo:shares:createLdap - √ √ 查询LDAP的配置 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/ldap sfsturbo:shares:showLdap - √ √ 修改LDAP的配置 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/ldap sfsturbo:shares:updateLdap - √ √ 删除LDAP的配置 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/ldap sfsturbo:shares:deleteLdap - √ √

存储联动管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 绑定后端存储 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/targets sfsturbo:shares:createBackendTarget 用户需要额外配置OBS Adminstrator权限。 √ √ 查询后端存储列表 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/targets sfsturbo:shares:listBackendTargets - √ √ 获取后端存储详细信息 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/targets/{target_id} sfsturbo:shares:showBackendTargetInfo - √ √ 删除后端存储 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/targets/{target_id} sfsturbo:shares:deleteBackendTarget - √ √ 更新后端存储属性 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/targets/{target_id}/attributes sfsturbo:shares:updateObsTargetAttributes - √ √ 更新后端存储自动同步策略 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/targets/{target_id}/policy sfsturbo:shares:updateObsTargetPolicy - √ √ 创建数据导入导出任务 POST /v1/{project_id}/sfs-turbo/{share_id}/hpc-cache/task sfsturbo:shares:createDataRepositoryTask - √ √ 查询数据导入导出任务详情 GET /v1/{project_id}/sfs-turbo/{share_id}/hpc-cache/task/{task_id} sfsturbo:shares:getDataRepositoryTask - √ √ 查询数据导入导出任务列表 GET /v1/{project_id}/sfs-turbo/{share_id}/hpc-cache/tasks sfsturbo:shares:getAllDataRepositoryTasks - √ √ 删除数据导入导出任务 DELETE /v1/{project_id}/sfs-turbo/{share_id}/hpc-cache/task/{task_id} sfsturbo:shares:deleteDataRepositoryTask - √ √ 更新文件系统 PUT /v1/{project_id}/sfs-turbo/shares/{share_id} sfsturbo:shares:updateHpcShare - √ √

目录管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建目标文件夹配额 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir-quota sfsturbo:shares:createFsDirQuota - √ √ 更新目标文件夹配额 PUT /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir-quota sfsturbo:shares:updateFsDirQuota - √ √ 查询目标文件夹配额 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir-quota sfsturbo:shares:showFsDirQuota - √ √ 删除目标文件夹配额 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir-quota sfsturbo:shares:deleteFsDirQuota - √ √ 创建目录 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir sfsturbo:shares:createFsDir - √ √ 查询目录是否存在 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir sfsturbo:shares:showFsDir - √ √ 删除文件系统目录 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir sfsturbo:shares:deleteFsDir - √ √ 查询目录资源使用情况 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/dir-usage sfsturbo:shares:showFsDirQuota - √ √

连接管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 修改文件系统绑定的安全组 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/action sfsturbo:shares:shareAction 更改安全组需要安全组相关权限： vpc:securityGroups:* vpc:securityGroupRules:* √ √

共享标签 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建共享标签 POST /v1/{project_id}/sfs-turbo/{share_id}/tags sfsturbo:shares:addTag - √ √ 查询共享标签 GET /v1/{project_id}/sfs-turbo/{share_id}/tags sfsturbo:shares:getTag - √ √ 删除共享标签 DELETE /v1/{project_id}/sfs-turbo/{share_id}/tags/{key} sfsturbo:shares:deleteTag - √ √ 批量添加共享标签 POST /v1/{project_id}/sfs-turbo/{share_id}/tags/action sfsturbo:shares:batchResTag - √ √ 查询租户所有共享的标签 GET /v1/{project_id}/sfs-turbo/tags sfsturbo:shares:getAllTag - √ √ 通过标签查询文件系统列表 POST /v1/{project_id}/sfs-turbo/resource_instances/action sfsturbo:shares:getAllTag - √ √

文件系统管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建文件系统异步任务 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/{feature}/tasks sfsturbo:shares:createFsAsyncTask - √ √ 获取文件系统异步任务列表 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/{feature}/tasks sfsturbo:shares:listFsAsyncTasks - √ √ 获取文件系统异步任务详情 GET /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/{feature}/tasks/{task_id} sfsturbo:shares:showFsAsyncTask - √ √ 取消/删除文件系统异步任务 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id}/fs/{feature}/tasks/{task_id} sfsturbo:shares:deleteFsAsyncTask - √ √ 获取已挂载的客户端ip信息 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/action sfsturbo:shares:shareAction - √ √ 配置hpc缓存型后端信息 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/action sfsturbo:shares:shareAction - √ √

生命周期管理 权限 对应API接口 授权项 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建文件系统 POST /v1/{project_id}/sfs-turbo/shares sfsturbo:shares:createShare 创建SFS Turbo实例时，需要vpc相关权限，包括校验vpc、子网、安全组，创建vip以及port，创建安全组规则等，需要增加授权项： "vpc:*:*" 加密实例需要在项目上配置KMS Administrator权限 专属场景，需要增加授权项： "dss:*:get", "dss:*:list", "dss:*:count" √ √ 查询单个文件系统详细信息 GET /v1/{project_id}/sfs-turbo/shares/{share_id} sfsturbo:shares:getShare - √ √ 删除文件系统 DELETE /v1/{project_id}/sfs-turbo/shares/{share_id} sfsturbo:shares:deleteShare 删除SFS Turbo实例时，需要vpc相关权限，包括删除vip以及port，删除安全组规则等，需要增加授权项： "vpc:*:*" 如果是专属场景，需要增加授权项： "dss:*:get", "dss:*:list", "dss:*:count" √ √ 获取文件系统列表 GET /v1/{project_id}/sfs-turbo/shares/detail sfsturbo:shares:getAllShares - √ √ 扩容文件系统 POST /v1/{project_id}/sfs-turbo/shares/{share_id}/action sfsturbo:shares:shareAction - √ √

镜像管理 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 查询镜像列表 GET /v2/cloudimages ims:images:list - √ √ 说明： 查询共享镜像仅支持IAM项目，不支持企业项目。 查询镜像支持的OS列表 GET /v1/cloudimages/os_version ims:images:list - √ × 更新镜像信息 PATCH /v2/cloudimages/{image_id} ims:images:update ims:serverImages:create（仅企业项目迁移需要） ims:serverImages:create（仅企业项目迁移需要） obs:bucket:* obs:object:* kms:*:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* bms:servers:list bms:servers:get bms:serverFlavors:get √ √ 制作镜像 POST /v2/cloudimages/action 说明： 外部文件制作镜像前请确保用户已拥有 对象存储服务 的Tenant Administrator权限。 ims:serverImages:create obs:bucket:* obs:object:* kms:*:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* bms:servers:list bms:servers:get bms:serverFlavors:get √ √ 镜像文件快速导入 POST /v2/cloudimages/quickimport/action 说明： 使用镜像文件快速导入前请确保用户已拥有对象存储服务的Tenant Administrator权限。 ims:serverImages:create（仅快速导入系统盘镜像需要） ims:dataImages:create（仅快速导入数据盘镜像需要） ims:serverImages:create（仅快速导入系统盘镜像需要） obs:bucket:* obs:object:* kms:*:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* bms:servers:list bms:servers:get bms:serverFlavors:get ims:dataImages:create（仅快速导入数据盘镜像需要） obs:bucket:* obs:object:* kms:*:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* √ √ 使用外部镜像文件制作数据镜像 POST /v1/cloudimages/dataimages/action 说明： 使用外部镜像文件前请确保用户已拥有对象存储服务的Tenant Administrator权限。 ims:dataImages:create obs:bucket:* obs:object:* kms:*:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* √ √ 制作整机镜像 POST /v1/cloudimages/wholeimages/action 说明： 制作整机镜像前请确保用户已拥有云服务器备份服务的 CS BS Administrator权限，或者云备份服务的CBR Admin权限。 ims:wholeImages:create obs:bucket:* obs:object:* kms:*:* cbr:*:* CSBS:backup:* ecs:cloudServers:get ecs:servers:get ecs:serverVolumes:use ecs:cloudServers:list ecs:serverVolumeAttachments:list ecs:servers:list evs:volumes:* √ √ 注册镜像 PUT /v1/cloudimages/{image_id}/upload 说明： 注册镜像前请确保用户已拥有对象存储服务的Tenant Administrator权限。 必须配置default的企业项目权限，才能正常使用企业项目权限注册镜像。 ims:images:upload ims:images:get ims:images:update obs:bucket:* obs:object:* kms:*:* √ √ 导出镜像 POST /v1/cloudimages/{image_id}/file 说明： 导出镜像前请确保用户已拥有对象存储服务的Tenant Administrator权限。 ims:images:export obs:bucket:* obs:object:* kms:*:* √ √ 查询镜像列表（OpenStack原生） GET /v2/images ims:images:list - √ x 查询镜像详情（OpenStack原生） GET /v2/images/{image_id} ims:images:get - √ √ 更新镜像信息（OpenStack原生） PATCH /v2/images/{image_id} ims:images:update - √ √ 删除镜像（OpenStack原生） DELETE /v2/images/{image_id} ims:images:delete - √ √ 创建镜像元数据（OpenStack原生） POST /v2/images ims:images:create - √ x 上传镜像（OpenStack原生） PUT /v2/images/{image_id}/file ims:images:get ims:images:update ims:images:upload ims:images:upload obs:bucket:* obs:object:* kms:*:* √ x 查询版本(OpenStack原生） GET / 无 - √ x 查询镜像详情（OpenStack原生v1.1--已废弃，不推荐使用） GET /v1.1/images/detail ims:images:list - √ x 查询镜像元数据（OpenStack原生v1--已废弃，不推荐使用） HEAD /v1/images/{image_id} ims:images:get - √ x 删除镜像（OpenStack原生v1.1--已废弃，不推荐使用） DELETE /v1.1/images/{image_id} ims:images:delete - √ x 父主题： 权限和授权项