华为云用户手册

端口（API V3） 权限 对应API接口 授权项(Action) IAM 项目(Project) 企业项目(Enterprise Project) 端口插入安全组 PUT /v3/{project_id}/ports/{port_id}/insert-security-groups vpc:ports:update √ × 端口移除安全组 PUT /v3/{project_id}/ports/{port_id}/remove-security-groups vpc:ports:update √ × 父主题： API V3的权限和授权项

流量镜像会话（API V3） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询流量镜像会话列表 GET /v3/{project_id}/vpc/traffic-mirror-sessions vpc:trafficMirrorSessions:list √ × 查询流量镜像会话详情 GET /v3/{project_id}/vpc/traffic-mirror-sessions/{traffic_mirror_session_id} vpc:trafficMirrorSessions:get √ × 创建流量镜像会话 POST /v3/{project_id}/vpc/traffic-mirror-sessions vpc:trafficMirrorSessions:create √ × 更新流量镜像会话 PUT /v3/{project_id}/vpc/traffic-mirror-sessions/{traffic_mirror_session_id} vpc:trafficMirrorSessions:update √ × 删除流量镜像会话 DELETE /v3/{project_id}/vpc/traffic-mirror-sessions/{traffic_mirror_session_id} vpc:trafficMirrorSessions:delete √ × 流量镜像会话移除镜像源 PUT /v3/{project_id}/vpc/traffic-mirror-sessions/{traffic_mirror_session_id}/remove-sources vpc:trafficMirrorSessions:removeSource √ × 流量镜像会话添加镜像源 PUT /v3/{project_id}/vpc/traffic-mirror-sessions/{traffic_mirror_session_id}/add-sources vpc:trafficMirrorSessions:addSource √ × 父主题： API V3的权限和授权项

请求示例 指定端口插入安全组，端口99fd0c77-56b4-4bf6-8365-df352e45d5fc已关联的安全组列表为["567be4e3-d171-46ce-9e8a-c15e91cfe86a", "4940b983-5992-4663-bed9-d1d1e15d1009"]，要将新安全组插入到第1个安全组567be4e3-d171-46ce-9e8a-c15e91cfe86a后面，此时新安全组插入的index为1。 PUT https://{Endpoint}/v3/f5dab68cd75740e68c599e9af5fe0aed/ports/99fd0c77-56b4-4bf6-8365-df352e45d5fc/insert-security-groups { "port" : { "security_groups" : [ "8edd3747-ccd4-49a1-82b9-a165eec314b4", "6c2d4540-3b7d-4207-a319-a7231b439995" ], "index" : 1 } }

响应示例 状态码：200 PUT操作正常返回，更多状态码请参见状态码。 { "port" : { "name" : "", "id" : "99fd0c77-56b4-4bf6-8365-df352e45d5fc", "admin_state_up" : true, "status" : "DOWN", "project_id" : "f5dab68cd75740e68c599e9af5fe0aed", "device_id" : "", "mac_address" : "fa:16:3e:1f:17:df", "device_owner" : "", "description" : "", "zone_id" : "", "scope" : "center", "position_type" : "center", "created_at" : "2023-05-10T01:35:02.000+00:00", "updated_at" : "2023-05-10T01:35:02.000+00:00", "port_security_enabled" : true, "tags" : [ ], "security_groups" : [ "567be4e3-d171-46ce-9e8a-c15e91cfe86a", "8edd3747-ccd4-49a1-82b9-a165eec314b4", "6c2d4540-3b7d-4207-a319-a7231b439995", "4940b983-5992-4663-bed9-d1d1e15d1009" ], "allowed_address_pairs" : [ ], "extra_dhcp_opts" : [ ], "instance_id" : "", "instance_type" : "", "ecs_flavor" : "", "enable_efi" : false, "virsubnet_id" : "3847b263-2370-45c0-8236-38a1de568049", "private_ips" : [ { "subnet_cidr_id" : "ffe98087-6d4f-45cd-988b-1c87f75d2d53", "ip_address" : "192.168.158.228" } ], "binding:host_id" : "", "binding:vif_type" : "unbound", "binding:vnic_type" : "normal", "binding:vif_details" : { }, "binding:profile" : { }, "binding:migration_info" : { } }, "request_id" : "458691c0-7db2-43d8-9400-053800c5ff53" }

请求参数 表2 请求Body参数 参数 是否必选 参数类型 描述 port 是 InsertSecurityGroupOption object 端口插入安全组请求体。 表3 InsertSecurityGroupOption 参数 是否必选 参数类型 描述 security_groups 是 Array of strings 功能说明：安全组的ID列表，例如："security_groups": ["a0608cbf-d047-4f54-8b28-cd7b59853fff"]。 index 否 Integer 安全组插入的位置，从0开始计数。 举例： 要插入到已关联安全组列表的首位，index=0； 要插入到已关联安全组列表的第n个安全组后面，index=n。 默认插入到端口已关联的安全组列表末尾。

网络ACL（Openstack Neutron API） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询所有网络ACL规则 GET /v2.0/fwaas/firewall_rules vpc:firewallRules:get √ × 查询特定网络ACL规则 GET /v2.0/fwaas/firewall_rules/{firewall_rule_id} vpc:firewallRules:get √ × 创建网络ACL规则 POST /v2.0/fwaas/firewall_rules vpc:firewallRules:create √ × 更新网络ACL规则 PUT /v2.0/fwaas/firewall_rules/{firewall_rule_id} vpc:firewallRules:update √ × 删除网络ACL规则 DELETE /v2.0/fwaas/firewall_rules/{firewall_rule_id} vpc:firewallRules:delete √ × 查询所有网络ACL策略 GET /v2.0/fwaas/firewall_policies vpc:firewallPolicies:get √ × 查询特定网络ACL策略 GET /v2.0/fwaas/firewall_policies/{firewall_policy_id} vpc:firewallPolicies:get √ × 创建网络ACL策略 POST /v2.0/fwaas/firewall_policies vpc:firewallPolicies:create √ × 更新网络ACL策略 PUT /v2.0/fwaas/firewall_policies/{firewall_policy_id} vpc:firewallPolicies:update √ × 删除网络ACL策略 DELETE /v2.0/fwaas/firewall_policies/{firewall_policy_id} vpc:firewallPolicies:delete √ × 插入网络ACL规则 PUT /v2.0/fwaas/firewall_policies/{firewall_policy_id}/insert_rule vpc:firewallPolicies:addRule vpc:firewallPolicies:get √ × 移除网络ACL规则 PUT /v2.0/fwaas/firewall_policies/{firewall_policy_id}/remove_rule vpc:firewallPolicies:removeRule vpc:firewallPolicies:get √ × 查询所有网络ACL组 GET /v2.0/fwaas/firewall_groups vpc:firewallGroups:get √ × 查询特定网络ACL组 GET /v2.0/fwaas/firewall_groups/{firewall_group_id} vpc:firewallGroups:get √ × 创建网络ACL组 POST /v2.0/fwaas/firewall_groups vpc:firewallGroups:create √ × 更新网络ACL组 PUT /v2.0/fwaas/firewall_groups/{firewall_group_id} vpc:firewallGroups:update √ × 删除网络ACL组 DELETE /v2.0/fwaas/firewall_groups/{firewall_group_id} vpc:firewallGroups:delete √ × 父主题： API OpenStack Neutron V2.0 原生的权限和授权项

路由表 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询路由表列表 GET /v1/{project_id}/routetables vpc:routeTables:list √ √ 查询路由表 GET /v1/{project_id}/routetables/{routetable_id} vpc:routeTables:get √ √ 创建路由表 POST /v1/{project_id}/routetables vpc:routeTables:create √ √ 更新路由表 PUT /v1/{project_id}/routetables/{routetable_id} vpc:routeTables:update √ √ 关联路由表与子网 POST /v1/{project_id}/routetables/{routetable_id}/action vpc:routeTables:associate √ √ 解关联路由表与子网 POST /v1/{project_id}/routetables/{routetable_id}/action vpc:routeTables:associate √ √ 删除路由表 DELETE /v1/{project_id}/routetables/{routetable_id} vpc:routeTables:delete √ √ 父主题： API V1/V2的权限和授权项

响应参数 状态码：204 请求正常返回 状态码：400 表2 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码：401 表3 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码：403 表4 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码：404 表5 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码：500 表6 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。

URI DELETE /v3/{project_id}/firewalls/{firewall_id}/tags/{tag_key} 表1 路径参数 参数 是否必选 参数类型 描述 firewall_id 是 String 功能说明：ACL唯一标识 取值范围：合法UUID 约束：ID对应的ACL必须存在 project_id 是 String 项目ID tag_key 是 String 功能说明：标签键

网络ACL标签（API V3） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询ACL资源实例数量 POST /v3/{project_id}/firewalls/resource-instances/count vpc:firewallTags:get √ × 查询ACL资源实例列表 POST /v3/{project_id}/firewalls/resource-instances/filter vpc:firewallTags:get √ × 添加ACL资源标签 POST /v3/{project_id}/firewalls/{firewall_id}/tags vpc:firewallTags:create √ × 删除ACL资源标签 DELETE /v3/{project_id}/firewalls/{firewall_id}/tags/{tag_key} vpc:firewallTags:delete √ × 查询ACL资源标签 GET /v3/{project_id}/firewalls/{firewall_id}/tags vpc:firewallTags:get √ × 批量添加ACL资源标签 POST /v3/{project_id}/firewalls/{firewall_id}/tags/create vpc:firewallTags:create √ × 批量删除ACL资源标签 POST /v3/{project_id}/firewalls/{firewall_id}/tags/delete vpc:firewallTags:delete √ × 查询ACL项目标签 GET /v3/{project_id}/firewalls/tags vpc:firewallTags:get √ × 父主题： API V3的权限和授权项

子网 权限 对应API接口 授权项(Action) IAM项目 (Project) 企业项目 (Enterprise Project) 创建子网 POST /v1/{project_id}/subnets vpc:subnets:create √ √ 查询子网 GET /v1/{project_id}/subnets/{subnet_id} vpc:subnets:get √ √ 查询子网列表 GET /v1/{project_id}/subnets vpc:subnets:get √ √ 更新子网 PUT /v1/{project_id}/vpcs/{vpc_id}/subnets/{subnet_id} vpc:subnets:update √ √ 删除子网 DELETE /v1/{project_id}/vpcs/{vpc_id}/subnets/{subnet_id} vpc:subnets:delete √ √ 父主题： API V1/V2的权限和授权项

私有IP 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 申请私有IP POST /v1/{project_id}/privateips vpc:privateIps:create √ × 查询私有IP GET /v1/{project_id}/privateips/{privateip_id} vpc:privateIps:get √ × 查询私有IP列表 GET /v1/{project_id}/subnets/{subnet_id}/privateips vpc:privateIps:list √ × 删除私有IP DELETE /v1/{project_id}/privateips/{privateip_id} vpc:privateIps:delete √ × 父主题： API V1/V2的权限和授权项

端口（Openstack Neutron API） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 查询端口列表 GET /v2.0/ports vpc:ports:get √ × 查询端口 GET /v2.0/ports/{port_id} vpc:ports:get √ × 创建端口 POST /v2.0/ports vpc:ports:create √ × 更新端口 PUT /v2.0/ports/{port_id} vpc:ports:update √ × 删除端口 DELETE /v2.0/ports/{port_id} vpc:ports:delete √ × 父主题： API OpenStack Neutron V2.0 原生的权限和授权项

流量镜像筛选条件（API V3） 权限 对应API接口 授权项(Action) IAM项目(Project) 企业项目(Enterprise Project) 创建流量镜像筛选条件 POST /v3/{project_id}/vpc/traffic-mirror-filters vpc:trafficMirrorFilters:create √ × 查询流量镜像筛选条件列表 GET /v3/{project_id}/vpc/traffic-mirror-filters vpc:trafficMirrorFilters:list √ × 查询流量镜像筛选条件详情 GET /v3/{project_id}/vpc/traffic-mirror-filters/{traffic_mirror_filter_id} vpc:trafficMirrorFilters:get √ × 更新流量镜像筛选条件 PUT /v3/{project_id}/vpc/traffic-mirror-filters/{traffic_mirror_filter_id} vpc:trafficMirrorFilters:update √ × 删除流量镜像筛选条件 DELETE /v3/{project_id}/vpc/traffic-mirror-filters/{traffic_mirror_filter_id} vpc:trafficMirrorFilters:delete √ × 父主题： API V3的权限和授权项

响应示例 状态码：201 POST操作正常返回，更多状态码请参见状态码。 { "virsubnet_cidr_reservation": { "id": "ed4edb94-754c-7848-bb77-2d381906c535", "virsubnet_id": "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "vpc_id": "cef5d621-6c20-d5df-74e8-746271fba734", "ip_version": 4, "cidr": "192.168.21.96/28", "name": "test", "description": "for test", "project_id": "11e8dd119c77479db890e266e68c1ecf", "created_at": "2024-09-09T11:56:27Z", "updated_at": "2024-09-09T11:56:27Z", }, "request_id": "fd48620df5f57b04917f2cc5ebeaf277" }

请求示例 创建子网预留网段，所属虚拟子网ID为fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19，IPv4版本，指定预留网段cidr为192.168.21.96/28，指定名称为test，描述为for test。 POST https://{Endpoint}/v3/{project_id}/vpc/virsubnet-cidr-reservations { "virsubnet_cidr_reservation" : { "virsubnet_id" : "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "ip_version" : 4, "cidr" : "192.168.21.96/28", "name" : "test", "description" : "for test" } }

URI GET /v3/{project_id}/vpc/virsubnet-cidr-reservations/{virsubnet_cidr_reservation_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 virsubnet_cidr_reservation_id 是 String 子网预留网段资源ID。

响应示例 状态码：200 GET操作正常返回，更多状态码请参见状态码。 { "virsubnet_cidr_reservations" : { "id" : "987d7959-9c48-ad49-2fdd-bf4146d6ebc4", "virsubnet_id" : "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "vpc_id" : "cef5d621-6c20-d5df-74e8-746271fba734", "ip_version" : 4, "cidr" : "192.168.21.96/28", "name" : "test", "description" : "for test", "project_id" : "11e8dd119c77479db890e266e68c1ecf", "created_at" : "2024-09-09T10:20:35Z", "updated_at" : "2024-09-09T10:20:35Z" }, "request_id" : "96579891a62195d2c54054ac43fab0aa" }

响应示例 状态码：200 GET操作正常返回，更多状态码请参见状态码。 { "virsubnet_cidr_reservations": [ { "id": "987d7959-9c48-ad49-2fdd-bf4146d6ebc4", "virsubnet_id": "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "vpc_id": "cef5d621-6c20-d5df-74e8-746271fba734", "ip_version": 4, "cidr": "192.168.21.96/28", "name": "test", "description": "for test", "project_id": "11e8dd119c77479db890e266e68c1ecf", "created_at": "2024-09-09T10:20:35Z", "updated_at": "2024-09-09T10:20:35Z", }, { "id": "ed4edb94-754c-7848-bb77-2d381906c535", "virsubnet_id": "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "vpc_id": "cef5d621-6c20-d5df-74e8-746271fba734", "ip_version": 4, "cidr": "192.168.21.128/27", "name": "test2", "description": "for test", "project_id": "11e8dd119c77479db890e266e68c1ecf", "created_at": "2024-09-09T11:56:27Z", "updated_at": "2024-09-09T11:56:27Z", } ], "page_info": { "previous_marker": "987d7959-9c48-ad49-2fdd-bf4146d6ebc4", "current_count": 2 }, "request_id": "5cd6bbc22313ccb6933540d6f9302d81" }

URI GET /v3/{project_id}/vpc/virsubnet-cidr-reservations 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 功能说明：每页返回的个数。 取值范围：0-2000。 marker 否 String 分页查询起始的资源ID，为空时查询第一页。 id 否 Array of strings 功能说明：子网预留网段资源ID。可以使用该字段过滤子网预留网段，支持多个ID。 virsubnet_id 否 Array of strings 功能说明：子网预留网段所在的虚拟子网ID。可以使用该字段过滤子网预留网段，支持多个ID。 cidr 否 Array of strings 功能说明：子网预留网段CIDR。可以使用该字段过滤子网预留网段，支持多个CIDR。 ip_version 否 Array of integers 功能说明：子网预留网段所在子网的IP版本，可以使用该字段过滤子网预留网段。 取值范围: 4,6。 name 否 Array of strings 功能说明：子网预留网段名称。可以使用该字段过滤满足条件的子网预留网段，支持传入多个名称过滤。 description 否 Array of strings 功能说明：子网预留网段描述。可以使用该字段过滤子网预留网段，支持传入多个描述进行过滤。 enterprise_project_id 否 String 功能说明：企业项目ID。可以使用该字段过滤某个企业项目下的子网预留网段。 取值范围：最大长度36字节，带“-”连字符的UUID格式，或者是字符串“0”。“0”表示默认企业项目。 约束：若需要查询当前用户所有有权限查看企业项目绑定的子网预留网段，请传参all_granted_eps。

URI DELETE /v3/{project_id}/vpc/virsubnet-cidr-reservations/{virsubnet_cidr_reservation_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 virsubnet_cidr_reservation_id 是 String 子网预留网段资源ID。

URI PUT /v3/{project_id}/vpc/virsubnet-cidr-reservations/{virsubnet_cidr_reservation_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 virsubnet_cidr_reservation_id 是 String 子网预留网段资源ID。

请求示例 更新id为ed4edb94-754c-7848-bb77-2d381906c535的子网预留网段，名称更新为name-test-updated，描述更新为description-test-updated。 PUT https://{Endpoint}/v3/{project_id}/vpc/virsubnet-cidr-reservations/ed4edb94-754c-7848-bb77-2d381906c535 { "virsubnet_cidr_reservation" : { "name" : "name-test-updated", "description" : "description-test-updated" } }

响应示例 状态码：200 PUT操作正常返回，更多状态码请参见状态码。 { "virsubnet_cidr_reservation" : { "id" : "ed4edb94-754c-7848-bb77-2d381906c535", "virsubnet_id" : "fb0e2bd6-190f-0d1a-7728-a5f6b1d8dd19", "vpc_id" : "cef5d621-6c20-d5df-74e8-746271fba734", "ip_version" : 4, "cidr" : "192.168.21.96/28", "name" : "name-test-updated", "description" : "description-test-updated", "project_id" : "11e8dd119c77479db890e266e68c1ecf", "created_at" : "2024-09-09T11:56:27Z", "updated_at" : "2024-09-09T12:00:06Z" }, "request_id" : "5e8c57bcfa0bd4798915cb5d7a37c1d9" }

为什么云服务资源发生了变化，“资源清单”中相应资源未发生变化？ 资源数据同步到Config存在延迟。 对于已开启资源记录器且在监控范围内的资源，Config会在24小时内校正资源数据。如您未开启资源记录器，或相关资源不在资源记录器配置的监控范围内，则Config不会校正这些资源的数据。 另外，并非已对接Config的云服务资源发生的所有变化都会被Config收集，这取决于各对接服务向Config上报的资源属性，例如IAM用户的SK（SecretAccessKey ）属性未上报Config，那么SK字段的变化Config不会感知。

为什么某些云服务的资源存在标签，但无法在Config中使用该资源的标签进行相关的业务操作，例如在“资源清单”中无法通过标签搜索到相应资源？ 部分云服务资源的标签信息暂未上传至Config服务，“资源清单”页面无法获取相关的标签信息则会认为该资源无标签，因此无法通过标签搜索到相应资源。 另外，Config服务的高阶能力基于“资源清单”收集到的数据来进行分析，部分云服务资源的标签信息未上传至Config，还会导致相关资源涉及标签场景的资源合规评估结果可能出现误差。 Config服务将跟踪并持续推动相关云服务资源同步的完整性。

如何获取各对接云服务上报Config的资源属性？ 获取各对接云服务上报Config的资源属性有如下两种方式： 通过Config管理控制台的高级查询功能，进入查询编辑器即可在界面左侧获取，如下步骤仅为进入查询编辑器的其中一种方式。 登录管理控制台。 单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”。 在左侧的导航栏中，选择“高级查询”。 在“预设查询”列表中单击任一查询操作列的“使用查询”。 图1 使用查询 进入查询编辑器，界面左侧显示各对接云服务资源类型的详细属性，并支持输入资源类型名称进行搜索。 图2 查看资源类型详细属性 通过“列举高级查询Schema”接口获取，其中type字段为资源类型，schema字段为此资源类型上报Config的资源属性。

为什么开启并配置资源记录器后，将数据转储至当前账号或其他账号的OBS桶时报错？ 如果界面出现“Failed to write the ConfigWritabilityCheckFile file to the OBS bucket because the OBS bucket or the IAM agency is invalid.”报错，则需要确认如下场景： 资源记录器使用的IAM委托权限中，需要具有OBS服务的“obs:object:PutObject”权限； 将数据存储至当前账号的OBS桶时，桶策略不能显式Deny掉来自IAM委托的PutObject操作（Action）；如果是跨账号存储场景，桶策略需要显式Allow来自IAM委托的PutObject操作（Action），具体请参见跨账号授权，关于桶策略的权限判断逻辑请参见桶策略参数说明； 用于存储的OBS桶是否开启服务端加密。如果已开启服务端加密，则还需要配置KMS的权限，具体请参见资源变更消息和资源快照转储至OBS加密桶。

组织合规规则和组织合规包创建完成后，为什么会在部分组织成员账号中部署异常，且提示“tracker-config needs to be enabled”？ 是因为这些组织成员账号未开启资源记录器导致的部署异常。 Config服务的相关功能均依赖于资源记录器收集的资源数据，因此账号必须开启资源记录器才可正常使用合规规则和合规规则包功能。 在组织合规规则和组织合规规则包场景下，除下发规则和合规规则包的组织管理员或Config服务的委托管理员之外，所部署的组织成员账号也需要开启资源记录器，才能正常下发合规规则和合规规则包。

添加合规规则时，规则参数指的是什么？ 规则参数和合规策略是对应的，例如：您选择了“资源具有指定的标签”预设策略，则需要配置该预设策略对应的规则参数“key”和“value”的具体值。 预设策略的规则参数无法增删，但是您可以根据需要为其设置不同的参数值，将合规策略重用于不同的方案。 自定义策略的规则参数由您自行配置，您可以根据需要为自定义策略添加不同的规则参数，最多可添加10个。 图1 规则参数赋值