下面以CTIAM的自定义策略为例，说明策略的语法。

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ctiam:user:query",
                "ctiam:user:get",
                "ctiam:userGroup:get",
                "ctiam:policy:get",
                "ctiam:user:create"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "UserId": [
                        "12345678910"
                    ]
                }
            }
        }
    ]
}

策略结构

策略结构包括Version（策略版本号）和Statement（策略权限语句）两部分，其中Statement可以有多个，表示不同的授权项。

图 策略结构

策略参数

策略参数包含Version和Statement两部分，下面介绍策略参数详细说明。了解策略参数后，您可以根据场景自定义策略。

表 策略参数说明

参数

含义
值
Version
策略的版本。
1.1 ：代表目前策略的通用版本
Statement：策略的授权语句
Effect：作用
定义Action中的操作权限是否允许执行。
Allow：允许执行。
Deny：不允许执行。
说明
当同一个Action的Effect既有Allow又有Deny时，遵循Deny优先的原则。
Action：授权项
操作权限。
格式为“服务名:资源类型:操作”。授权项支持通配符号*，通配符号*表示所有。
支持在任意位置插入*，例如“ctiam:*:list*”代表匹配ctiam任意资源以list开头标识的权限，可以匹配“ctiam:permission:listGroupPolicy”这一权限。
Condition：条件
使策略生效的特定条件，包括条件键和运算符。
格式为“条件运算符:{条件键：[条件值1,条件值2]}”。
如果您设置多个条件，同时满足所有条件时，该策略才生效。
示例:
"StringEquals":{"UserId":["12345678910"]}：表示当用户调用时的用户ID等于"12345678910"时该条statement生效。
Resource：资源路径
策略所作用的资源。
格式为“ctrn:服务编码:region:accountId:资源描述”，region、accountId、资源描述都支持通配符号*，通配符号表示匹配所有。
示例：
•"*"：表示所有资源。
•"ctrn:msap:*:123456789:project/testProject"：表示对于任意资源池region下，account归属为123456789，该statement中的action只对指定的testProject生效。

• 条件键：条件键表示策略语句的Condition 元素中的键值，目前云服务支持条件键的情况详见下表。

表 云服务支持条件键情况

目前支持的条件键详见下表。

表 条件键

运算符

运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，策略才能生效，详见下表。

表 运算符