一、可授权的资源类型
| 资源类型 | 授权策略中资源描述方法 |
| 所有的密钥资源 | qcs::kms:$region:uin/$uin:key/* |
| 账号 $creatorUin 创建的所有密钥资源 | qcs::kms:$region:uin/$uin:key/creatorUin/$creatorUin/* |
| 账号 $creatorUin 创建的 ID 为 $keyId 的密钥资源 | qcs::kms:$region:uin/$uin:key/creatorUin/$creatorUin/$keyId |
其中以$为前缀的单词均为代称：
·$uin 指代主账号 ID。
·$region 指代地域。
·$creatorUin 指代创建该资源的账号 ID。
·$keyId 指代密钥 ID。
二、支持资源级授权的 API 列表
密钥管理系统部分接口支持资源级授权，你可以指定子账号拥有特定资源的接口权限。
| API 接口 | 描述信息 |
| DescribeWhiteBoxKeyDetails | 获取白盒密钥列表 |
| EnableWhiteBoxKeys | 批量启用白盒密钥 |
| DeleteWhiteBoxKey | 删除白盒密钥 |
| DescribeWhiteBoxKey | 展示白盒密钥的信息 |
| EnableWhiteBoxKey | 启用白盒密钥 |
| EncryptByWhiteBox | 使用白盒密钥进行加密 |
| DescribeWhiteBoxDecryptKey | 获取白盒解密密钥 |
| DisableWhiteBoxKey | 禁用白盒密钥 |
| AsymmetricSm2Decrypt | 非对称密钥 SM2 解密 |
| AsymmetricRsaDecrypt | 非对称密钥 RSA 解密 |
| GetPublicKey | 获取非对称密钥的公钥 |
| EnableKey | 启动主密钥 |
| DisableKey | 禁用主密钥 |
| GetKeyRotationStatus | 查询密钥轮换状态 |
| ReEncrypt | 密文刷新 |
| DisableWhiteBoxKeys | 批量展示白盒密钥的信息 |
| UpdateKeyDescription | 修改主密钥描述信息 |
| UpdateAlias | 修改别名 |
| DisableKeyRotation | 禁止密钥轮换 |
| EnableKeyRotation | 开启密钥轮换 |
| EnableKeys | 批量启动主密钥 |
| DisableKeys | 批量禁用主密钥 |
| DescribeKey | 获取主密钥属性 |
| DescribeKeys | 获取多个主密钥属性 |
| CancelKeyDeletion | 取消 CMK 计划删除操作 |
| ScheduleKeyDeletion | CMK 计划删除接口 |
| DeleteImportedKeyMaterial | 删除导入的密钥材料 |
| ImportKeyMaterial | 导入密钥材料 |
| GetParametersForImport | 获取导入主密钥（CMK）材料的参数 |
| GenerateDataKey | 生成数据密钥 |
| Decrypt | 解密 |
| Encrypt | 加密 |
三、创建策略
1. 登录 访问管理 控制台。
2. 在左侧菜单中，选择策略 > 新建自定义策略 > 按策略语法创建，进入策略创建页面。
3. 选择策略模板，例如空白模板或 KMS 策略模板，单击下一步。
4. 输入策略名称和策略内容，策略内容可参见下方示例。
5. 单击创建策略，即可创建。