NAT 网关 访问管理

一、CAM 中可对公网 NAT 网关进行授权的资源

资源类型	授权策略中的资源描述方法
NAT 网关实例	qcs::vpc:{region_short_name}:uin/{Uin}:nat/{NatGatewayId}
NAT 网关接口	qcs::vpc:{region_short_name}:uin/{Uin}:nat/*

其中：

·所有{region_short_name}应为某个 region 的 ID，可以为空。

·所有{Uin}应为资源拥有者的 AccountId，或者“*”。

·所有{NatGatewayId}应为某个 NAT 实例的 ID，或者“*”。

以此类推。

二、CAM 中可对公网 NAT 网关进行授权的接口

在 CAM 中，可以对一个 NAT 资源进行以下 Action 的授权。

API 操作	资源描述	接口说明
AssociateDirectConnectGatewayNatGateway	专线网关绑定 NAT 网关	qcs::vpc:$region:$account:nat/$natgatewayidqcs::vpc:$region:$account:dcg/$directconnectgatewayid
AssociateNatGatewayAddress	NAT 网关绑定弹性 IP	qcs::vpc:$region:$account:nat/$natgatewayid
CreateNatGateway	创建 NAT 网关	qcs::vpc:$region:$account:nat/qcs::vpc:$region:$account:vpc/
CreateNatGatewayDestinationIpPortTranslationNatRule	创建 NAT 网关端口转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
CreateNatGatewaySourceIpTranslationNatRule	创建 NAT 网关 SNAT 规则	qcs::vpc:$region:$account:nat/$natgatewayid
DeleteNatGateway	删除 NAT 网关	qcs::vpc:$region:$account:nat/qcs::vpc:$region:$account:vpc/
DeleteNatGatewayDestinationIpPortTranslationNatRule	删除 NAT 网关端口转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
DeleteNatGatewaySourceIpTranslationNatRule	删除 NAT 网关的 SNAT 转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
DescribeNatGatewayDestinationIpPortTranslationNatRules	查询 NAT 网关端口转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
DescribeNatGatewayDirectConnectGatewayRoute	查询专线绑定 NAT 路由	qcs::vpc:$region:$account:nat/$natgatewayid
DescribeNatGateways	查询 NAT 网关	qcs::vpc:$region:$account:nat/*
DescribeNatGatewaySourceIpTranslationNatRules	查询 NAT 网关 SNAT 转发规则	qcs::vpc:$region:$account:nat/*
DisassociateDirectConnectGatewayNatGateway	专线网关解绑 NAT 网关	qcs::vpc:$region:$account:nat/$natgatewayidqcs::vpc:$region:$account:dcg/$directconnectgatewayid
DisassociateNatGatewayAddress	NAT 网关解绑弹性 IP	qcs::vpc:$region:$account:nat/$natgatewayid
ModifyNatGatewayAttribute	修改 NAT 网关的属性	qcs::vpc:$region:$account:nat/$natgatewayid
ModifyNatGatewayDestinationIpPortTranslationNatRule	修改 NAT 网关端口转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
ModifyNatGatewaySourceIpTranslationNatRule	修改 NAT 网关 SNAT 转发规则	qcs::vpc:$region:$account:nat/$natgatewayid
ResetNatGatewayConnection	调整 NAT 网关并发连接上限	qcs::vpc:$region:$account:nat/$natgatewayid

三、所有 NAT 的全读写策略

参见通过策略语法创建自定义策略，授权一个子账号 NAT 服务的完全管理权限，包括创建、管理等全部操作。

{ "statement": [ { "action": [ "name/vpc:*" ], "effect": "allow", "resource": [ "qcs::vpc::uin/{Uin}:nat/*" ] } ], "version": "2.0"}

四、只读策略

参见通过策略语法创建自定义策略，授权一个子账号只读访问 NAT 的权限。

{ "statement": [ { "action": [ "name/vpc:Describe*" ], "effect": "allow", "resource": [ "qcs::vpc::uin/{Uin}:nat/*" ] } ], "version": "2.0"}

五、某个标签下 NAT 的全读写策略

参见通过策略语法创建自定义策略，授权一个子账号对某个标签（标签键为 tagkey，标签值为 tagvalue）下的 NAT 服务的完全管理权限。

{"version":"2.0","statement":[{"effect":"allow","action":"*","resource":"*","condition":{"for_any_value:string_equal":{"qcs:tag":["tagkey&tagvalue"]}}}]}