tencent cloud

本文将介绍如何通过访问管理 CAM 策略使子账户可以查看和使用容器镜像服务 TCR 企业版相关资源，包括具体的操作步骤以及常用的策略配置示例。

注意：

如您在容器镜像服务控制台中使用部分功能时需要外部权限，例如私有网络、云审计、云标签等，请参见 支持 CAM 的产品 中对应产品的访问管理指南文档。

操作步骤

本文以“授权子账号只读某个镜像仓库”为例，介绍如何完成创建策略操作。

• 实例 ID：tcr-xxxxxxxx
• 命名空间：team-01
• 镜像仓库：repo-demo

常用策略配置

若需要自定义编辑策略 JSON，请参见 企业版接入 CAM 的 API 列表 以及 策略语法。

预设策略配置

• QcloudTCRFullAccess：容器镜像服务（TCR）全读写权限。
  子账号绑定该策略后，将具有 TCR 全部资源的全部操作权限，包含企业版及个人版。

  {
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:*"
        ],
        "resource": "*",
        "effect": "allow"
    }]
  }
  

• QcloudTCRReadOnlyAccess：TCR 只读权限。
  子账号绑定该策略后，将具有容器镜像服务全部资源的只读权限，包含企业版及个人版。

  {
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:Describe*",
            "tcr:PullRepository*"
        ],
        "resource": "*",
        "effect": "allow"
    }]
  }
  

典型场景策略配置

注意：

以下场景策略均只面向企业版使用场景。个人版场景策略请参见 个人版授权方案示例。

• 授予子账号 TCR 企业版内全部资源的全读写操作权限。

  {
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:*"
        ],
        "resource": [
            "qcs::tcr:::instance/*",
            "qcs::tcr:::repository/*"
        ],
        "effect": "allow"
    }]
  }
  

• 授予子账号 TCR 企业版内全部资源的只读操作权限。

  {
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:Describe*",
            "tcr:PullRepository*"
        ],
        "resource": [
            "qcs::tcr:::instance/*",
            "qcs::tcr:::repository/*"
        ],
        "effect": "allow"
    }]
  }
  

• 授权子账号管理指定实例。例如 dev-guangzhou，其实例 ID 为 tcr-xxxxxxxx。

  {
    "version": "2.0",
    "statement": [{
        "action": [
            "tcr:*"
        ],
        "resource": [
            "qcs::tcr:::instance/tcr-xxxxxxxx",
            "qcs::tcr:::repository/tcr-xxxxxxxx/*"
        ],
        "effect": "allow"
    }]
  }
  

• 授权子账号管理指定实例内的指定命名空间。例如实例 tcr-xxxxxxxx 下 team-01。

  {
    "version": "2.0",
    "statement": [{
            "action": [
                "tcr:*"
            ],
            "resource": [
                "qcs::tcr:::repository/tcr-xxxxxxxx/team-01",
                "qcs::tcr:::repository/tcr-xxxxxxxx/team-01/*"
            ],
            "effect": "allow"
        },
        {
            "action": [
                "tcr:DescribeInstance*"
            ],
            "resource": [
                "qcs::tcr:::instance/tcr-xxxxxxxx"
            ],
            "effect": "allow"
        }
    ]
  }
  

• 授权子账号只读某个镜像仓库，仅能拉取该仓库内镜像，无法删除仓库、修改仓库属性及推送镜像。例如实例 tcr-xxxxxxxx 下 team-01 命名空间内的 repo-demo。

  {
    "version": "2.0",
    "statement": [{
            "action": [
                "tcr:Describe*",
                "tcr:PullRepository"
            ],
            "resource": [
                "qcs::tcr:::instance/tcr-xxxxxxxx",
                "qcs::tcr:::repository/tcr-xxxxxxxx/team-01",
                "qcs::tcr:::repository/tcr-xxxxxxxx/team-01/repo-demo",
                "qcs::tcr:::repository/tcr-xxxxxxxx/team-01/repo-demo/*"
            ],
            "effect": "allow"
        }
    ]
  }