文档中心

镜像仓库

IAM 授权

添加自定义策略

如果系统预设的镜像仓库策略，不能满足您对于权限管控需求，您可使用自定义策略。

操作步骤

登录访问控制 IAM 控制台。

在左侧导航栏，单击策略管理。

在策略管理页面，单击新建自定义策略。

在新建自定义策略对话框创建策略，示例如下。

{
"Statement": [
{
"Effect": "Allow",
"Action": [
"cr:GetUser",
"cr:SetUser",
"cr:ListRegistries"
],
"Resource": [
"*"
]
}
]
}

说明

编辑策略内容时需要遵循 IAM 的策略语法。详细信息，请参见策略语法。

单击提交，完成创建。

在创建成功页面，单击添加授权。

选择目标账号。本示例为 cr-demo。

8. 单击确定完成添加。

鉴权示例

以下为镜像仓库的各场景中鉴权规则的用法。

场景一：推送镜像

授予 IAM 用户某个标准版实例下命名空间（例如：标准版实例 instance-a，命名空间 library）的推送镜像的权限。IAM 用户登录镜像仓库后可以推送该命名空间下所有镜像实例，可以通过 OpenAPI 查到该命名空间的信息以及该命名空间下所有镜像实例的相关信息。

{​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "cr:List*",​
        "cr:Get*",​
        "cr:Pull*",​
        "cr:Push*"​
      ],​
      "Resource": [​
        "trn:cr:*:*:instance/instance-a", ​
        "trn:cr:*:*:repository/instance-a/library", ​
        "trn:cr:*:*:repository/instance-a/library/*"​
      ]​
    }​
  ]​
}​
​

场景二：拉取镜像

授予 IAM 用户某个标准版实例下命名空间（例如：标准版实例 instance-a，命名空间 library）的读权限。IAM 用户登录镜像仓库后可以拉取该命名空间下所有镜像实例，可以通过 OpenAPI 查到该命名空间的信息以及该命名空间下所有镜像实例的相关信息。

{​
  "Statement": [​
    {​
      "Effect": "Allow",​
      "Action": [​
        "cr:List*",​
        "cr:Get*",​
        "cr:Pull*"​
      ],​
      "Resource": [​
        "trn:cr:*:*:instance/instance-a", ​
        "trn:cr:*:*:repository/instance-a/library", ​
        "trn:cr:*:*:repository/instance-a/library/*"​
      ]​
    }​
  ]​
}​
​

最近更新时间：2025.08.26 11:54:58

这个页面对您有帮助吗？

有用

无用