本文主要介绍日常业务场景中容器服务（VKE）相关的服务级别条件关键字（Service Level Condition Key）与自定义策略语法示例。

背景信息

如果火山引擎提供的系统预设策略不满足您的需求，您可通过创建自定义策略，遵循最小授权原则，管理 IAM 身份对火山引擎账号（主账号）下资源的访问。自定义策略中可配置服务级别条件关键字，进行更精细化的权限管控。

服务级别条件关键字是具体云服务的鉴权条件键，仅对云服务内部的部分接口资源生效，命名通常以${ServiceCode}:开头（例如vke:xxxxx），用来基于请求上下文信息进行精细的访问控制。更多信息，请参见条件（Condition）。

服务条件关键字

VKE 提供的服务条件关键字如下表所示。

条件关键字（Condition Key）	描述	数据格式
vke:ApiServerPublicAccessEnabled	是否开启 VKE 集群 API Server 的公网访问。取值如下： true：开启 false：关闭	Boolean
vke:ResourcePublicAccessDefaultEnabled	是否开启 VKE 节点、Pod 等的 NAT 公网访问。取值如下： true：开启 false：关闭	Boolean
vke:NodePoolPublicAccessEnabled	是否在 VKE 节点池中创建节点时，同时创建并绑定 EIP。取值如下： true：是，节点同时绑定 EIP false：否，不绑定 EIP	Boolean

自定义策略示例

下文主要展示 API Server 公网访问、NAT 公网访问、节点池公网 IP 相关的自定义策略示例。更多示例，请参见自定义策略示例。

示例一：拒绝为 API Server 开启公网访问

火山引擎账号或拥有相应权限的 IAM 用户/角色，按如下示例配置自定义策略，拒绝（"Effect": "Deny"）为集群的 API Server 开启公网访问（创建公网 IP）。详细操作，请参见新建自定义策略。

示例二：拒绝在创建集群时开启 NAT 公网访问

火山引擎账号或拥有相应权限的 IAM 用户/角色，按如下示例配置自定义策略，拒绝（"Effect": "Deny"）在创建集群时开启 NAT 公网访问。详细操作，请参见新建自定义策略。

示例三：拒绝配置节点池扩容节点时自动创建并绑定公网 IP

火山引擎账号或拥有相应权限的 IAM 用户/角色，按如下示例配置自定义策略，拒绝（"Effect": "Deny"）配置节点池扩容节点时自动创建并绑定公网 IP（EIP）。详细操作，请参见新建自定义策略。