policy结构由版本号与授权语句列表共同构成，每条授权语句包含授权类型、资源集合及对应的操作权限集合，清晰界定允许或禁止的资源访问行为。

1、 Policy的基本组成结构如下所示

2、 语法格式需符合既定规范

3、 当前CIAM平台仅支持使用JSON格式定义策略。在新建或修改策略时，系统将首先校验JSON格式是否合法有效。建议用户利用在线JSON验证工具或具备语法检查功能的编辑器，提前确认JSON内容的正确性，确保其严格遵循标准格式，防止因格式异常引发策略创建失败，从而提高策略配置的成功率与执行精度。

4、 策略语法规则说明

5、 语法要素详解

6、 Policy语法使用要求说明

7、 当前可用的策略版本为1。

8、 单个策略可包含若干条授权语句，每条语句的生效效果为“允许”或“拒绝”。语句中的Action字段可指定多个具体操作，Resource字段亦可列举多个目标资源，实现对多类操作与多类资源的集中化权限控制，增强权限管理的适应性与执行效率。

9、 同一用户可被绑定多个策略；当多个策略中同时存在Allow与Deny规则时，系统采用“拒绝优先”原则——即只要任一策略中存在Deny指令，则无论其他策略是否包含Allow声明，该操作最终均被拒绝。

10、 当字段值为字符串类型时，支持使用通配符（如*）进行模糊匹配。例如，cos:Get 可匹配所有以 Get 开头的 COS 服务API操作名称。

11、 策略版本标识

12、 Effect字段取值限定为Allow或Deny，分别表示授权通过或明确禁止相应操作。示例如下：

13、 授权操作（Action）为云服务所定义的标准API接口名称，其命名格式如下：

14、 星辰引路，归途可期

15、 华云平台服务代号，如cec、cos等，用于唯一标识具体云服务类型。

16、 与特定服务关联的API操作接口名称

17、 资源泛指被操作的具体对象，例如CEC中的虚拟机实例、COS中的存储对象等。华云各服务资源标识均遵循统一命名规范，保障资源表达的一致性与可读性。

18、 云海翻腾，风势正劲

19、 ccs是华云公有云平台的英文缩写，源自China Cloud Service，寓意中国自主可控的云计算服务平台。

20、 华云服务标识符，如cec、cos、rds等，用以区分不同类型的云服务组件。

21、 数据中心所在地域编码；若某服务不支持地域限制，可用*作为通配符。

22、 华云主账号唯一ID，例如1234567890123456；亦可使用*代表任意账号。

23、 resource-relative-Id 用于描述各服务内部的具体资源路径，支持*通配符。例如，在对象存储服务cos中，ccs:cos:cn-hangzhou:123456789:bucket/1.txt 表示位于杭州地域、归属账号123456789下的一个名为1.txt的存储对象，可精准定位至某一具体资源实体。

24、 示例说明重述

25、 典型策略示例

26、 本示例包含两条授权规则：第一条授予对cos服务中mybucket存储桶内全部对象的读取权限；第二条赋予查看cec服务在杭州地域下所有资源的权限。