是什么
权限策略是描述“谁能对哪些资源做什么操作”的文档，三家的结构都遵循效果、操作、资源、条件四要素，但细节不同：语句块的字段大小写、版本字段的取值、资源标识的写法、通配符与拒绝语义的优先级。跨云搬运授权模板时不能逐字段直译，要先梳理业务意图再重写。
对照表
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 策略文档 | RAM 权限策略 | CAM 策略 | IAM 自定义策略 |
| 版本字段 | Version 取值 1 | version 取值 2.0 | 按 IAM 策略版本规范 |
| 语句块 | Statement 含效果、操作、资源 | statement 含效果、操作、资源 | Statement 含效果、操作、资源 |
| 拒绝优先级 | 显式拒绝优先于允许 | 显式拒绝优先于允许 | 显式拒绝优先于允许 |
| 资源写法 | 以云服务前缀的资源标识 | 以 qcs 开头的资源标识 | 按 IAM 资源语法描述 |
典型使用场景
- 最小权限落地：按角色给操作范围，避免长期使用主账号密钥
- 跨账号授权：用角色扮演代替共享密钥，让权限可审计可回收
- 临时提权：为排障或割接申请限时权限，事后再收敛
- 服务集成：给 CI 与运维工具分配专用角色，只允许访问所需资源
- 审计整改：根据访问日志反查策略是否过宽，逐步收紧
迁移与改写注意
| 语义优先 | 先写清谁对什么做什么，再落到具体字段 |
|---|---|
| 大小写 | 字段名大小写敏感，复制粘贴最容易在这里出错 |
| 条件键 | 条件键与取值各家不同，需逐项核对后再翻译 |
| 拒绝与允许 | 显式拒绝优先，叠加策略时要检查是否存在互相抵消 |
| 校验 | 改写后先用测试账号验证，再替换线上的角色授权 |
策略文件是严格的 JSON：不允许写注释、不允许多余逗号，控制台报语法错误时先看这两处，再看字段大小写是否符合该平台要求。
为了图快给角色授予范围过宽的权限（例如对所有资源的所有操作），一旦凭证泄露影响面不可控；宽权限只能作为临时手段，并设定回收时限。