> ## Documentation Index > Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt > Use this file to discover all available pages before exploring further. # Definir política del repositorio > Concede acceso externo a la cuenta; el principal `*` permite pulls públicos. La política se sustituye por completo. Cada declaración debe identificar al principal, usar acciones `registry:` y apuntar al CRN de este repositorio o `*`. Se rechazan `not_actions` y `not_resources`. El acceso entre cuentas también exige autorización de la política IAM del cliente; la política del recurso no amplía los permisos de la organización. Requiere la acción IAM **`registry:SetRepositoryPolicy`**. Consulte [REGISTRY permisos](/es/registry/permissions) para la lista completa, el alcance de cada acción y un ejemplo de política. ## OpenAPI ````yaml /es/api-reference/specs/registry.yaml put /v1/repositories/{repository_id}/policy openapi: 3.0.3 info: title: API Basaltic Registry version: 1.0.0 description: >- Registry de imágenes de contenedores. La API de administración usa `registry..basaltic.sh`; Docker y los clientes OCI usan `cr..basaltic.cloud`. Esta referencia describe `/v1`, autenticado mediante OAuth o sesión de la consola. `/v2` sigue la especificación OCI Distribution 1.1. `POST /v1/authorization-token` genera una contraseña para `docker login`, que la intercambia por tokens por repositorio en `/v2/token`. La contraseña dura 12 horas, pero las decisiones de autorización usan las políticas actuales y tokens de cinco minutos. Las referencias de imagen incluyen el identificador de la cuenta; use la `uri` devuelta por el servidor. Blobs y manifiestos son inmutables e identificados por SHA-256. Las etiquetas son punteros mutables, salvo con `tag_mutability: immutable`. Eliminar por digest borra manifiesto y etiquetas; eliminar por etiqueta conserva el manifiesto. Las capas se deduplican en toda la cuenta. `size_bytes` cuenta blobs distintos, y la recolección en segundo plano libera los que ninguna imagen sigue usando. Una política de recurso permite acceso entre cuentas o público. El acceso entre cuentas exige autorización tanto en el recurso como en el IAM del cliente. `kms_key` acepta UUID, nombre en la cuenta o CRN de una clave simétrica habilitada en la misma cuenta y región. Las referencias inválidas devuelven 400; las claves inexistentes devuelven 404. Las respuestas usan ResourceRef y conservan ID y CRN sin nombre cuando la clave se eliminó. contact: name: Basaltic Support email: ping@basaltic.sh license: name: Proprietary url: https://basaltic.sh/terms servers: - url: https://registry.{region}.basaltic.sh description: Punto final de API regional variables: region: default: sa-saopaulo-1 description: Código de región security: - BearerAuth: [] tags: - name: Authorization description: Credencial usada por `docker login` - name: Repositories description: Ciclo de vida, configuración, imágenes y etiquetas de los repositorios - name: Policies description: Políticas de recurso y de ciclo de vida - name: Encryption description: Cifrado de capas en reposo - name: Pull-through cache description: Caché de imágenes de otro registry en su namespace paths: /v1/repositories/{repository_id}/policy: parameters: - $ref: '#/components/parameters/RepositoryId' put: tags: - Policies summary: Definir política del repositorio description: >- Concede acceso externo a la cuenta; el principal `*` permite pulls públicos. La política se sustituye por completo. Cada declaración debe identificar al principal, usar acciones `registry:` y apuntar al CRN de este repositorio o `*`. Se rechazan `not_actions` y `not_resources`. El acceso entre cuentas también exige autorización de la política IAM del cliente; la política del recurso no amplía los permisos de la organización. operationId: setRepositoryPolicy requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/RepositoryPolicyRequest' responses: '200': description: Política almacenada. content: application/json: schema: $ref: '#/components/schemas/RepositoryPolicyResponse' '400': $ref: '#/components/responses/BadRequest' '401': $ref: '#/components/responses/Unauthorized' '403': $ref: '#/components/responses/Forbidden' '404': $ref: '#/components/responses/NotFound' components: parameters: RepositoryId: name: repository_id in: path required: true schema: type: string format: uuid example: a1b2c3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d schemas: RepositoryPolicyRequest: type: object properties: document: $ref: '#/components/schemas/RepositoryPolicyDocument' required: - document RepositoryPolicyResponse: type: object properties: policy: type: object properties: document: $ref: '#/components/schemas/RepositoryPolicyDocument' updated_at: type: string format: date-time required: - document required: - policy RepositoryPolicyDocument: type: object description: >- Política de recurso. Cada declaración debe identificar un principal; el documento está asociado al recurso y no puede inferir quién recibe acceso. properties: version: type: string example: '2024-01-01' statements: type: array items: type: object properties: sid: type: string effect: type: string enum: - allow - deny principals: type: array items: type: string description: >- CRN de cuentas, CRN de organización (`crn:iam:::org/`) o `*` para acceso público. example: - crn:iam::other-account:account/other-account actions: type: array items: type: string description: >- Solo acciones `registry:`. Se rechazan las acciones de otros servicios. example: - registry:BatchGetImage - registry:GetDownloadUrlForLayer - registry:ListImages resources: type: array items: type: string description: >- CRN de este repositorio o `*`; la política solo se evalúa en este recurso. example: - '*' conditions: type: array items: $ref: '#/components/schemas/PolicyCondition' required: - effect - principals - actions - resources required: - version - statements Error: type: object required: - error properties: error: type: object required: - code - message - request_id properties: code: type: string description: Código de error que identifica el tipo de error example: INVALID_INPUT message: type: string description: Mensaje de error legible por el ser humano example: Invalid request parameters params: type: object additionalProperties: true description: >- Valores no sensibles opcionales para la interpolación de errores localizados, codificados por código de error. Nunca presente por errores del servidor. example: instances: 2 pools: 0 request_id: type: string format: uuid description: Solicitar ID para depuración example: 550e8400-e29b-41d4-a716-446655440000 PolicyCondition: type: object properties: operator: type: string example: equals key: type: string example: basalt:ResourceTag/env values: type: array items: type: string example: - prod set_operator: type: string enum: - for_all_values - for_any_value required: - operator - key - values responses: BadRequest: description: Parámetros de solicitud no válidos content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: INVALID_INPUT message: Invalid request parameters request_id: 550e8400-e29b-41d4-a716-446655440000 Unauthorized: description: Se requiere autenticación o el token no es válido content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: UNAUTHORIZED message: Authentication required request_id: 550e8400-e29b-41d4-a716-446655440000 Forbidden: description: Permisos insuficientes content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: ACCESS_DENIED message: You don't have permission to perform this action request_id: 550e8400-e29b-41d4-a716-446655440000 NotFound: description: No se encontró el recurso content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: NOT_FOUND message: Resource not found request_id: 550e8400-e29b-41d4-a716-446655440000 securitySchemes: BearerAuth: type: http scheme: bearer bearerFormat: JWT description: >+ Un token bearer de OAuth 2.0, enviado como `Authorization: Bearer `. Esta es la forma recomendada de autenticación. Obtén el token intercambiando el par de claves de acceso de una cuenta de servicio en `POST /v1/oauth/token` con `grant_type=client_credentials`. Es el flujo estándar de credenciales de cliente; las bibliotecas compatibles con OAuth pueden obtener y renovar el token por ti. ``` curl -s -u "$KEY_ID:$SECRET" -d grant_type=client_credentials \ https://iam.basaltic.sh/v1/oauth/token ``` Los tokens duran una hora por defecto. El mismo par de claves de acceso también sirve como credencial AWS SigV4 para el endpoint de objetos compatible con S3, que solo acepta ese método de autenticación. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.