\ --document @policy.json basaltic workspace user list-inline-policies basaltic workspace user delete-inline-policy

``` La cuenta `iam service-account` y `iam role`, y la organización `workspace group`, llevan operaciones de directiva en línea equivalentes.

```go theme={null} c := workspace.New(cfg) err := c.PutUserInlinePolicy(ctx, userID, "deny-billing-change", &workspace.PutInlinePolicyRequest{ Document: doc, }) list, err := c.ListUserInlinePolicies(ctx, userID) err = c.DeleteUserInlinePolicy(ctx, userID, "deny-billing-change") ``` Las rutas de usuario y grupo usan documentos de directivas de espacio de trabajo y organización. Las rutas de cuentas de servicio y roles usan documentos de directivas de cuentas y IAM. Algunas políticas administradas son políticas **sistema**, marcadas como `is_system`. La plataforma los mantiene, se comparten entre las organizaciones y no se pueden editar, ya sea que los adjuntes o no. La consola los etiqueta como **System** en lugar de **Custom** y los abre como **View Policy**, sin guardar. ## Validación Un documento es rechazado al guardar, no ignorado silenciosamente, cuando: * `version` falta o no es `2024-01-01` * `statements` está vacío * `effect` no es `allow` o `deny` * Una sentencia establece tanto `actions` como `not_actions`, o ninguna de ellas * Una sentencia establece tanto `resources` como `not_resources`, o ninguno de los dos * Una condición no tiene `key`, o un `operator` o `set_operator` no reconocido Un operador no reconocido en un documento **almacenado** — uno guardado antes de que un operador fuera renombrado, por ejemplo — nunca coincide. En una sentencia allow se salta; en una deny se trata como una deny dura cuando la acción y el recurso coinciden, por lo que una barandilla rota falla cerrada en lugar de abierta. ## Siguiente Limitar lo que estas políticas pueden conceder. Las directivas de sesión reducen el ámbito de las credenciales de la misma manera. ## Referencias de recursos Los nombres de directiva, rol y grupo son inmutables. Los campos de relación como `policy`, `role`, `group` y `groups[]` aceptan un UUID, un nombre o un CRN. La sintaxis selecciona la búsqueda; un recurso que falta nunca desencadena una segunda búsqueda usando otra interpretación. Las directivas de cuenta usan `crn:iam:::policy/`. Las políticas de cuenta del sistema usan `crn:iam:::policy/`. Un nombre nulo prefiere una directiva en la cuenta seleccionada, luego una directiva del sistema. Un CRN de sistema totalmente cualificado selecciona ese espacio de nombres incluso cuando una directiva personalizada tiene el mismo nombre. Las directivas de organización usan `crn:workspace:::policy/`; las directivas de organización del sistema usan `crn:workspace:::system-policy/`. Una búsqueda de directiva de organización no busca directivas de cuenta, ni viceversa. Los roles usan `crn:iam:::role/`. Los grupos usan `crn:workspace:::group/`. Las solicitudes de adjuntos de directivas de organización delegadas usan el UUID de la directiva en `policy_id`; consulte [Permisos de espacio de trabajo](/es/workspace/permissions). Las listas con filtros `name` y `crn` se aplican antes de la paginación. Un valor vacío sigue siendo un filtro. Un CRN extranjero o no coincidente devuelve una página vacía. Vea [resource references](/es/reference-resolution) para los filtros de cada lista. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.