> ## Documentation Index > Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt > Use this file to discover all available pages before exploring further. # Definir política do repositório > Concede acesso externo à conta; principal `*` permite pulls públicos. A política é substituída integralmente. Cada declaração deve identificar principal, usar ações `registry:` e apontar para o CRN deste repositório ou `*`. `not_actions` e `not_resources` são rejeitados. Acesso entre contas também exige autorização da política IAM do chamador; a política do recurso não amplia as permissões da organização. Exige a ação IAM **`registry:SetRepositoryPolicy`**. Veja [REGISTRY permissões](/pt/registry/permissions) para a lista completa, o escopo de cada ação e um exemplo de política. ## OpenAPI ````yaml /pt/api-reference/specs/registry.yaml put /v1/repositories/{repository_id}/policy openapi: 3.0.3 info: title: API Basaltic Registry version: 1.0.0 description: >- Registry de imagens de contêiner. A API de gerenciamento usa `registry..basaltic.sh`; Docker e clientes OCI usam `cr..basaltic.cloud`. Esta referência descreve `/v1`, autenticado por OAuth ou sessão do console. `/v2` segue a especificação OCI Distribution 1.1. `POST /v1/authorization-token` gera uma senha para `docker login`, que a troca por tokens por repositório em `/v2/token`. A senha dura 12 horas, mas decisões de autorização usam as políticas atuais e tokens de cinco minutos. Referências de imagem incluem o identificador da conta; use a `uri` retornada pelo servidor. Blobs e manifestos são imutáveis e identificados por SHA-256. Tags são apontadores mutáveis, salvo com `tag_mutability: immutable`. Excluir por digest remove manifesto e tags; excluir por tag preserva o manifesto. Camadas são deduplicadas em toda a conta. `size_bytes` conta blobs distintos, e a coleta em segundo plano libera os que nenhuma imagem ainda usa. Uma política de recurso permite acesso entre contas ou público. Acesso entre contas exige autorização tanto no recurso como no IAM do chamador. `kms_key` aceita UUID, nome na conta ou CRN de uma chave simétrica habilitada na mesma conta e região. Referências inválidas retornam 400; chaves inexistentes retornam 404. Respostas usam ResourceRef e preservam ID e CRN sem nome quando a chave foi excluída. contact: name: Basaltic Support email: ping@basaltic.sh license: name: Proprietary url: https://basaltic.sh/terms servers: - url: https://registry.{region}.basaltic.sh description: Endpoint de API regional variables: region: default: sa-saopaulo-1 description: Código de região security: - BearerAuth: [] tags: - name: Authorization description: Credencial usada por `docker login` - name: Repositories description: Ciclo de vida, configurações, imagens e tags dos repositórios - name: Policies description: Políticas de recurso e de ciclo de vida - name: Encryption description: Criptografia de camadas em repouso - name: Pull-through cache description: Cache de imagens de outro registry no seu namespace paths: /v1/repositories/{repository_id}/policy: parameters: - $ref: '#/components/parameters/RepositoryId' put: tags: - Policies summary: Definir política do repositório description: >- Concede acesso externo à conta; principal `*` permite pulls públicos. A política é substituída integralmente. Cada declaração deve identificar principal, usar ações `registry:` e apontar para o CRN deste repositório ou `*`. `not_actions` e `not_resources` são rejeitados. Acesso entre contas também exige autorização da política IAM do chamador; a política do recurso não amplia as permissões da organização. operationId: setRepositoryPolicy requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/RepositoryPolicyRequest' responses: '200': description: Política armazenada. content: application/json: schema: $ref: '#/components/schemas/RepositoryPolicyResponse' '400': $ref: '#/components/responses/BadRequest' '401': $ref: '#/components/responses/Unauthorized' '403': $ref: '#/components/responses/Forbidden' '404': $ref: '#/components/responses/NotFound' components: parameters: RepositoryId: name: repository_id in: path required: true schema: type: string format: uuid example: a1b2c3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d schemas: RepositoryPolicyRequest: type: object properties: document: $ref: '#/components/schemas/RepositoryPolicyDocument' required: - document RepositoryPolicyResponse: type: object properties: policy: type: object properties: document: $ref: '#/components/schemas/RepositoryPolicyDocument' updated_at: type: string format: date-time required: - document required: - policy RepositoryPolicyDocument: type: object description: >- Política de recurso. Cada declaração precisa identificar um principal; o documento está associado ao recurso e não pode inferir quem recebe acesso. properties: version: type: string example: '2024-01-01' statements: type: array items: type: object properties: sid: type: string effect: type: string enum: - allow - deny principals: type: array items: type: string description: >- CRNs de contas, CRN de organização (`crn:iam:::org/`) ou `*` para acesso público. example: - crn:iam::other-account:account/other-account actions: type: array items: type: string description: >- Somente ações `registry:`. Ações de outros serviços são rejeitadas. example: - registry:BatchGetImage - registry:GetDownloadUrlForLayer - registry:ListImages resources: type: array items: type: string description: >- CRN deste repositório ou `*`; a política só é avaliada neste recurso. example: - '*' conditions: type: array items: $ref: '#/components/schemas/PolicyCondition' required: - effect - principals - actions - resources required: - version - statements Error: type: object required: - error properties: error: type: object required: - code - message - request_id properties: code: type: string description: Código de erro identificando o tipo de erro example: INVALID_INPUT message: type: string description: Mensagem de erro legível pelo ser humano example: Invalid request parameters params: type: object additionalProperties: true description: >- Valores não sensíveis opcionais para interpolação de erros localizados, codificados por código de erro. Nunca presente para erros de servidor. example: instances: 2 pools: 0 request_id: type: string format: uuid description: Solicitar ID para depuração example: 550e8400-e29b-41d4-a716-446655440000 PolicyCondition: type: object properties: operator: type: string example: equals key: type: string example: basalt:ResourceTag/env values: type: array items: type: string example: - prod set_operator: type: string enum: - for_all_values - for_any_value required: - operator - key - values responses: BadRequest: description: Parâmetros de solicitação inválidos content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: INVALID_INPUT message: Invalid request parameters request_id: 550e8400-e29b-41d4-a716-446655440000 Unauthorized: description: Autenticação necessária ou token inválido content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: UNAUTHORIZED message: Authentication required request_id: 550e8400-e29b-41d4-a716-446655440000 Forbidden: description: Permissões insuficientes content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: ACCESS_DENIED message: You don't have permission to perform this action request_id: 550e8400-e29b-41d4-a716-446655440000 NotFound: description: Página não encontrada content: application/json: schema: $ref: '#/components/schemas/Error' example: error: code: NOT_FOUND message: Resource not found request_id: 550e8400-e29b-41d4-a716-446655440000 securitySchemes: BearerAuth: type: http scheme: bearer bearerFormat: JWT description: >+ Um token bearer OAuth 2.0, enviado como `Authorization: Bearer `. Esta é a forma recomendada de autenticação. Obtenha o token trocando o par de chaves de acesso de uma conta de serviço em `POST /v1/oauth/token` com `grant_type=client_credentials`. Esse é o fluxo padrão de credenciais de cliente; bibliotecas compatíveis com OAuth podem obter e renovar o token para você. ``` curl -s -u "$KEY_ID:$SECRET" -d grant_type=client_credentials \ https://iam.basaltic.sh/v1/oauth/token ``` Os tokens duram uma hora por padrão. O mesmo par de chaves de acesso também serve como credencial AWS SigV4 para o endpoint de objetos compatível com S3, que aceita somente esse método de autenticação. ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.