policy:
  '*':
    '*':
      get: allow
      list: allow
      '*': deny