Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon 基于身份的政策示例 SQS

默认情况下，用户和角色无权创建或修改 Amazon SQS 资源。他们也无法使用 Amazon Web Services Management Console、 Amazon Command Line Interface (Amazon CLI) 或来执行任务 Amazon API。要授予用户对其所需资源执行操作的权限，IAM管理员可以创建IAM策略。然后，管理员可以将IAM策略添加到角色中，用户可以代入这些角色。

要了解如何使用这些示例策略文档创建IAM基于身份的JSON策略，请参阅IAM用户指南中的创建IAM策略。

有关亚马逊定义的操作和资源类型（包括每种资源类型的格式）的详细信息SQS，请参阅《服务授权参考》中的 Amazon Simple Queue 服务的操作、资源和条件密钥。ARNs

策略最佳实践

基于身份的策略决定了是否有人可以在您的账户中创建、访问或删除亚马逊SQS资源。这些操作可能会使 Amazon Web Services 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关中最佳做法的更多信息IAM，请参阅《IAM用户指南》IAM中的安全最佳实践。

使用亚马逊SQS控制台

要访问 Amazon Simple Queue Service 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 Amazon SQS 资源的详细信息 Amazon Web Services 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

您无需为仅拨打 Amazon CLI 或的用户设置最低控制台权限 Amazon API。相反，只允许访问与他们尝试执行的API操作相匹配的操作。

为确保用户和角色仍然可以使用亚马逊SQS控制台，还需要将亚马逊SQSAmazonSQSReadOnlyAccess Amazon 托管策略附加到这些实体。有关更多信息，请参阅《用户指南》中的向IAM用户添加权限。

允许用户查看他们自己的权限

此示例说明如何创建允许IAM用户查看附加到其用户身份的内联和托管策略的策略。此策略包括在控制台上或使用或以编程方式完成此操作的 Amazon CLI 权限。 Amazon API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

允许用户创建队列

在以下示例中，我们为 Bob 创建了一个策略，允许他访问所有 Amazon SQS 操作，但只能访问名称以文字字符串为前缀的队列。alice_queue_

Amazon SQS 不会自动授予队列创建者使用队列的权限。因此，除了IAM策略中的操作外，我们还必须明确授予 Bob 使用所有 Amazon SQS CreateQueue 操作的权限。

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:123456789012:alice_queue_*"
   }]
}

允许开发者向共享队列写消息

在以下示例中，我们为开发者创建了一个群组，并附加了一个策略，允许该群组使用 Amazon SQS SendMessage 操作，但只能使用属于指定 Amazon Web Services 账户 且已命名的队列MyCompanyQueue。

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:*:123456789012:MyCompanyQueue"
   }]
}

您可以使用 *（而不是 SendMessage）向主体授予对共享队列执行以下操作的权限：ChangeMessageVisibility、DeleteMessage、GetQueueAttributes、GetQueueUrl、ReceiveMessage 和 SendMessage。

允许管理员获取队列的大致大小

在以下示例中，我们为经理创建了一个群组，并附加了一个策略，允许该群组对属于指定 Amazon 账户的所有队列使用 Amazon SQS GetQueueAttributes 操作。

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "sqs:GetQueueAttributes",
      "Resource": "*"   
   }]
}

允许合作伙伴向特定队列发送消息

您可以使用 Amazon SQS 政策或政策来完成此任务。IAM如果您的合作伙伴有 Amazon Web Services 账户，则使用Amazon SQS 政策可能会更容易。但是，合作伙伴公司中任何拥有 Amazon 安全凭证的用户都可以向队列发送消息。如果您想限制特定用户或应用程序的访问权限，则必须像对待自己公司的用户一样对待合作伙伴，并使用IAM政策代替 Amazon SQS 政策。

本示例将执行以下操作：

{
   "Version": "2012-10-17",
   "Statement": [{
         "Effect": "Allow",
         "Action": "sqs:SendMessage",
         "Resource": "arn:aws:sqs:*:123456789012:WidgetPartnerQueue"
   }]
}