将基于身份的策略(IAM 策略)用于 Amazon ElastiCache - Amazon ElastiCache for Redis
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

将基于身份的策略(IAM 策略)用于 Amazon ElastiCache

本主题提供了基于身份的策略的示例,在这些策略中,账户管理员可以向 IAM 身份(即:用户、组和角色)附加权限策略。

重要

我们建议您首先阅读说明管理对 Amazon ElastiCache 资源的访问的基本概念和选项的主题。有关更多信息,请参阅 管理对 ElastiCache 资源的访问权限的概览

本主题的各个部分涵盖以下内容:

下面介绍权限策略示例。

{ "Version": "2012-10-17", "Statement": [{ "Sid": "AllowClusterPermissions", "Effect": "Allow", "Action": [ "elasticache:CreateCacheCluster", "elasticache:CreateReplicationGroup", "elasticache:DescribeCacheClusters", "elasticache:ModifyCacheCluster", "elasticache:RebootCacheCluster"], "Resource": "*" }, { "Sid": "AllowUserToPassRole", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "arn:aws:iam::123456789012:role/EC2-roles-for-cluster" } ] }

该策略包含两条语句:

  • 第一条语句授予对账户所拥有的任何缓存集群的 Amazon ElastiCache 操作(elasticache:CreateCacheClusterelasticache:DescribeCacheClusterselasticache:ModifyCacheClusterelasticache:RebootCacheCluster)权限。

  • 第二条语句授予对 Resource 值末尾指定的 IAM 角色名称的 IAM 操作 (iam:PassRole) 的权限。

该策略不指定 Principal 元素,因为在基于身份的策略中,您未指定获取权限的委托人。附加了策略的用户是隐式委托人。向 IAM 角色附加权限策略后,该角色的信任策略中标识的委托人将获取权限。

有关显示所有 Amazon ElastiCache API 操作及它们适用的资源的表,请参阅 ElastiCache API 权限:操作、资源和条件参考

使用 Amazon ElastiCache 控制台所需的权限

权限参考表列出 Amazon ElastiCache API 操作并显示每个操作所需的权限。有关 ElastiCache API 操作的更多信息,请参阅 ElastiCache API 权限:操作、资源和条件参考

要使用 Amazon ElastiCache 控制台,请首先授予执行其他操作的权限,如以下权限策略中所示。

{ "Version": "2012-10-17", "Statement": [{ "Sid": "MinPermsForECConsole", "Effect": "Allow", "Action": [ "elasticache:Describe*", "elasticache:List*", "ec2:DescribeAvailabilityZones", "ec2:DescribeVpcs", "ec2:DescribeAccountAttributes", "ec2:DescribeSecurityGroups", "cloudwatch:GetMetricStatistics", "cloudwatch:DescribeAlarms", "s3:ListAllMyBuckets", "sns:ListTopics", "sns:ListSubscriptions" ], "Resource": "*" } ] }

ElastiCache 控制台出于以下原因需要上述其他权限:

  • ElastiCache 操作权限使控制台可以显示账户中的 ElastiCache 资源。

  • 控制台需要 ec2 操作权限来查询 Amazon EC2,以便可以显示可用区、VPC、安全组及账户属性。

  • cloudwatch 操作权限使控制台可以检索 Amazon CloudWatch 指标和告警并在控制台中显示它们。

  • sns 操作权限使控制台可以检索 Amazon Simple Notification Service (Amazon SNS) 主题和订阅,并将其显示在控制台中。

适用于 Amazon ElastiCache 的 Amazon 托管式(预定义)策略

Amazon通过提供由创建和管理的独立 IAM 策略来满足许多常用案例的要求。Amazon托管策略可授予常用案例的必要权限,因此,您可以免去调查都需要哪些权限的工作。有关更多信息,请参阅 IAM 用户指南中的Amazon托管策略

以下 Amazon 托管式策略(可附加到您账户中的用户)特定于 ElastiCache:

  • AmazonElastiCacheReadOnlyAccess – 授予对 Amazon ElastiCache 资源的只读访问权限。

  • AmazonElastiCacheFullAccess – 授予对 Amazon ElastiCache 资源的完全访问权限。

注意

您可以通过登录到 IAM 控制台并在该控制台中搜索特定策略来查看这些权限策略。

您还可以创建自定义 IAM 策略,以授予执行 Amazon ElastiCache API 操作的相关权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。

客户托管的策略示例

如果您未使用默认策略并选择使用自定义托管策略,请确保以下两项之一。您应该有权调用 iam:createServiceLinkedRole(有关更多信息,请参阅示例 5:允许用户调用 IAM CreateServiceLinkedRole API)。或者您应该已经创建了 ElastiCache 服务相关角色。

与使用 Amazon ElastiCache 控制台所需的最低权限相结合时,本节中的示例策略将授予其他权限。这些示例还与 Amazon 开发工具包 和 Amazon CLI 相关。有关使用 ElastiCache 控制台所需的权限的更多信息,请参阅 使用 Amazon ElastiCache 控制台所需的权限

有关设置 IAM 用户和组的说明,请参阅 IAM 用户指南中的创建您的第一个 IAM 用户和管理员组

重要

在生产中使用 IAM 策略之前,请始终全面测试这些策略。当您使用 ElastiCache 控制台时,一些看起来简单的 ElastiCache 操作可能需要其他操作来支持它们。例如,elasticache:CreateCacheCluster 授予创建 ElastiCache 缓存集群的权限。但是,为执行此操作,ElastiCache 控制台使用一些 DescribeList 操作来填充控制台列表。

示例 1:允许用户创建和管理安全组

以下策略授予执行安全组的特定 ElastiCache 操作的权限。通常,您将此类型的权限策略挂载到系统管理员组。

{ "Version": "2012-10-17", "Statement":[{ "Sid": "SecGrpAllows", "Effect":"Allow", "Action":[ "elasticache:CreateCacheSecurityGroup", "elasticache:DeleteCacheSecurityGroup", "elasticache:DescribeCacheSecurityGroup", "elasticache:AuthorizeCacheSecurityGroupIngress", "elasticache:RevokeCacheSecurityGroupIngress"], "Resource":"*" } ] }

示例 2:允许用户对 ElastiCache 资源进行只读访问

以下策略授予允许用户列出资源的 ElastiCache 操作权限。通常,您将此类型的权限策略挂载到管理人员组。

{ "Version": "2012-10-17", "Statement":[{ "Sid": "ECUnrestricted", "Effect":"Allow", "Action": [ "elasticache:Describe*", "elasticache:List*"], "Resource":"*" } ] }

示例 3:允许用户执行常见的 ElastiCache 系统管理员任务

常见的系统管理员任务包括:修改缓存集群、参数和参数组。系统管理员还可能需要获得有关 ElastiCache 事件的信息。以下策略授予执行这些常见系统管理员任务的 ElastiCache 操作的用户权限。通常,您将此类型的权限策略挂载到系统管理员组。

{ "Version": "2012-10-17", "Statement":[{ "Sid": "ECAllowSpecific", "Effect":"Allow", "Action":[ "elasticache:ModifyCacheCluster", "elasticache:RebootCacheCluster", "elasticache:DescribeCacheClusters", "elasticache:DescribeEvents", "elasticache:ModifyCacheParameterGroup", "elasticache:DescribeCacheParameterGroups", "elasticache:DescribeCacheParameters", "elasticache:ResetCacheParameterGroup", "elasticache:DescribeEngineDefaultParameters"], "Resource":"*" } ] }

示例 4:允许用户访问所有 ElastiCache API 操作

以下策略允许用户访问所有 ElastiCache 操作。建议您仅向管理员用户授予此类型的权限策略。

{ "Version": "2012-10-17", "Statement":[{ "Sid": "ECAllowSpecific", "Effect":"Allow", "Action":[ "elasticache:*" ], "Resource":"*" } ] }

示例 5:允许用户调用 IAM CreateServiceLinkedRole API

以下策略允许用户调用 IAM CreateServiceLinkedRole API。我们建议您对调用变化 ElastiCache 操作的用户应用此类型的权限策略。

{ "Version":"2012-10-17", "Statement":[ { "Sid":"CreateSLRAllows", "Effect":"Allow", "Action":[ "iam:CreateServiceLinkedRole" ], "Resource":"*", "Condition":{ "StringLike":{ "iam:AmazonServiceName":"elasticache.amazonaws.com" } } } ] }