AWS Identity and Access Management

用户指南

AWS 文档 » AWS Identity and Access Management » 用户指南 » AWS Identity and Access Management 的参考信息 » 使用 IAM 的 AWS 服务

使用 IAM 的 AWS 服务

下面列出的 AWS 服务根据其 AWS 产品类别分组，包含所支持的 IAM 功能的信息：

计算服务

¹ 无法使用 AWS 管理控制台创建 Amazon EC2 服务相关角色，这些角色只能用于以下功能：计划实例、Spot 实例请求、Spot 队列请求

² 仅某些 Amazon EC2 操作支持资源级权限。

³ AWS Lambda 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。

存储服务

¹ Amazon S3 仅为对象资源支持基于标签的授权。

数据库服务

¹ 您无法在策略中指定 ElastiCache 资源 ARN，但在为集群或复制做种时，您可以指定具有 ElastiCache actions.group 的 Amazon S3 ARN。

开发人员工具服务

安全、身份和合规性服务

¹ IAM 仅支持一种类型的基于资源的策略（称为角色信任策略），这种策略附加到 IAM 角色。有关更多信息，请参阅 向用户授予切换角色的权限。

² IAM 仅为用户和角色资源支持基于标签的访问控制。

³ 只能使用临时凭证调用 IAM 的一部分 API 操作。有关更多信息，请参阅比较您的 API 选项

⁴ AWS STS 没有“资源”，但允许以类似的方式限制用户访问。有关更多信息，请参阅根据名称拒绝访问临时安全凭证。

⁵ 仅 AWS STS 的一部分 API 操作支持使用临时凭证进行调用。有关更多信息，请参阅比较您的 API 选项。

机器学习服务

¹ Amazon SageMaker 不支持将基于标签的授权用于调用 InvokeEndpoint。

管理和治理服务

¹ 无法使用 AWS 管理控制台创建 Amazon CloudWatch 服务相关角色，这些角色仅支持警报操作功能。

² 对于多账户多区域数据聚合和 AWS Config 规则，AWS Config 支持资源级权限。有关支持的资源列表，请参阅 AWS Config API 指南的多账户多区域数据聚合和 AWS Config 规则部分。

³ 用户可以通过允许 AWS 资源组 操作的策略担任角色。

⁴ AWS Service Catalog 仅为 API 操作与输入中的一个资源匹配的操作支持基于标签的访问控制。

⁵ 针对 Trusted Advisor 的 API 访问通过 AWS Support API 执行，并受 AWS Support IAM 策略的控制。

迁移和传输服务

¹ 您可以创建和修改附加到您创建的 AWS KMS 加密密钥的策略，以加密迁移到支持的目标终端节点的数据。支持的目标终端节点包括 Amazon Redshift 和 Amazon S3。有关更多信息，请参阅 AWS Database Migration Service 用户指南 中的创建和使用 AWS KMS 密钥以加密 Amazon Redshift 目标数据和创建 AWS KMS 密钥以加密 Amazon S3 目标对象。

移动服务

网络和内容分发服务

¹ CloudFront 不支持用于创建 CloudFront 密钥对的操作级权限。必须使用 AWS 账户根用户创建 CloudFront 密钥对。有关更多信息，请参阅 Amazon CloudFront 开发人员指南中的为您的受信任签署人创建 CloudFront 密钥对。

² 在 IAM 用户策略中，您不能将权限限制到特定的 Amazon VPC 终端节点。包含 ec2:*VpcEndpoint* 或 ec2:DescribePrefixLists API 操作的任何 Action 元素都必须指定“"Resource": "*"”。有关更多信息，请参阅 Amazon VPC 用户指南 中的控制终端节点的使用。

³ Amazon VPC 支持将单个资源策略附加到 VPC 终端节点来限制可通过该终端节点访问的内容。有关使用基于资源的策略控制特定 Amazon VPC 终端节点访问资源的更多信息，请参阅 Amazon VPC 用户指南 中的使用终端节点策略。

⁴ Amazon CloudFront 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。

媒体服务

分析服务

应用程序集成服务

业务应用程序服务

卫星服务

物联网服务

¹ 连接到 AWS IoT 的设备通过 X.509 证书或 Amazon Cognito 身份进行身份验证。您可以将 AWS IoT 策略附加到 X.509 证书或 Amazon Cognito 身份以控制设备有权执行哪些操作。有关更多信息，请参阅 AWS IoT 开发人员指南 中的 AWS IoT 的安全和身份。

机器人服务

区块链服务

游戏开发服务

AR 和 VR 服务

客户参与服务

¹ 您只能在引用与发送电子邮件相关的操作（如 ses:SendEmail 或 ses:SendRawEmail）的策略语句中使用资源级权限。对于引用任何其他操作的策略语句，Resource 元素只能包含 *。

² 仅 Amazon SES API 支持临时安全凭证。Amazon SES SMTP 接口不支持从临时安全凭证派生的 SMTP 凭证。

最终用户计算服务

其他资源

本页内容：

• 计算
• 存储
• 数据库
• 开发人员工具
• 安全性、身份与合规性
• 机器学习
• 管理工具
• 迁移和传输
• 移动
• 联网和内容分发
• 媒体
• 分析
• 应用程序集成
• 业务应用程序
• 卫星
• 物联网
• 机器人
• 区块链
• 游戏开发
• AR 和 VR
• 客户参与
• 最终用户计算
• 其他资源