本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
账户管理 Amazon Virtual Private Cloud 终端节点策略
您可以为账户管理创建 Amazon VPC 终端节点策略,在该策略中指定以下内容:
-
可执行操作的委托人。
-
委托人可以执行的操作。
-
可对其执行操作的资源。
以下示例显示了 Amazon VPC 终端节点策略,该策略允许账户 123456789012 中名为 Alice 的 IAM 用户检索和更改任何备用联系信息。Amazon Web Services 账户,但拒绝所有 IAM 用户删除任何账户上的任何备用联系人信息的权限。
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"account:GetAlternateContact",
"account:PutAlternateContact"
],
"Resource": "arn:aws::iam:*:account,
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws::iam:123456789012:user/Alice"
}
},
{
"Action": "account:DeleteAlternateContact",
"Resource": "*",
"Effect": "Deny",
"Principal": "arn:aws::iam:*:root"
}
]
}
如果您希望授予对属于Amazon组织转换为位于组织的其中一个成员账户中的委托人,然后Resource
元素必须采用以下格式:
arn:aws:account::
{ManagementAccountId}
:account/o-{OrganizationId}
/{AccountId}
有关创建终端节点策略,请参阅使用 VPC 终端节点控制对服务的访问中的Amazon PrivateLink指南.