为 Amazon Cloud Map 使用基于身份的策略（IAM 策略）

本主题提供了基于身份的策略的示例，这些示例展示了账户管理员如何将权限策略附加到 IAM 身份（即用户、组和角色），从而授予对 Amazon Cloud Map 资源执行操作的权限。

以下示例显示了一个权限策略，该策略向用户授予注册和取消注册服务实例的权限。Sid 或语句 ID 是可选的：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid" : "AllowInstancePermissions",
         "Effect": "Allow",
         "Action": [
            "servicediscovery:RegisterInstance",
            "servicediscovery:DeregisterInstance",
            "servicediscovery:DiscoverInstances",
            "servicediscovery:Get*",
            "servicediscovery:List*",
            "route53:GetHostedZone",
            "route53:ListHostedZonesByName",
            "route53:ChangeResourceRecordSets",
            "route53:CreateHealthCheck",
            "route53:GetHealthCheck",
            "route53:DeleteHealthCheck",
            "route53:UpdateHealthCheck",
            "ec2:DescribeInstances"
         ],
         "Resource": "*"
      }
   ]
}

该策略授予注册和管理服务实例所需的操作的权限。如果您使用公有或私有 DNS 命名空间，则 Route 53 权限是必需的，因为 Amazon Cloud Map 会在您注册和取消注册实例时创建、更新和删除 Route 53 记录和运行状况检查。Resource 中的通配符 (*) 授予对当前 Amazon 账户所拥有的所有 Amazon Cloud Map 实例及 Route 53 记录和运行状况检查的访问权限。

有关您为授予或拒绝使用每项操作的权限而指定的操作和 ARN 的列表，请参阅Amazon Cloud Map API 权限：操作、资源和条件参考。

使用 Amazon Cloud Map 控制台所需要的权限

要授予对 Amazon Cloud Map 控制台的完全访问权，您可以在以下权限策略中授予权限：

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "servicediscovery:*",
            "route53:GetHostedZone",
            "route53:ListHostedZonesByName",
            "route53:CreateHostedZone",
            "route53:DeleteHostedZone",
            "route53:ChangeResourceRecordSets",
            "route53:CreateHealthCheck",
            "route53:GetHealthCheck",
            "route53:DeleteHealthCheck",
            "route53:UpdateHealthCheck",
            "ec2:DescribeInstances",
            "ec2:DescribeVpcs",
            "ec2:DescribeRegions"
         ],
         "Resource":"*"
      }
   ]
}

下面是需要权限的原因：