分配给的IAM角色的权限 Amazon Config

IAM角色允许您定义一组权限。 Amazon Config 承担您分配给它的角色来写入您的 S3 存储桶、发布到您的SNS主题以及发出Describe或ListAPI请求获取 Amazon 资源的配置详细信息。有关IAM角色的更多信息，请参阅《IAM用户指南》中的IAM角色。

当您使用 Amazon Config 控制台创建或更新IAM角色时， Amazon Config 会自动为您附加所需的权限。有关更多信息，请参阅使用控制 Amazon Config 台进行设置。

创建 IAM 角色策略

当您使用 Amazon Config 控制台创建IAM角色时， Amazon Config 会自动为您附加该角色所需的权限。

如果您使用进行设置 Amazon Config 或更新现有IAM角色，则必须手动更新策略以允许 Amazon Config 访问您的 S3 存储桶、发布到您的SNS主题并获取有关您的资源的配置详细信息。 Amazon CLI

将一项 IAM 信任策略添加到您的角色

您可以创建IAM信任策略，使您 Amazon Config 能够代入角色并使用它来跟踪您的资源。有关信任策略的更多信息，请参阅IAM用户指南中的角色术语和概念。

以下是 Amazon Config 角色的信任策略示例：


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": { 
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
    }
  ]
}

您可以使用上述IAM角色信任关系中的AWS:SourceAccount条件来限制 Config 服务主体仅在代表特定账户执行操作时与 Amazon IAM角色交互。

Amazon Config 还支持这样的AWS:SourceArn条件：将 Config 服务主体限制为仅在代表拥有者账户执行操作时才担任该IAM角色。使用 Amazon Config 服务主体时，该AWS:SourceArn属性将始终设置为arn:aws:config:sourceRegion:sourceAccountID:*客户管理的配置记录器的区域，以及sourceAccountID包含客户管理的配置记录器的帐户的 ID。sourceRegion

例如，添加以下条件限制 Config 服务主体只能代表账户中该us-east-1区域的客户管理的配置记录器担任该IAM角色123456789012："ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}。

IAM您的 S3 存储桶的角色策略

以下示例策略授予访问您的 S3 存储桶的 Amazon Config 权限：


{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource":[
        "arn:aws:s3:::amzn-s3-demo-bucket/prefix/AWSLogs/myAccountID/*"
      ],
      "Condition":{
        "StringLike":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    },
    {
      "Effect":"Allow",
      "Action":[
        "s3:GetBucketAcl"
      ],
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    }
  ]
}

IAMKMSKey 的角色策略

以下示例策略授予对新对象使用KMS基于加密以进行 S3 存储桶交付的 Amazon Config 权限：


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "myKMSKeyARN"
        }
    ]
}

以下示例策略授予访问您的SNS主题的 Amazon Config 权限：


{
  "Version": "2012-10-17",
  "Statement": 
   [
     {
      "Effect":"Allow",
      "Action":"sns:Publish",
      "Resource":"mySNStopicARN"
     }
    ]
}

如果您的SNS主题已加密以获取其他设置说明，请参阅《Amazon 简单通知服务开发者指南》中的配置 Amazon KMS 权限。

用于获取配置详细信息的 IAM 角色策略

建议使用 Amazon Config 服务相关角色:AWSServiceRoleForConfig。服务相关角色是预定义的，包括调用其他 Amazon Web Services 服务角色 Amazon Config 所需的所有权限。与 Amazon Config 服务相关的配置记录器需要服务相关角色。有关更多信息，请参阅为 Amazon Config使用服务相关角色。

如果您使用控制台创建或更新角色，请AWSServiceRoleForConfig为您 Amazon Config 附加。

如果您使用 Amazon CLI，请使用attach-role-policy命令并为以下项指定 Amazon 资源名称 (ARN) AWSServiceRoleForConfig：


$ aws iam attach-role-policy --role-name myConfigRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSServiceRoleForConfig

管理 S3 存储桶记录的权限

Amazon Config 在创建、更新或删除 S3 存储桶时记录和发送通知。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon 托管策略

更新 IAM 角色