将基于身份的策略（IAM 策略）用于 Amazon DocumentDB - Amazon DocumentDB
使用 Amazon DocumentDB 控制台所要求的权限客户托管策略示例
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将基于身份的策略（IAM 策略）用于 Amazon DocumentDB

重要

对于某些管理功能，Amazon DocumentDB 使用与 Amazon RDS 共享的操作技术。亚马逊 DocumentDB 控制台和 API 调用记录为对亚马逊 RDS API 的调用。 Amazon CLI

我们建议您首先回顾以下介绍性主题，这些主题讲解了您可用于管理 Amazon DocumentDB 资源访问的基本概念和选项。有关更多信息，请参阅 管理对 Amazon DocumentDB 资源的访问权限。

本主题提供了基于身份的策略的示例，在这些策略中，账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。

以下是 IAM policy略示例。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateDBInstanceOnly",
            "Effect": "Allow",
            "Action": [
                "rds:CreateDBInstance"
            ],
            "Resource": [
                "arn:aws:rds:*:123456789012:db:test*",
                "arn:aws:rds:*:123456789012:pg:cluster-pg:default*",
                "arn:aws:rds:*:123456789012:subgrp:default"
            ]
        }
    ]
}

该策略包含一个为 IAM 用户指定以下权限的语句：

  • 该策略允许 IAM 用户使用 CreatedBin Stance 操作创建实例（这也适用于该操作和）。create-db-instance Amazon CLI Amazon Web Services Management Console

  • Resource 元素指定用户可以执行操作的资源。使用 Amazon 资源名称 (ARN) 指定资源。此 ARN 包括资源所属服务的名称 (rds)、 Amazon Web Services 区域 （*表示本示例中的任何区域）、用户账号（在本示例中123456789012为用户 ID）和资源类型。

    该示例中的 Resource 元素为用户指定有关资源的以下策略限制：

    • 新实例的实例标识符必须以 test 开头（例如，testCustomerData1、test-region2-data）。

    • 新实例的集群参数组必须以 default 开头。

    • 新实例的子网组必须是 default 子网组。

该策略不指定 Principal 元素，因为在基于身份的策略中，您未指定获取权限的委托人。附加了策略的用户是隐式委托人。向 IAM 角色附加权限策略后，该角色的信任策略中标识的主体将获取权限。

有关显示所有 Amazon DocumentDB API 操作及其适用资源的表，请参阅 Amazon DocumentDB API 权限：操作、资源和条件参考。

使用 Amazon DocumentDB 控制台所要求的权限

对于要使用 Amazon DocumentDB 控制台的用户，该用户必须拥有一组最小权限。这些权限允许用户描述他们的 Amazon DocumentDB 资源 Amazon Web Services 账户 并提供其他相关信息，包括 Amazon EC2 安全和网络信息。

如果创建比必需的最低权限更为严格的 IAM policy，对于附加了该 IAM policy 的用户，控制台将无法按预期正常运行。要确保这些用户仍可使用 Amazon DocumentDB 控制台，也可向用户附加 AmazonDocDBConsoleFullAccess 托管策略，如 Amazon 亚马逊 DocumentDB 的托管政策 中所述。

对于仅调用 Amazon CLI 或 Amazon DocumentDB API 的用户，您无需为其设置最低控制台权限。

客户托管策略示例

本节的用户策略示例介绍如何授予各 Amazon DocumentDB 操作的权限。当您使用 Amazon DocumentDB API 操作、 Amazon 软件开发工具包或时，这些策略会起作用。 Amazon CLI当您使用控制台时，您需要授予特定于控制台的其他权限，使用 Amazon DocumentDB 控制台所要求的权限 中对此进行了讨论。

对于某些管理功能，Amazon DocumentDB 使用与 Amazon Relational Database Service (Amazon RDS) 和 Amazon Neptune 共享的操作技术。

注意

所有示例都使用美国东部（弗吉尼亚州北部）区域 (us-east-1) 并且包含虚构的账户 ID。

示例 1：允许用户对任何 Amazon DocumentDB 资源执行任何描述操作

以下权限策略对用户授予权限以运行以 Describe 开头的所有操作。这些操作显示有关 Amazon DocumentDB 资源（如实例）的信息。 Resource 组件中的通配符 (*) 表示对该账户拥有的所有 Amazon DocumentDB 资源允许这些操作。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"AllowRDSDescribe",
         "Effect":"Allow",
         "Action":"rds:Describe*",
         "Resource":"*"
      }
   ]
}

示例 2：防止用户删除实例

以下权限策略授予权限以防止用户删除特定实例。例如，您可能想禁止任何非管理员用户删除您的生产实例。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"DenyDelete1",
         "Effect":"Deny",
         "Action":"rds:DeleteDBInstance",
         "Resource":"arn:aws:rds:us-east-1:123456789012:db:my-db-instance"
      }
   ]
}

示例 3：除非启用存储加密，否则阻止用户创建集群

除非启用存储加密，否则以下权限策略拒绝用户创建 Amazon DocumentDB 集群的权限。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "PreventUnencryptedDocumentDB",
         "Effect": "Deny",
         "Action": "RDS:CreateDBCluster",
         "Condition": {
         "Bool": {
         "rds:StorageEncrypted": "false"
      },
         "StringEquals": {
         "rds:DatabaseEngine": "docdb"
         }
      },
      "Resource": "*"
      }
   ]
}