Amazon DocumentDB API 权限: 操作、资源和条件参考 - Amazon DocumentDB
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon DocumentDB API 权限: 操作、资源和条件参考

在设置使用策略管理访问和编写您可附加到 IAM 身份的权限策略(基于身份的策略)时,可以使用以下内容作为参考。

下面列出了每个 Amazon DocumentDB API 操作。此列表中包含您为了执行该操作可授予权限的相应操作、您可以授予权限的 AWS 资源以及您可以针对细化访问控制而包含的条件键。您需要在策略的 Action 字段中指定操作、在策略的 Resource 字段中指定资源值、在策略的 Condition 字段中指定条件。有关条件的更多信息,请参阅“在策略中指定条件”。

您可以在 Amazon DocumentDB 策略中使用 AWS 范围的条件键来表达条件。有关 AWS 范围内的键的完整列表,请参阅 https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements.html#AvailableKeys 中的IAM 用户指南可用键

您可以使用 IAM 策略模拟器测试 IAM 策略。它将自动提供每个 AWS 操作 (包括 Amazon DocumentDB 操作) 所需的资源和参数的列表。IAM 策略模拟器确定您指定的每个操作所需的权限。有关 IAM 策略模拟器的信息,请参阅 中的IAM使用 IAM 策略模拟器测试 策略。IAM 用户指南

注意

要指定操作,请在 API 操作名称之前使用 rds: 前缀 (例如,rds:CreateDBInstance)。

下面列出了 Amazon RDS API 操作及其相关操作、资源和条件键。

支持资源级权限的 Amazon DocumentDB 操作

资源级权限提供指定允许用户对哪些资源执行操作的能力。Amazon DocumentDB对资源级权限提供部分支持。这意味着对于某些 Amazon DocumentDB 操作,您可以控制何时允许用户执行操作 (基于必须满足的条件)或是允许用户使用的特定资源。例如,您可以向用户授予仅修改特定实例的权限。

下面列出了 Amazon DocumentDB API 操作及其相关操作、资源和条件键。

对于某些管理功能,Amazon DocumentDB 使用与 Amazon RDS 共享的操作技术。

Amazon DocumentDB API 操作 资源 条件键

AddTagsToResource

rds:AddTagsToResource

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ApplyPendingMaintenanceAction

rds:ApplyPendingMaintenanceAction

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

CopyDBClusterSnapshot

rds:CopyDBClusterSnapshot

集群快照

arn:aws-cn:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBCluster

rds:CreateDBCluster

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

CreateDBClusterParameterGroup

rds:CreateDBClusterParameterGroup

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

CreateDBClusterSnapshot

rds:CreateDBClusterSnapshot

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群快照

arn:aws-cn:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBInstance

rds:CreateDBInstance

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

CreateDBSubnetGroup

rds:CreateDBSubnetGroup

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DeleteDBInstance

rds:DeleteDBInstance

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

DeleteDBSubnetGroup

rds:DeleteDBSubnetGroup

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DescribeDBClusterParameterGroups

rds:DescribeDBClusterParameterGroups

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

DescribeDBClusterParameters

rds:DescribeDBClusterParameters

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

DescribeDBClusters

rds:DescribeDBClusters

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

DescribeDBClusterSnapshotAttributes

rds:DescribeDBClusterSnapshotAttributes

集群快照

arn:aws-cn:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

DescribeDBSubnetGroups

rds:DescribeDBSubnetGroups

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DescribePendingMaintenanceActions

rds:DescribePendingMaintenanceActions

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

FailoverDBCluster

rds:FailoverDBCluster

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

ListTagsForResource

rds:ListTagsForResource

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ModifyDBCluster

rds:ModifyDBCluster

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterParameterGroup

rds:ModifyDBClusterParameterGroup

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterSnapshotAttribute

rds:ModifyDBClusterSnapshotAttribute

集群快照

arn:aws-cn:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

ModifyDBInstance

rds:ModifyDBInstance

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

RebootDBInstance

rds:RebootDBInstance

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

RemoveTagsFromResource

rds:RemoveTagsFromResource

实例

arn:aws-cn:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ResetDBClusterParameterGroup

rds:ResetDBClusterParameterGroup

集群参数组

arn:aws-cn:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

RestoreDBClusterFromSnapshot

rds:RestoreDBClusterFromSnapshot

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

集群快照

arn:aws-cn:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

RestoreDBClusterToPointInTime

rds:RestoreDBClusterToPointInTime

Cluster

arn:aws-cn:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

子网组

arn:aws-cn:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

不支持资源级权限的 Amazon DocumentDB 操作

您可以使用一个 IAM 策略中的所有 Amazon DocumentDB操作授予或拒绝用户对该操作的使用权限。但是,并非所有 Amazon DocumentDB 操作都支持资源级权限 (这使您能够指定可对其执行操作的资源)。以下 Amazon DocumentDB API 操作当前不支持资源级权限。因此,要在 IAM 策略中使用这些操作,您必须通过对语句中的 Resource 元素使用 * 通配符,来向用户授予对操作使用所有资源的权限。

  • rds:DescribeDBClusterSnapshots

  • rds:DescribeDBInstances