Amazon DocumentDB API 权限:参考操作、资源和条件参考 - Amazon DocumentDB
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon DocumentDB API 权限:参考操作、资源和条件参考

在设置时,请使用以下部分作为参考使用策略管理访问并编写可附加到 IAM 身份的权限策略(基于身份的策略)。

下面列出了每个 Amazon DocumentDB API 操作。此列表中包含您可以授予执行该操作的权限的对应操作、Amazon可授予权限的资源以及您可以针对细粒度访问控制包含的条件键。您需要在策略的 Action 字段中指定操作、在策略的 Resource 字段中指定资源值、在策略的 Condition 字段中指定条件。有关条件的更多信息,请参阅“在策略中指定条件”。

您可以使用Amazon在 Amazon DocumentDB 策略中使用范围的条件键以表示条件。有关 Amazon 范围内的键的完整列表,请参阅《IAM 用户指南》https://docs.amazonaws.cn/IAM/latest/UserGuide/reference_policies_elements.html#AvailableKeys中的可用键

您可以使用 IAM 策略模拟器测试 IAM 策略。它将自动提供每个资源和参数的列表。Amazon操作,包括 Amazon DocumentDB 操作。IAM 策略模拟器确定您指定的每个操作所需的权限。有关 IAM 策略模拟器的信息,请参阅使用 IAM 策略模拟器测试 IAM 策略中的IAM 用户指南.

注意

要指定操作,请在 API 操作名称之前使用 rds: 前缀 (例如,rds:CreateDBInstance)。

下面列出了 Amazon RDS API 操作及其相关操作、资源和条件键。

Support 资源级权限的 Amazon DocumentDB 操作

资源级权限提供指定允许用户对哪些资源执行操作的能力。Amazon DocumentDB 部分支持资源级权限。这意味着对于某些 Amazon DocumentDB 操作,您可以控制何时允许用户执行操作 (基于必须满足的条件) 或是允许用户使用的特定资源。例如,您可以向用户授予仅修改特定实例的权限。

下面列出 Amazon DocumentDB API 操作及其相关操作、资源和条件键。

对于某些管理功能,Amazon DocumentDB 使用与 Amazon RDS 共享的操作技术。

Amazon DocumentDB API 操作 Resources(资源) 条件键

AddTagsToResource

rds:AddTagsToResource

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ApplyPendingMaintenanceAction

rds:ApplyPendingMaintenanceAction

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

copyDBClusterSnapshot

rds:CopyDBClusterSnapshot

集群快照

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBCluster

rds:CreateDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

CREATEBClusterParameterGroup

rds:CreateDBClusterParameterGroup

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

CREATEBClusterSnapshot

rds:CreateDBClusterSnapshot

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群快照

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBInstance

rds:CreateDBInstance

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

CREATEBSubnetGroup

rds:CreateDBSubnetGroup

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DeleteDBInstance

rds:DeleteDBInstance

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

已删除 DBSubnetGroup

rds:DeleteDBSubnetGroup

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

描述 BCRIBEDBClusterParameterGroups

rds:DescribeDBClusterParameterGroups

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

描述 BCRIBEDBClusterParameters

rds:DescribeDBClusterParameters

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

DescribeDBClusters

rds:DescribeDBClusters

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

描述 BCRIBEDBClusterSnapshot属性

rds:DescribeDBClusterSnapshotAttributes

集群快照

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

描述 BCRIBEDBSubnetGroups

rds:DescribeDBSubnetGroups

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DescribePendingMaintenanceActions

rds:DescribePendingMaintenanceActions

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

FailoverDBCluster

rds:FailoverDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

ListTagsForResource

rds:ListTagsForResource

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ModifyDBCluster

rds:ModifyDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterParameterGroup

rds:ModifyDBClusterParameterGroup

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterSnapshot属性

rds:ModifyDBClusterSnapshotAttribute

集群快照

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

ModifyDBInstance

rds:ModifyDBInstance

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

RebootDBInstance

rds:RebootDBInstance

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

RemoveTagsFromResource

rds:RemoveTagsFromResource

实例

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ResetDBClusterParameterGroup

rds:ResetDBClusterParameterGroup

集群参数组

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

RestoredBClusterFrom快照

rds:RestoreDBClusterFromSnapshot

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

集群快照

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

RestoredBClusterToPointInTime

rds:RestoreDBClusterToPointInTime

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

子网组

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

Amazon DocumentDB 操作不 Support 资源级权限的操作

您可以使用 IAM 策略中的所有 Amazon DocumentDB 操作授予或拒绝用户使用该操作的权限。但是,并非所有 Amazon DocumentDB 操作都支持资源级权限,这使您能够指定可对哪些资源执行操作。以下 Amazon DocumentDB API 操作当前不支持资源级权限。因此,要在 IAM 策略中使用这些操作,您必须通过使用授予用户对该操作使用所有资源的权限。*适用于的通配符Resource你的声明中的元素。

  • rds:DescribeDBClusterSnapshots

  • rds:DescribeDBInstances