使用 IAM 控制对回收站的访问
默认情况下，用户没有权限使用回收站、保留规则或回收站中的资源。要允许用户使用这些资源，您必须创建 IAM policy，以授予使用特定资源和 API 操作的权限。创建策略后，必须向您的用户、组或角色添加权限。
使用回收站和保留规则的权限
要使用回收站和保留规则，用户需要以下权限。
-
rbin:CreateRule -
rbin:UpdateRule -
rbin:GetRule -
rbin:ListRules -
rbin:DeleteRule -
rbin:TagResource -
rbin:UntagResource -
rbin:ListTagsForResource -
rbin:LockRule -
rbin:UnlockRule
要使用回收站控制台，用户需要 tag:GetResources 权限。
以下是包含控制台用户 tag:GetResources 权限的示例 IAM policy。如果不需要某些上述权限，您可以从策略中将其删除。
要提供访问权限，请为您的用户、组或角色添加权限：
-
通过身份提供商在 IAM 中托管的用户：
创建适用于身份联合验证的角色。按照《IAM 用户指南》中针对第三方身份提供商创建角色（联合身份验证）的说明进行操作。
-
IAM 用户：
-
创建您的用户可以担任的角色。按照《IAM 用户指南》中为 IAM 用户创建角色的说明进行操作。
-
（不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》中向用户添加权限（控制台）中的说明进行操作。
-
使用回收站中的资源的权限
有关使用回收站中的资源所需的 IAM 权限的更多信息，请参阅以下内容：
回收站的条件键
回收站定义以下条件键，您可在 IAM policy 的 Condition 元素中将其用于控制适用策略语句的条件。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：条件。
rbin:Request/ResourceType 条件键
rbin:Request/ResourceType 条件键可以用于根据为 ResourceType 请求参数指定的值过滤对 CreateRule 和 ListRules 请求的访问。
示例 1 - CreateRule
以下示例 IAM policy 允许 IAM 主体仅在为 ResourceType 请求参数指定的值为 EBS_SNAPSHOT 或 EC2_IMAGE 时发出 CreateRule 请求。这使主体能够仅为快照和 AMI 创建新的保留规则。
示例 2 - ListRules
以下示例 IAM policy 允许 IAM 主体仅在为 ResourceType 请求参数指定的值为 EBS_SNAPSHOT 时发出 ListRules 请求。这使主体仅列出快照的保留规则，并防止它们列出任何其他资源类型的保留规则。
rbin:Attribute/ResourceType 条件键
rbin:Attribute/ResourceType 条件键可用于根据保留规则的 ResourceType 属性的值筛选对 DeleteRule、GetRule、UpdateRule、LockRule、UnlockRule、TagResource、UntagResource 和 ListTagsForResource 的访问。
示例 1 - UpdateRule
以下示例 IAM policy 允许 IAM 主体仅在请求的保留规则的 ResourceType 属性为 EBS_SNAPSHOT 或 EC2_IMAGE 时发出 UpdateRule 请求。这使主体能够仅为快照和 AMI 更新规则。
示例 2 - DeleteRule
以下示例 IAM policy 允许 IAM 主体仅在请求的保留规则的 ResourceType 属性为 EBS_SNAPSHOT 时发出 DeleteRule 请求。这使主体能够仅为快照删除保留规则。