Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅
中国的 Amazon Web Services 服务入门
(PDF)。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
按场景划分的权限
自定义事件总线部署中的每个角色都需要一组少量特定的授权。此页面按场景列出它们，以便您可以复制正在创建的角色的集合。例如，制作人的角色需要events:PutEvents或总线events:PutRawEvents上的ARN。如果总线使用客户管理的密钥，则该密钥的策略还必须允许events.amazonaws.com委托人。
下表列出了每个场景的权限授予。在 ARN 模式中，用您自己的region值替换account、和name。
按场景划分的权限授予场景 | 谁需要补助金 | 授权 |
|---|
发布到公交车 | 制片人的身份 | events:PutEvents或者events:PutRawEvents在公交车上 ARN。 events:DescribeEventBus以确认公交车是ACTIVE。
|
发布Avro或Protobuf使用架构注册表 | 中的角色 PutRawEvents RoleArn | 对注册表中架构的读取权限。对于 Glue 注册表，请授予 Glue 架构注册表读取操作。对于Confluent注册表，请授予其所需的密钥和网络访问权限。该角色值得信任events.amazonaws.com。请参阅支持的内容类型：JSON、Avro、Protobuf 和原始字节。 |
用其他账号发布到公交车 | 制片人的身份和公共汽车 | 制作人身份政策中的发布操作。总线还必须通过 Amazon RAM 共享或总线资源策略向生产者的账户授予相同的操作。 |
创建和管理订阅者 | 订阅者所有者的身份 | events:CreateSubscriber在公共汽车上等等arn:aws:events:region:account:subscriber/name/*。 iam:PassRole关于交付角色。 events:DescribeSubscriberevents:UpdateSubscriber、和events:DeleteSubscriber在订阅者上。 events:UpdateSubscriber如果更新包含，则在公交车上FilterConfiguration。 events:TagResource如果创建带有标签。
|
向目标交付 | 交付角色 | 值得信赖events.amazonaws.com. 目标的行动。 sqs:SendMessage在死信队列上。目标的关键操作（如果目标已加密）。请参阅交付角色。 |
附加事件源 | 事件源所有者的身份、死信队列和密钥 | events:CreateEventSource在公交车上和事件源上。队列策略必须允许events.amazonaws.com对死信队列sqs:SendMessage进行呼叫。如果总线已加密，则密钥策略必须允许events.amazonaws.com。请参阅自定义事件总线的事件源。
|
管理公交车 | 公交车主的身份 | events:CreateEventBus、events:UpdateEventBus、events:DeleteEventBus、events:PutResourcePolicy、events:GetResourcePolicy、events:DeleteResourcePolicy、events:ListResourcePolicies、和events:RevokeResource。 ram:CreateResourceShare以及分享它的相关 Amazon RAM 操作。
|
用自己的密钥加密总线 | 关键政策 | 公交车创作者的身份需求kms:DescribeKey。该身份、所有生产者、所有订阅者所有者以及events.amazonaws.com主要需求kms:Decryptkms:Encrypt、kms:GenerateDataKeyWithoutPlaintext、kms:ReEncryptFromkms:ReEncryptTo、和，范围限于带有aws:events:event-busv2:arn加密上下文的总线。请参阅配置使用客户托管 KMS 密钥的权限。 |
有关完整的操作列表和条件键，请参阅自定义事件总线的操作、资源和条件键。有关共享的信息，请参阅与其他账号共享自定义事件总线。