Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

亚马逊 Data Firehose 以前被称为亚马逊 Kinesis Data Firehose

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

通过 Amazon Data Firehose 控制台管理 IAM 角色

Amazon Data Firehose 是一项完全托管的服务，可将实时流数据传输到目的地。您还可以将 Firehose 配置为在交付数据之前转换和转换数据的格式。要使用这些功能，您必须先提供 IAM 角色，以便在创建或编辑 Firehose 直播时向 Firehose 授予权限。Firehose 使用此 IAM 角色获取 Firehose 直播所需的所有权限。

例如，假设您创建了一个向 Amazon S3 传输数据的 Firehose 流，而此 Firehose 流在启用功能的情况下启用了 “转换源记录”。 Amazon Lambda 在这种情况下，您必须提供 IAM 角色才能向 Firehose 授予访问 S3 存储桶和调用 Lambda 函数的权限，如下所示。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "lambdaProcessing",
        "Effect": "Allow",
        "Action": ["lambda:InvokeFunction", "lambda:GetFunctionConfiguration"],
        "Resource": "arn:aws:lambda:us-east-1:<account id>:function:<lambda function name>:<lambda function version>"
    }, {
        "Sid": "s3Permissions",
        "Effect": "Allow",
        "Action": ["s3:AbortMultipartUpload", "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:PutObject"],
        "Resource": ["arn:aws:s3:::<bucket name>", "arn:aws:s3:::<bucket name>/*"]
    }]
}

Firehose 控制台允许您选择如何提供这些角色。您可以从以下选项中进行选择。

选择现有的 IAM 角色

您可以从现有 IAM 角色中进行选择。使用此选项，请确保您选择的 IAM 角色具有适当的信任策略以及源和目标所需的权限。有关更多信息，请参阅 使用 Amazon Data Firehose 控制访问权限。

从控制台创建新的 IAM 角色

或者，您也可以使用 Firehose 控制台代表您创建新角色。

当 Firehose 代表您创建 IAM 角色时，该角色会自动包含根据 Firehose 直播配置授予所需权限的所有权限和信任策略。

例如，如果您没有启用 “转换源记录” Amazon Lambda功能，则控制台会在权限策略中生成以下语句。

{
  "Sid": "lambdaProcessing",
  "Effect": "Allow",
   "Action": [
     "lambda:InvokeFunction",
     "lambda:GetFunctionConfiguration"
   ],
   "Resource": "arn:aws:lambda:us-east-1:<account id>:function:%FIREHOSE_POLICY_TEMPLATE_PLACEHOLDER%"
}

控制台创建和编辑 Firehose 直播工作流程还会创建信任策略并将其附加到 IAM 角色。信任策略允许 Firehose 担任 IAM 角色。以下是信任策略的示例。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "firehoseAssume",
        "Effect": "Allow",
        "Principal": {
            "Service": "firehose.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
    }]
}

从控制台编辑 IAM 角色

当您编辑 Firehose 直播时，Firehose 会相应地更新相应的权限策略以反映配置和权限的更改。

例如，当您编辑 Firehose 流并使用最新版本的 Lambda 函数启用转换源记录 Amazon Lambda功能时exampleLambdaFunction，权限策略中会显示以下策略声明。

{
  "Sid": "lambdaProcessing",
  "Effect": "Allow",
  "Action": [
    "lambda:InvokeFunction",
    "lambda:GetFunctionConfiguration"
  ],
  "Resource": "arn:aws:lambda:us-east-1:<account id>:function:exampleLambdaFunction:$LATEST"
}