本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
AmazonAmazon FSx 的托管策略
要向用户、组和角色添加权限,与自己编写策略相比,使用 Amazon 托管策略更简单。创建仅为团队提供所需权限的 IAM 客户托管策略需要时间和专业知识。要快速入门,您可以使用我们的 Amazon 托管策略。这些策略涵盖常见使用案例,可在您的 Amazon Web Services 账户 中使用。有关 Amazon 托管策略的更多信息,请参阅 IAM 用户指南中的Amazon 托管策略。
Amazon Web Services负责维护和更新 Amazon 托管式策略。您无法更改 Amazon 托管策略中的权限。服务偶尔会向 Amazon 托管策略添加额外权限以支持新功能。此类更新会影响附加策略的所有身份(用户、组和角色)。当启动新功能或新操作可用时,服务最有可能会更新 Amazon 托管策略。服务不会从 Amazon 托管策略中删除权限,因此策略更新不会破坏您的现有权限。
此外,Amazon 还支持跨多种服务的工作职能的托管策略。例如,ViewOnly访问 Amazon托管策略提供对许多的只读访问Amazon服务和资源。当服务启动新功能时,Amazon会为新操作和资源添加只读权限。有关工作职能策略的列表和说明,请参阅 IAM 用户指南中的适用于工作职能的 Amazon 托管策略。
Amazon托管策略:卓越亚马逊SxDeleteServiceLinkedRoleAccess
您不能将 AmazonFSxDeleteServiceLinkedRoleAccess
附加到自己的 IAM 实体。此策略与服务服务关联,仅与该服务的服务相关角色配合使用。您不能附加、分离、修改或删除此策略。有关更多信息,请参阅 对 Amazon FSx 使用服务相关角色。
此策略授予管理权限,允许 Amazon FSx 删除其用于 Amazon S3 访问的服务关联角色,该角色仅由 Amazon FSx for Lustre 使用。
权限详细信息
此策略包括中的权限iam
允许 Amazon FSx 查看、删除和查看 Amazon S3 访问的 FSx 服务关联角色的删除状态。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus", "iam:GetRole" ], "Resource": "arn:*:iam::*:role/aws-service-role/s3.data-source.lustre.fsx.amazonaws.com/AWSServiceRoleForFSxS3Access_*" } ] }
Amazon托管策略:卓越亚马逊SxFull访问
你可以附加 AmazonFSxFull访问 IAM 实体。Amazon FSx 还将此策略附加到允许 Amazon FSx 代表您执行操作的服务角色。
提供对 Amazon FSx 的完全访问权限以及对相关的访问Amazon服务。
权限详细信息
此策略包含以下权限。
-
fsx
— 允许委托人完全访问权限,以执行所有 Amazon FSx 操作。 -
ds
— 允许委托人查看有关Amazon Directory Service目录。 iam
— 允许原则代表用户创建 Amazon FSx 服务关联角色。这是必需的,以便亚马逊 FSx 可以管理Amazon代表用户使用的资源。-
logs
— 允许委托人创建日志组、日志流以及将事件写入日志流。这是必需的,以便用户可以通过将审计访问日志发送到来监控 FSx 的 Windows 文件服务器文件系统访问CloudWatch日志。 firehose
— 允许委托人向 Amazon Kinesis Data Firehose 写入记录。这是必需的,以便用户可以通过向 Kinesis Data Firehose 发送审核访问日志来监控 FSx 的 Windows 文件服务器文件系统访问。ec2
— 允许委托人在指定条件下创建标签。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ds:DescribeDirectories", "fsx:*" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": [ "fsx.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": [ "s3.data-source.lustre.fsx.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:*:*:log-group:/aws/fsx/*:log-group:*" ] }, { "Effect": "Allow", "Action": [ "firehose:PutRecord" ], "Resource": [ "arn:aws:firehose:*:*:deliverystream/aws-fsx-*" ] }, { "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": [ "arn:aws:ec2:*:*:route-table/*" ], "Condition": { "StringEquals": { "aws:RequestTag/AmazonFSx": "ManagedByAmazonFSx" }, "ForAnyValue:StringEquals": { "aws:CalledVia": ["fsx.amazonaws.com"] } } } ] }
Amazon托管策略:卓越亚马逊SxConsoleFullAccess
您可以将 AmazonFSxConsoleFullAccess
策略附加得到 IAM 身份。
此策略授予管理权限,允许完全访问 Amazon FSx 并访问相关策略。Amazon通过Amazon Web Services Management Console.
权限详细信息
此策略包含以下权限。
-
fsx
— 允许委托人在 Amazon FSx 管理控制台中执行所有操作。 -
cloudwatch
— 允许委托人查看CloudWatchAmazon FSx 管理控制台中的警报。 -
ds
— 允许委托人列出有关Amazon Directory Service目录。 -
ec2
— 允许委托人在路由表上创建标签、列出网络接口、路由表、安全组、子网以及与 Amazon FSx 文件系统关联的 VPC。 -
kms
— 允许委托人列出别名Amazon Key Management Service钥匙。 -
s3
— 允许委托人列出 Amazon S3 存储桶中的部分或全部对象(最多 1000 个)。 -
iam
— 授予权限以创建服务关联角色,该角色允许 Amazon FSx 代表用户执行操作。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudwatch:DescribeAlarms", "ds:DescribeDirectories", "ec2:DescribeNetworkInterfaceAttribute", "ec2:DescribeRouteTables", "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "firehose:ListDeliveryStreams", "fsx:*", "kms:ListAliases", "logs:DescribeLogGroups", "s3:ListBucket" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": [ "fsx.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringEquals": { "iam:AWSServiceName": [ "s3.data-source.lustre.fsx.amazonaws.com" ] } } }, { "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": [ "arn:aws:ec2:*:*:route-table/*" ], "Condition": { "StringEquals": { "aws:RequestTag/AmazonFSx": "ManagedByAmazonFSx" }, "ForAnyValue:StringEquals": { "aws:CalledVia": ["fsx.amazonaws.com"] } } } ] }
Amazon托管策略:卓越亚马逊SxConsoleReadOnly访问
您可以将 AmazonFSxConsoleReadOnlyAccess
策略附加得到 IAM 身份。
此策略授予 Amazon FSx 及相关策略的只读权限。Amazon服务,以便用户可以在Amazon Web Services Management Console.
权限详细信息
此策略包含以下权限。
-
fsx
— 允许委托人在 Amazon FSx 管理控制台中查看有关 Amazon FSx 文件系统的信息,包括所有标签。 -
cloudwatch
— 允许委托人查看CloudWatchAmazon FSx 管理控制台中的警报。 -
ds
— 允许委托人查看有关Amazon Directory Service亚马逊 FSx 管理控制台中的目录。 -
ec2
— 允许委托人在 Amazon FSx 管理控制台中查看与 Amazon FSx 文件系统关联的网络接口、安全组、子网和 VPC。 -
kms
— 允许委托人查看的别名Amazon Key Management ServiceAmazon FSx 管理控制台中的密钥。 -
log
— 允许校长描述亚马逊CloudWatch记录与发出请求的账户关联的日志组。委托人可以查看 FSx for Windows File Server 文件系统的现有文件访问审核配置所必需的。 -
firehose
— 允许委托人描述与发出请求的账户关联的 Amazon Kinesis Data Firehose 交付流。委托人可以查看 FSx for Windows File Server 文件系统的现有文件访问审核配置所必需的。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "cloudwatch:DescribeAlarms", "ds:DescribeDirectories", "ec2:DescribeNetworkInterfaceAttribute", "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "firehose:ListDeliveryStreams", "fsx:Describe*", "fsx:ListTagsForResource", "kms:DescribeKey", "logs:DescribeLogGroups" ], "Resource": "*" } ] }
Amazon托管策略:卓越亚马逊SxReadOnlyAccess
您可以将 AmazonFSxReadOnlyAccess
策略附加得到 IAM 身份。
此策略授予管理权限,允许对 Amazon FSx 进行只读访问。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "fsx:Describe*", "fsx:ListTagsForResource" ], "Resource": "*" } ] }
Amazon FSx 的更新Amazon托管策略
查看有关更新的详细信息AmazonAmazon FSx(自从其开始跟踪更改以来)的托管策略。要获得有关此页面更改的自动提示,请订阅 Amazon FSx 上的 RSS 源文档历史记录页.
更改 | 描述 | 日期 |
---|---|---|
卓越亚马逊SxReadOnlyAccess— 已开启跟踪策略 |
此策略授予对所有 Amazon FSx 资源以及与其关联的任何标签的只读访问权限。 |
2022 年 2 月 4 日 |
卓越亚马逊SxDeleteServiceLinkedRoleAccess— 已开启跟踪策略 |
此策略授予管理权限,允许 Amazon FSx 删除其适用于 Amazon S3 访问的服务关联角色。 |
2022 年 1 月 7 日 |
卓越亚马逊SxServiceRolePolicy— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许亚马逊 FSx 管理亚马逊 FSx 的网络配置NetAppONTAP 文件系统。 |
2021 年 9 月 2 日 |
卓越亚马逊SxFull访问— 对现有策略的更新 |
Amazon FSx 添加了新的权限,允许 Amazon FSx 在 EC2 路由表上创建标签以进行范围下调用。 |
2021 年 9 月 2 日 |
卓越亚马逊SxConsoleFullAccess— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许亚马逊 FSx 创建亚马逊 FSxNetAppONTAP 多可用区文件系统。 |
2021 年 9 月 2 日 |
卓越亚马逊SxConsoleFullAccess— 对现有策略的更新 |
Amazon FSx 添加了新的权限,允许 Amazon FSx 在 EC2 路由表上创建标签以进行范围下调用。 |
2021 年 9 月 2 日 |
卓越亚马逊SxServiceRolePolicy— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,以允许亚马逊 FSx 描述和写信CloudWatch记录日志流。 这是必需的,以便用户可以使用CloudWatch日志。 |
2021 年 6 月 8 日 |
卓越亚马逊SxServiceRolePolicy— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许亚马逊 FSx 描述并写信给 Amazon Kinesis Data Firehose 交付流。 这是必需的,以便用户可以使用 Amazon Kinesis Data Firehose 查看 FSx for Windows File Server 文件系统的文件访问审核日志。 |
2021 年 6 月 8 日 |
卓越亚马逊SxFull访问— 对现有策略的更新 |
Amazon FSx 添加了新的权限,以允许委托人描述和创建CloudWatch记录日志组、日志流并将事件写入日志流。 这是必需的,以便委托人可以使用CloudWatch日志。 |
2021 年 6 月 8 日 |
卓越亚马逊SxFull访问— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许委托人描述记录并将记录写入 Amazon Kinesis Data Firehose。 这是必需的,以便用户可以使用 Amazon Kinesis Data Firehose 查看 FSx for Windows File Server 文件系统的文件访问审核日志。 |
2021 年 6 月 8 日 |
卓越亚马逊SxConsoleFullAccess— 对现有策略的更新 |
Amazon FSx 添加了新的权限,以允许委托人描述 AmazonCloudWatch记录与发出请求的账户关联的日志组。 这是必需的,以便委托人可以选择现有的CloudWatch配置 FSx for Windows File Server 文件系统的文件访问审核时,记录日志组。 |
2021 年 6 月 8 日 |
卓越亚马逊SxConsoleFullAccess— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许委托人描述与发出请求的账户关联的 Amazon Kinesis Data Firehose 交付流。 这是必需的,以便在为适用于 Windows 文件服务器文件系统的 FSx 配置文件访问审核时,委托人可以选择现有的 Kinesis Data Firehose 传输流。 |
2021 年 6 月 8 日 |
卓越亚马逊SxConsoleReadOnly访问— 对现有策略的更新 |
Amazon FSx 添加了新的权限,以允许委托人描述 AmazonCloudWatch记录与发出请求的账户关联的日志组。 委托人可以查看 FSx for Windows File Server 文件系统的现有文件访问审核配置所必需的。 |
2021 年 6 月 8 日 |
卓越亚马逊SxConsoleReadOnly访问— 对现有策略的更新 |
亚马逊 FSx 添加了新的权限,允许委托人描述与发出请求的账户关联的 Amazon Kinesis Data Firehose 交付流。 委托人可以查看 FSx for Windows File Server 文件系统的现有文件访问审核配置所必需的。 |
2021 年 6 月 8 日 |
Amazon FSx 已开跟踪更改 |
Amazon FSx 开始跟踪其的更改Amazon托管策略。 |
2021 年 6 月 8 日 |