本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
IAM 概念简介
Amazon Identity and Access Management (IAM) 是一 Amazon 项服务，可以帮助管理员更加安全地控制对 Amazon 资源的访问。管理员控制谁可以通过身份验证（登录）和授权（具有权限）使用 Amazon QuickSight 资源。IAM 是一项可以免费使用的 Amazon 服务。
IAM 可通过以下多种方法用 QuickSight 于 Amazon：
-
如果您的公司使用 IAM 进行身份管理，人们可能会有在登录 Amazon 时使用的 IAM 用户名和密码 QuickSight。
-
如果您希望在首次登录时自动创建 Amazon QuickSight 用户，您可以使用 IAM，为已经预先授权使用 Amazon 的用户创建策略。 QuickSight
-
如果您要为特定的 QuickSight 用户组创建专用访问，或对特定资源的专用访问，您可以使用 IAM Policy 来实现这一点。
使用策略管理访问
您将创建策略并将其附加到 Amazon 身份或资源，以便控制中的 Amazon 访问。策略 Amazon 是中的对象；在与标识或资源相关联时，策略定义它们的权限。 Amazon 在主体（用户、根用户或角色会话）发出请求时，将评估这些策略。策略中的权限确定是允许还是拒绝请求。大多数策略在中存储 Amazon 为 JSON 文档。有关 JSON 策略文档的结构和内容的更多信息，请参阅 IAM 用户指南中的 JSON 策略概览。
管理员可以使用 Amazon JSON 策略来指定谁有权访问什么内容。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。
默认情况下，用户和角色没有权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。管理员随后可以向角色添加 IAM 策略，用户可以代入角色。
IAM 策略定义操作的权限，无关乎您使用哪种方法执行操作。例如，假设您有一个允许 iam:GetRole 操作的策略。拥有该策略的用户可以从 Amazon Web Services Management Console Amazon CLI、或 Amazon
API 获取角色信息。
基于身份的策略
基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》中的使用客户托管策略定义自定义 IAM 权限。
基于身份的策略可以进一步归类为内联策略或托管式策略。内联策略直接嵌入单个用户、组或角色中。托管式策略是可以附加到中的多个用户、组和角色的独立策略 Amazon Web Services 账户。托管策略包括 Amazon 托管策略和客户托管策略。要了解如何在托管策略和内联策略之间进行选择，请参阅《IAM 用户指南》中的在托管策略与内联策略之间进行选择。
基于资源的策略
基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Amazon S3 存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定主体。委托人可以包括账户、用户、角色、联合身份用户或 Amazon Web Services 服务。
基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用来自 IAM 的 Amazon 托管策略。
访问控制列表 (ACLs)
访问控制列表 (ACLs) 控制哪些主体（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。
Amazon S3 Amazon WAF、和 Amazon VPC 是支持的服务示例 ACLs。要了解更多信息 ACLs，请参阅 Amazon Simple Storage Service 开发人员指南中的访问控制列表 (ACL) 概述。
其他策略类型
Amazon 支持额外的、不太常用的策略类型。这些策略类型可以设置更常用的策略类型向您授予的最大权限。
-
权限边界：权限边界是一个高级特征，用于设置基于身份的策略可以为 IAM 实体（IAM 用户或角色）授予的最大权限。您可为实体设置权限边界。这些结果权限是实体基于身份的策略及其权限边界的交集。在
Principal中指定用户或角色的基于资源的策略不受权限边界限制。任一项策略中的显式拒绝将覆盖允许。有关权限边界的更多信息，请参阅IAM 用户指南中的 IAM 实体的权限边界。 -
服务控制策略（SCPs）— SCPs 指定中的组织或组织单位（OU）的最大权限的 JSON 策略 Amazon Organizations。 Amazon Organizations 是用于分组和集中管理企业拥有 Amazon Web Services 账户 的的服务。如果在组织内启用了所有功能，则可对任意或全部账户应用服务控制策略（SCPs）。SCP 限制成员账户中实体（包括每个 Amazon Web Services 账户根用户）的权限。有关 Organization SCPs s 和的更多信息，请参阅《Amazon Organizations 用户指南》中的服务控制策略。
-
资源控制策略（RCPs）— JSON 策略，您可以使用 RCPs它们设置账户中资源的最大可用权限，而无需更新附加到您拥有的每个资源的 IAM 策略。RCP 限制了成员账户中资源的权限，并可能影响身份（包括）的有效权限 Amazon Web Services 账户根用户，无论这些身份是否属于您的组织。有关 Organizations 的更多信息 RCPs，包括 Amazon Web Services 服务 该支持的列表 RCPs，请参阅《Amazon Organizations 用户指南》中的资源控制策略 (RCPs)。
-
会话策略：会话策略是当您以编程方式为角色或联合用户创建临时会话时作为参数传递的高级策略。结果会话的权限是用户或角色的基于身份的策略和会话策略的交集。权限也可以来自基于资源的策略。任一项策略中的显式拒绝将覆盖允许。有关更多信息，请参阅 IAM 用户指南中的会话策略。
多个策略类型
当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解如何 Amazon 确定在涉及多种策略类型时是否允许请求，请参阅 IAM 用户指南中的策略评估逻辑。