Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

的术语和概念 Amazon RAM

以下概念有助于解释如何使用 Amazon Resource Access Manager (Amazon RAM) 共享资源。

资源共享

您可以 Amazon RAM 通过创建资源共享来使用共享资源。资源共享包含以下三个要素：

在您使用创建资源共享之后，可以 Amazon RAM 向在资源共享中指定的委托人授予访问该共享资源的权限。

共享账户

共享帐户包含共享的资源， Amazon RAM 管理员使用在其中创建 Amazon 资源共享 Amazon RAM。

Amazon RAM 管理员是 IAM 委托人，有权在中创建和配置资源共享 Amazon Web Services 账户。由于通过将基于资源的策略附加到资源共享中的资源来起 Amazon RAM 作用，因此 Amazon RAM 管理员还必须有权对资源共享中包含 Amazon Web Services 服务 的每种资源类型调用PutResourcePolicy操作。

使用主体

消费账户是 Amazon Web Services 账户 共享资源的账户。资源共享可以将整个账户指定为主体，或者对于某些资源类型，可以指定账户中的单个角色或用户。有关哪些资源类型支持此类共享的信息，请参阅可共享的资源 Amazon，并查看可以与 IAM 角色和用户共享列。

Amazon RAM 还支持服务主体作为资源共享的使用者。有关哪些资源类型支持此类共享的信息，请参阅可共享的资源 Amazon，并查看可以与服务主体共享列。

使用账户中的主体只能执行以下两个 权限所允许的操作：

Amazon RAM 支持以下 IAM 委托人类型作为资源共享的使用者：

基于资源的策略

基于资源的策略是实施 IAM 策略语言的 JSON 文本文档。与您附加到委托人的基于身份的策略（例如 IAM 角色或用户）不同，您可以将基于资源的策略附加到资源。 Amazon RAM 根据您为资源共享提供的信息，代表您制定基于资源的策略。您必须指定一个 Principal 策略元素来确定谁可以访问该资源。有关更多信息，请参见《IAM 用户指南》中的基于身份的策略和基于资源的策略。

将对生成的 Amazon RAM 基于资源的策略以及所有其他 IAM 策略类型进行评估。这包括附加到尝试访问资源的委托人的任何基于 IAM 身份的策略，以及可能适用于该资源的服务控制策略 (SCPs)。 Amazon Organizations Amazon Web Services 账户由生成的基于资源的策略 Amazon RAM 参与与所有其他 IAM 策略相同的策略评估逻辑。有关策略评估以及如何确定生成的权限的完整详细信息，请参阅《IAM 用户指南》中的策略评估逻辑。

Amazon RAM 通过提供基于 easy-to-use抽象资源的策略，提供简单安全的资源共享体验。

对于支持基于资源的策略的资源类型， Amazon RAM 会自动为您构建和管理基于资源的策略。对于给定资源， Amazon RAM 通过组合包含资源的所有资源共享中的信息，构建基于该资源的策略。例如，假设您通过使用 Amazon RAM 并包含在两个不同的资源共享中共享的 SageMaker Amazon AI 管道。您可以使用一个资源共享为整个组织提供只读访问权限。然后，您可以使用其他资源共享仅向单个账户授予 SageMaker AI 执行权限。 Amazon RAM 自动将这两组不同的权限组合成一个包含多个语句的资源策略。然后，它将组合的基于资源的策略附加到管道资源。您可以通过调用来查看此基础资源策略 GetResourcePolicy操作。 Amazon Web Services 服务 然后使用该基于资源的策略来授权任何试图对共享资源执行操作的委托人。

尽管您可以手动创建基于资源的策略并通过调用 PutResourcePolicy 将其附加到您的资源，但我们建议您使用 Amazon RAM ，因为它具有以下优点：

通过使用 Amazon RAM，您甚至可以共享一些尚不支持基于资源的策略的资源类型。对于此类资源类型，会 Amazon RAM 自动生成一个基于资源的策略来表示实际权限。用户可以通过致电查看此表示形式 GetResourcePolicy。 这包括以下资源类型：

Amazon RAM 生成的基于资源的策略示例

如果您与个人账户共享 Image Builder EC2 图像资源，则 Amazon RAM 会生成如下例所示的策略，并将其附加到资源共享中包含的所有图像资源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:cn-north-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

如果您与其他 IAM 角色或用户共享 Image Builder EC2 图像资源，则 Amazon RAM 会生成如下例所示的策略，并将其附加到资源共享中包含的所有图像资源。 Amazon Web Services 账户

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:cn-north-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

如果您与组织中的所有账户或组织中的账户共享 Image Builder EC2 图像资源，则 Amazon RAM 会生成一个类似于以下示例的策略，并将其附加到资源共享中包含的所有图像资源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:cn-north-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

使用的含义 "Principal": "*" 在基于资源的政策中

当您在基于资源的策略中包含 "Principal": "*" 时，该策略会向账户中包含该资源的所有 IAM 主体授予访问权限，但须遵守 Condition 元素施加的任何限制（如果存在）。适用于调用主体的任何策略中的明确 Deny 语句将覆盖此策略授予的权限。但是，在任何适用的身份策略、权限边界策略或会话策略中，隐式 Deny（意味着缺少显式 Allow）不会 导致对由此类基于资源的策略授予对操作访问权限的主体进行 Deny。

如果您的场景不希望出现这种行为，则您可以通过向影响相关角色和用户的身份策略、权限边界或会话策略添加显式 Deny 语句，限制这种行为。

托管权限

托管权限定义了主体可以在哪些条件下对资源共享中支持的资源类型执行哪些操作。创建资源共享时，您必须指定要对资源共享中包含的每种资源类型使用哪种托管权限。托管权限列出了委托人可以使用 Amazon RAM共享的资源执行的一组actions和条件。

您只能为资源共享中的每种资源类型附加一个托管权限。如果某个类型的某些资源使用一种托管权限，而相同类型的其他资源使用不同的托管权限，则无法创建资源共享。为此，您需要创建两个不同的资源共享并在它们之间分配资源，以便为每个资源集提供不同的托管权限。有两种不同类型的托管权限：

Amazon RAM 将托管权限作为输入，为您共享的资源制定基于资源的策略。

托管权限版本

对托管权限的任何更改都表示为该托管权限的新版本。新版本是所有新资源共享的默认版本。每个托管权限始终有一个指定为默认版本的版本。当您或 Amazon 创建新的托管权限版本时，必须明确更新每个现有资源共享的托管权限。在此步骤中，您可以先评估更改，然后再将其应用于您的资源共享。所有新的资源共享将自动使用相应资源类型的新版托管权限。

创建或更新资源共享时，只能附加指定托管权限的默认版本。有关更多信息，请参阅 将 Amazon 托管权限更新到新版本。