适用于 Savings Plans 的 Identity and Access Management - 节省计划
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

适用于 Savings Plans 的 Identity and Access Management

Amazon Identity and Access Management (IAM) 是一种 Amazon 服务,可以帮助管理员安全地控制对 Amazon 资源的访问。作为管理员,您可以在自己的 Amazon 账户下创建用户可以代入的角色。您可以控制您的用户使用 Amazon 资源执行任务所需的权限。使用 IAM 不会产生额外的费用。

默认情况下,用户无权管理 Savings Plans 资源和操作。要允许用户管理 Savings Plans 资源,您必须创建角色以向用户委派权限。按照 IAM 用户指南中的为用户创建角色说明进行操作。

策略结构

IAM policy 是包含一个或多个语句的 JSON 文档。每个语句的结构如下。

{ "Statement":[{ "Effect":"effect", "Action":"action", "Resource":"arn", "Condition":{ "condition":{ "key":"value" } } } ] }

组成语句的各个元素如下:

  • Effect:effect 可以是 AllowDeny。默认情况下 用户没有使用资源和 API 操作的权限,因此,所有请求均会被拒绝。显式允许将覆盖默认规则。显式拒绝将覆盖任何允许。

  • Actionaction 是对其授予或拒绝权限的特定 API 操作。

  • Resource:受操作影响的资源。有些 Amazon EC2 API 操作允许您在策略中包括该操作可以创建或修改的特定资源。要在语句中指定资源,您需要使用其Amazon 资源名称 (ARN)。有关更多信息,请参阅 Savings Plans 定义的操作

  • Condition:条件是可选的。它们可以用于控制策略生效的时间。有关更多信息,请参阅 Savings Plans 的条件键

Amazon 托管策略

Amazon 创建的托管策略将授予针对常用案例的必要权限。创建用户可以代入的角色后,您可以根据所需的访问权限将策略附加到该角色上。每个策略授予对 Savings Plans 的全部或部分 API 操作的访问权限。

以下是 Savings Plans 的 Amazon 托管政策:

  • AWSSavingsPlansFullAccess — 授予对 Savings Plans 的完全访问权限。

  • AWSSavingsPlansReadOnlyAccess — 授予对 Savings Plans 的只读访问权限。

示例策略

在 IAM policy 语句中,您可以从支持 IAM 的任何服务中指定任何 API 操作。对于 Savings Plans,请使用以下前缀为 API 操作命名:savingsplans:。例如:

  • savingsplans:CreateSavingsPlan

  • savingsplans:DescribeSavingsPlans

要在单个语句中指定多项操作,请使用逗号将它们隔开,如下所示:

"Action": ["savingsplans:action1", "savingsplans:action2"]

您也可以使用通配符指定多项操作。例如,您可以指定名称以单词 "Describe" 开头的所有 Savings Plans API 操作,如下所示:

"Action": "savingsplans:Describe*"

要指定所有 Savings Plans API 操作,请使用 * 通配符,如下所示:

"Action": "savingsplans:*"