Amazon Athena 的操作、资源和条件键

Amazon Athena（服务前缀：athena）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon Athena 定义的操作
Amazon Athena 定义的资源类型
Amazon Athena 的条件键

Amazon Athena 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
BatchGetNamedQuery	授予获取一个或多个命名查询相关信息的权限	读取	workgroup*
BatchGetPreparedStatement	授予权限以获取有关一或多个准备语句的信息	读取	workgroup*
BatchGetQueryExecution	授予获取一个或多个查询执行相关信息的权限	读取	workgroup*
CancelCapacityReservation	授予权限以取消容量预留	写入	capacity-reservation*
CancelQueryExecution	授予取消查询执行的权限。已淘汰。仅适用于使用 1.1.0 之前的 Athena JDBC 驱动程序的 Amazon 服务和主体。否则，请使用 StopQueryExecution	写入	workgroup*
CreateCapacityReservation	授予权限以创建容量预留	写入	capacity-reservation*
CreateCapacityReservation	授予权限以创建容量预留	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateDataCatalog	授予创建数据目录的权限	写入	datacatalog*
CreateDataCatalog	授予创建数据目录的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateNamedQuery	授予创建命名查询的权限	写入	workgroup*
CreateNotebook	授予权限以创建笔记本	写入	workgroup*
CreatePreparedStatement	授予创建准备语句的权限。	写入	workgroup*
CreatePresignedNotebookUrl	授予权限以创建预签名笔记本 URL	写入	workgroup*
CreateWorkGroup	授予创建工作组的权限	写入	workgroup*
CreateWorkGroup	授予创建工作组的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteCapacityReservation	授予权限以删除容量预留	写入	capacity-reservation*
DeleteDataCatalog	授予删除数据目录的权限	写入	datacatalog*
DeleteNamedQuery	授予删除指定命名查询的权限	写入	workgroup*
DeleteNotebook	授予权限以删除笔记本	写入	workgroup*
DeletePreparedStatement	授予删除指定的准备语句的权限。	写入	workgroup*
DeleteWorkGroup	授予删除工作组的权限	写入	workgroup*
ExportNotebook	授予权限以导出笔记本	写入	workgroup*
GetCalculationExecution	授予权限以获取计算执行	读取	workgroup*
GetCalculationExecutionCode	授予权限以获取计算执行代码	读取	workgroup*
GetCalculationExecutionStatus	授予权限以获取计算执行状态	读取	workgroup*
GetCapacityAssignmentConfiguration	授予获取容量预留的容量分配信息的权限	读取	capacity-reservation*
GetCapacityReservation	授予权限以获取容量预留	读取	capacity-reservation*
GetCatalogs	授予启用对数据库和表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetDataCatalog	授予获取数据目录的权限	读取	datacatalog*
GetDatabase	授予获取给定数据目录的数据库的权限	读取	datacatalog*
GetExecutionEngine	授予启用对指定数据库和表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetExecutionEngines	授予启用对数据库和表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetNamedQuery	授予获取指定命名查询相关信息的权限	读取	workgroup*
GetNamespace	授予启用对指定数据库和表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetNamespaces	授予启用对数据库和表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetNotebookMetadata	授予权限以获取笔记本元数据	读取	workgroup*
GetPreparedStatement	授予获取指定准备语句相关信息的权限。	读取	workgroup*
GetQueryExecution	授予获取指定查询执行相关信息的权限	读取	workgroup*
GetQueryExecutions	授予获取查询执行的权限。已淘汰。仅适用于使用 1.1.0 之前的 Athena JDBC 驱动程序的 Amazon 服务和主体。否则，请使用 ListQueryExecutions	读取
GetQueryResults	授予获取查询结果的权限	读取	workgroup*
GetQueryResultsStream	授予获取查询结果流的权限	读取	workgroup*
GetQueryRuntimeStatistics	授予权限以获取指定查询执行的运行时统计数据	读取	workgroup*
GetSession	授予权限以获取会话	读取	workgroup*
GetSessionStatus	授予权限以获取会话状态	读取	workgroup*
GetTable	授予启用对指定表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetTableMetadata	授予获取有关给定数据目录的表的元数据的权限	读取	datacatalog*
GetTables	授予启用对表的访问的权限。仅适用于使用 Athena JDBC 驱动程序版本 1.1.0 的 Amazon 服务托管策略和主体。	读取
GetWorkGroup	授予获取工作组的权限	读取	workgroup*
ImportNotebook	授予权限以导入笔记本	写入	workgroup*
ListApplicationDPUSizes	授予权限以返回 ApplicationRuntimeIds 的列表	列出
ListCalculationExecutions	授予权限以返回计算执行的列表	列出	workgroup*
ListCapacityReservations	授予返回指定 Amazon Web Services 账户的容量预留列表的权限	列出
ListDataCatalogs	授予返回所指定 Amazon Web Services 账户的数据目录列表的权限	列出
ListDatabases	授予返回给定数据目录的数据库列表的权限	列出	datacatalog*
ListEngineVersions	授予返回所指定 Amazon Web Services 账户的 Athena 引擎版本列表的权限	读取
ListExecutors	授予权限以返回执行程序的列表	列出
ListNamedQueries	授予返回 Amazon Athena 中所指定 Amazon Web Services 账户的命名查询列表的权限	列出	workgroup*
ListNotebookMetadata	授予权限以返回给定工作组的笔记本列表	列出	workgroup*
ListNotebookSessions	授予权限以返回给定笔记本的会话列表	列出	workgroup*
ListPreparedStatements	授予返回指定工作组的准备语句列表的权限。	列出	workgroup*
ListQueryExecutions	授予返回所指定 Amazon Web Services 账户的查询执行列表的权限	读取	workgroup*
ListSessions	授予权限以返回给定工作组的会话列表	列出	workgroup*
ListTableMetadata	授予返回给定数据目录的数据库中表元数据列表的权限	读取	datacatalog*
ListTagsForResource	授予返回资源标签列表的权限	读取	capacity-reservation*
			datacatalog*
			workgroup*
ListWorkGroups	授予返回所指定 Amazon Web Services 账户的工作组列表的权限	列出
PutCapacityAssignmentConfiguration	授予将容量预留中的容量分配给查询的权限	写入	capacity-reservation*
PutCapacityAssignmentConfiguration	授予将容量预留中的容量分配给查询的权限	写入	workgroup*
RunQuery	授予运行查询的权限。已淘汰。仅适用于使用 1.1.0 之前的 Athena JDBC 驱动程序的 Amazon 服务和主体。否则，请使用 StartQueryExecution	写入
StartCalculationExecution	授予权限以开始计算执行	写入	workgroup*
StartQueryExecution	授予使用作为字符串提供的 SQL 查询启动查询执行的权限	写入	workgroup*
StartSession	授予权限以开启会话	写入	workgroup*
StopCalculationExecution	授予权限以停止计算执行	写入	workgroup*
StopQueryExecution	授予停止指定查询执行的权限	写入	workgroup*
TagResource	授予权限以将标签添加到资源	标记	capacity-reservation*
			datacatalog*
			workgroup*
				aws:RequestTag/${TagKey} aws:TagKeys
TerminateSession	授予权限以终止会话	写入	workgroup*
UntagResource	授予权限以从资源中删除标签	标记	capacity-reservation*
			datacatalog*
			workgroup*
				aws:TagKeys
UpdateCapacityReservation	授予权限以更新容量预留	写入	capacity-reservation*
UpdateDataCatalog	授予更新数据目录的权限	写入	datacatalog*
UpdateNamedQuery	授予更新指定命名查询的权限	写入	workgroup*
UpdateNotebook	授予权限以更新笔记本	写入	workgroup*
UpdateNotebookMetadata	授予权限以更新笔记本元数据	写入	workgroup*
UpdatePreparedStatement	授予更新准备语句的权限。	写入	workgroup*
UpdateWorkGroup	授予更新工作组的权限	写入	workgroup*

Amazon Athena 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
datacatalog	`arn:${Partition}:athena:${Region}:${Account}:datacatalog/${DataCatalogName}`	aws:ResourceTag/${TagKey}
workgroup	`arn:${Partition}:athena:${Region}:${Account}:workgroup/${WorkGroupName}`	aws:ResourceTag/${TagKey}
capacity-reservation	`arn:${Partition}:athena:${Region}:${Account}:capacity-reservation/${CapacityReservationName}`	aws:ResourceTag/${TagKey}

Amazon Athena 的条件键

Amazon Athena 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中是否具有标签键值对来筛选访问权限	String
aws:ResourceTag/${TagKey}	按附加到资源的标签键值对筛选访问权限	String
aws:TagKeys	根据在请求中是否具有标签键来筛选访问	字符串数组

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon AppSync

Amazon Backup