Amazon Storage Gateway 的操作、资源和条件键 - 服务授权参考
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon Storage Gateway 的操作、资源和条件键

Amazon Storage Gateway(服务前缀:storagegateway)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考:

Amazon Storage Gateway 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource 元素中指定所有资源(“*”)。如果该列包含一种资源类型,则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限 ARN,则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种类型而不使用其他类型。

有关下表中各列的详细信息,请参阅 操作表

操作 描述 访问级别 资源类型(* 为必需) 条件键 相关操作
ActivateGateway 授予以下权限:激活您之前在主机上部署的网关 写入

aws:RequestTag/${TagKey}

aws:TagKeys

AddCache 授予以下权限:将一个或多个网关本地磁盘配置为缓存卷网关的缓存 写入

gateway*

AddTagsToResource 授予将一个或多个标签添加到指定资源的权限 标记

gateway

share

tape

volume

aws:RequestTag/${TagKey}

aws:TagKeys

AddUploadBuffer 授予以下权限:将一个或多个网关本地磁盘配置为指定网关的上传缓冲区 写入

gateway*

AddWorkingStorage 授予以下权限:将一个或多个网关本地磁盘配置为网关的工作存储 写入

gateway*

AssignTapePool 授予以下权限:将磁带移动到指定的目标池 写入

tape*

tapepool*

AssociateFileSystem 授予权限以将 Amazon FSx 文件系统与 Amazon FSx 文件网关关联 写入

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

AttachVolume 授予以下权限:将卷连接到 iSCSI 连接,然后将卷附加到指定的网关 写入

gateway*

volume*

BypassGovernanceRetention 授予以下权限:允许绕过池上的监管保留锁定 写入

tapepool*

CancelArchival 授予权限:取消已经启动的将虚拟磁带存档到虚拟磁带架 (VTS) 的过程 写入

gateway*

tape*

CancelRetrieval 授予以下权限:取消已经启动的从虚拟磁带架 (VTS) 到网关检索虚拟磁带的过程 写入

gateway*

tape*

CreateCachediSCSIVolume 授予以下权限:在指定缓存网关上创建缓存卷只有网关缓存卷架构才支持此操作 写入

gateway*

volume*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateNFSFileShare 授予以下权限:在现有文件网关上创建 NFS 文件共享 写入

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSMBFileShare 授予以下权限:在现有文件网关上创建 SMB 文件共享 写入

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSnapshot 授予以下权限:开始创建卷快照 写入

volume*

CreateSnapshotFromVolumeRecoveryPoint 授予以下权限:从卷恢复点开始创建网关快照 写入

volume*

CreateStorediSCSIVolume 授予以下权限:在指定网关上创建卷 写入

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapePool 授予以下权限:创建磁带池 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapeWithBarcode 授予以下权限:使用您自己的条形码创建虚拟磁带 写入

gateway*

tapepool*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapes 授予以下权限:创建一个或多个虚拟磁带。您将数据写入虚拟磁带,然后将其存档 写入

gateway*

tapepool*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAutomaticTapeCreationPolicy 授予以下权限:删除在网关 VTL 上配置的自动磁带创建策略 写入

gateway*

DeleteBandwidthRateLimit 授予以下权限:删除网关的带宽速率限制 写入

gateway*

DeleteChapCredentials 授予以下权限:删除指定的 iSCSI 目标及其配套启动程序的质询握手身份验证协议 (CHAP) 凭证 写入

target*

DeleteFileShare 授予以下权限:从文件网关删除文件共享 写入

share*

DeleteGateway 授予权限以删除网关 写入

gateway*

DeleteSnapshotSchedule 授予以下权限:删除卷快照 写入

volume*

DeleteTape 授予以下权限:删除指定虚拟磁带 写入

gateway*

tape*

DeleteTapeArchive 授予以下权限:从虚拟磁带架 (VTS) 中删除指定虚拟磁带 写入
DeleteTapePool 授予以下权限:删除指定磁带池 写入

tapepool*

DeleteVolume 授予以下权限:删除您之前使用 CreateCachediSCSIVolume 或 CreateStorediSCSIVolume API 创建的指定网关卷 写入

volume*

DescribeAvailabilityMonitorTest 授予以下权限:获取在网关上执行的最新高可用性监控测试的相关信息 Read

gateway*

DescribeBandwidthRateLimit 授予以下权限:获取网关的带宽速率限制 Read

gateway*

DescribeBandwidthRateLimitSchedule 授予以下权限:获取网关的带宽速率限制计划 Read

gateway*

DescribeCache 授予以下权限:获取网关的缓存信息。只有网关缓存卷架构才支持此操作 Read

gateway*

DescribeCachediSCSIVolumes 授予以下权限:获取请求中指定网关卷的描述。只有网关缓存卷架构才支持此操作 Read

volume*

DescribeChapCredentials 授予以下权限:获取指定 iSCSI 目标的质询握手身份验证协议 (CHAP) 凭证信息,每对“目标–启动程序”一个 Read

target*

DescribeFileSystemAssociations 授予权限以获取一个或多个文件系统关联的描述 Read

fs-association*

DescribeGatewayInformation 授予以下权限:获取有关网关的元数据,如名称、网络接口、已配置的时区和状态(网关运行与否) Read

gateway*

DescribeMaintenanceStartTime 授予以下权限:获取网关的周度维护起始时间信息,包括一星期中的天和时间 Read

gateway*

DescribeNFSFileShares 授予以下权限:从文件网关获取一个或多个文件共享的描述 Read

share*

DescribeSMBFileShares 授予以下权限:从文件网关获取一个或多个文件共享的描述 Read

share*

DescribeSMBSettings 授予以下权限:从文件网关获取服务器消息块 (SMB) 文件共享设置的描述 Read

gateway*

DescribeSnapshotSchedule 授予以下权限:描述指定网关卷的快照计划 Read

volume*

DescribeStorediSCSIVolumes 授予以下权限:获取请求中指定网关卷的描述 Read

volume*

DescribeTapeArchives 授予以下权限:获取虚拟磁带架 (VTS) 中指定虚拟磁带的描述 Read
DescribeTapeRecoveryPoints 授予以下权限:获取指定网关 VTL 可用的虚拟磁带还原点的列表 Read

gateway*

DescribeTapes 授予以下权限:获取虚拟磁带的指定 Amazon 资源名称 (ARN) 的描述 Read

gateway*

DescribeUploadBuffer 授予以下权限:获取网关的上传缓冲区的相关信息 Read

gateway*

DescribeVTLDevices 授予以下权限:获取指定网关的虚拟磁带库 (VTL) 设备的描述 Read

gateway*

DescribeWorkingStorage 授予以下权限:获取网关的工作存储的相关信息 Read

gateway*

DetachVolume 授予以下权限:断开卷与 iSCSI 的连接,然后将卷从指定网关中分离 写入

volume*

DisableGateway 授予以下权限:在网关不再运行时禁用网关 写入

gateway*

DisassociateFileSystem 授予权限以取消 Amazon FSx 文件系统与 Amazon FSx 文件网关的关联 写入

fs-association*

JoinDomain 授予以下权限:允许您加入 Active Directory 域 写入

gateway*

ListAutomaticTapeCreationPolicies 授予以下权限:列出在指定网关 VTL 或您的账户拥有的所有网关 VTL 上配置的自动磁带创建策略 List

gateway*

ListFileShares 授予以下权限:获取指定文件网关的文件共享列表,或属于调用用户账户的文件共享列表 List

gateway*

ListFileSystemAssociations 授予权限以获取指定网关的文件系统关联列表 List

gateway*

ListGateways 授予以下权限:列出请求中指定区域中 AWS 账户拥有的网关。返回的列表按网关 Amazon 资源名称 (ARN) 排序 List
ListLocalDisks 授予以下权限:获取网关本地磁盘的列表 List

gateway*

ListTagsForResource 授予以下权限:获取已添加到指定资源的标签 List

gateway

share

tape

volume

ListTapePools 授予以下权限:列出 AWS 账户拥有的磁带池 List

tapepool*

ListTapes 授予以下权限:列出您的虚拟磁带库 (VTL) 和虚拟磁带架 (VTS) 中的虚拟磁带 List

tape*

ListVolumeInitiators 授予以下权限:列出与卷连接的 iSCSI 启动程序 List

volume*

ListVolumeRecoveryPoints 授予以下权限:列出指定网关的恢复点 List

gateway*

ListVolumes 授予以下权限:列出网关的 iSCSI 存储卷 List

gateway*

NotifyWhenUploaded 授予以下权限:当写入到 NFS 文件共享的所有文件均已上传到 Amazon S3 时,通过 CloudWatch Events 向您发送通知 写入

share*

RefreshCache 授予以下权限:刷新指定文件共享的缓存 写入

share*

RemoveTagsFromResource 授予从指定资源中删除一个或多个标签的权限 标记

gateway

share

tape

volume

aws:TagKeys

ResetCache 授予以下权限:重置所有遇到错误的缓存磁盘,并将它们设为可用状态,以便重新配置为缓存存储 写入

gateway*

RetrieveTapeArchive 授予以下权限:检索从虚拟磁带架 (VTS) 存档到网关 VTL 的虚拟磁带 写入

gateway*

tape*

RetrieveTapeRecoveryPoint 授予以下权限:检索指定虚拟磁带的恢复点 写入

gateway*

tape*

SetLocalConsolePassword 授予以下权限:为 VM 本地控制台设置密码 写入

gateway*

SetSMBGuestPassword 授予以下权限:为 SMB Guest 用户设置密码 写入

gateway*

ShutdownGateway 授予以下权限:关闭网关 写入

gateway*

StartAvailabilityMonitorTest 授予以下权限:启动测试,以验证是否已为主机环境中的高可用性监控配置指定网关 写入

gateway*

StartGateway 授予以下权限:启动您之前关闭的网关 写入

gateway*

UpdateAutomaticTapeCreationPolicy 授予以下权限:更新网关 VTL 上配置的自动磁带创建策略 写入

gateway*

tapepool*

UpdateBandwidthRateLimit 授予以下权限:更新网关的带宽速率限制 写入

gateway*

UpdateBandwidthRateLimitSchedule 授予以下权限:更新网关的带宽速率限制计划 写入

gateway*

UpdateChapCredentials 授予以下权限:更新指定 iSCSI 目标的质询握手身份验证协议 (CHAP) 凭证 写入

target*

UpdateFileSystemAssociation 授予权限以更新文件系统关联 写入

fs-association*

UpdateGatewayInformation 授予以下权限:更新网关的元数据,其中包括网关的名称和时区 写入

gateway*

UpdateGatewaySoftwareNow 授予以下权限:更新网关虚拟机 (VM) 软件 写入

gateway*

UpdateMaintenanceStartTime 授予以下权限:更新网关的周度维护起始时间信息,包括一星期中的天和时间。维护时间与网关时区中的时间一致 写入

gateway*

UpdateNFSFileShare 授予以下权限:更新 NFS 文件共享 写入

share*

UpdateSMBFileShare 授予以下权限:更新 SMB 文件共享 写入

share*

UpdateSMBFileShareVisibility 授予以下权限:更新网关上的共享是以网络视图显示,还是以浏览列表显示 写入

gateway*

UpdateSMBSecurityStrategy 授予以下权限:更新文件网关上的 SMB 安全策略 写入

gateway*

UpdateSnapshotSchedule 授予以下权限:更新针对网关卷配置的快照计划 写入

volume*

UpdateVTLDeviceType 授予以下权限:更新网关 VTL 中介质更换器的类型 写入

device*

Amazon Storage Gateway 定义的资源类型

以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅 资源类型表

资源类型 ARN 条件键
device arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/device/${Vtldevice}
fs-association arn:${Partition}:storagegateway:${Region}:${Account}:fs-association/${FsaId}

aws:ResourceTag/${TagKey}

gateway arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}

aws:ResourceTag/${TagKey}

share arn:${Partition}:storagegateway:${Region}:${Account}:share/${ShareId}

aws:ResourceTag/${TagKey}

tape arn:${Partition}:storagegateway:${Region}:${Account}:tape/${TapeBarcode}

aws:ResourceTag/${TagKey}

tapepool arn:${Partition}:storagegateway:${Region}:${Account}:tapepool/${PoolId}

aws:ResourceTag/${TagKey}

target arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/target/${IscsiTarget}
volume arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/volume/${VolumeId}

aws:ResourceTag/${TagKey}

Amazon Storage Gateway 的条件键

Amazon Storage Gateway 定义以下可以在 IAM 策略的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅 条件键表

要查看适用于所有服务的全局条件键,请参阅可用的全局条件键

条件键 描述 类型
aws:RequestTag/${TagKey} 根据每个标签的允许值集筛选访问 字符串
aws:ResourceTag/${TagKey} 根据与资源关联的标签值筛选访问 字符串
aws:TagKeys 根据请求中是否具有必需标签来筛选访问 字符串