Amazon Database Migration Service 的操作、资源和条件键
Amazon Database Migration Service(服务前缀:dms
)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。
参考:
主题
Amazon Database Migration Service 定义的操作
您可以在 IAM policy 语句的 Action
元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource
元素中指定策略应用的所有资源(“*”)。通过在 IAM policy 中使用条件来筛选访问权限,以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源,则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource
元素限制资源访问权限,则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种可选资源类型。
操作表的条件键列包括可以在策略语句的 Condition
元素中指定的键。有关与服务资源关联的条件键的更多信息,请参阅资源类型表的条件键列。
有关下表中各列的详细信息,请参阅操作表。
操作 | 描述 | 访问级别 | 资源类型(* 为必需) | 条件键 | 相关操作 |
---|---|---|---|---|---|
AddTagsToResource | 授予向 DMS 资源(包括复制实例、终端节点、安全组和迁移任务)添加元数据标签的权限 | Tagging | |||
ApplyPendingMaintenanceAction | 授予将待处理的维护操作应用于资源(例如,应用于复制实例)的权限 | Write | |||
AssociateExtensionPack | 授予权限以关联扩展包 | Write | |||
BatchStartRecommendations | 授予权限以开始分析最多 20 个源数据库,从而为每个源数据库推荐目标引擎 | Write | |||
CancelMetadataModelAssessment | 授予权限以取消单个元数据模型评估运行 | Write | |||
CancelMetadataModelConversion | 授予权限以取消单个元数据模型转换运行 | Write | |||
CancelMetadataModelExport | 授予权限以取消单个元数据模型导出运行 | Write | |||
CancelReplicationTaskAssessmentRun | 授予取消单个迁移前评估运行的权限 | Write | |||
CreateDataProvider | 授予权限以使用提供的设置创建数据提供程序 | Write | |||
CreateEndpoint | 授予使用提供的设置创建终端节点的权限 | Write | |||
CreateEventSubscription | 授予权限以创建 Amazon DMS 事件通知订阅 | Write | |||
CreateFleetAdvisorCollector | 授予使用指定参数创建 Fleet Advisor 收集器的权限 | Write | |||
CreateInstanceProfile | 授予权限以使用提供的设置创建实例配置文件 | Write | |||
CreateMigrationProject | 授予权限以使用提供的设置创建迁移项目 | Write | |||
CreateReplicationInstance | 授予使用指定参数创建复制实例的权限 | Write | |||
CreateReplicationSubnetGroup | 授予在 VPC 中的子网 ID 列表给定的情况下创建复制子网组的权限 | Write | |||
CreateReplicationTask | 授予使用指定参数创建复制任务的权限 | Write | |||
DeleteCertificate | 授予删除指定证书的权限 | Write | |||
DeleteConnection | 授予删除复制实例和终端节点之间的指定连接的权限 | Write | |||
DeleteDataProvider | 授予权限以删除指定的数据提供程序 | Write | |||
DeleteEndpoint | 授予删除指定终端节点的权限 | Write | |||
DeleteEventSubscription | 授予删除 Amazon DMS 事件订阅的权限 | Write | |||
DeleteFleetAdvisorCollector | 授予删除指定 Fleet Advisor 收集器的权限 | Write | |||
DeleteFleetAdvisorDatabases | 授予删除指定 Fleet Advisor 数据库的权限 | Write | |||
DeleteInstanceProfile | 授予权限以删除指定的实例配置文件 | Write | |||
DeleteMigrationProject | 授予权限以删除指定的迁移项目 | Write | |||
DeleteReplicationInstance | 授予删除指定复制实例的权限 | Write | |||
DeleteReplicationSubnetGroup | 授予删除子网组的权限 | Write | |||
DeleteReplicationTask | 授予删除指定复制任务的权限 | Write | |||
DeleteReplicationTaskAssessmentRun | 授予删除单个迁移前评估运行记录的权限 | Write | |||
DescribeAccountAttributes | 授予列出客户账户的所有 Amazon DMS 属性的权限 | Read | |||
DescribeApplicableIndividualAssessments | 授予列出可为新迁移前评估运行指定的单个评估的权限 | Read | |||
DescribeCertificates | 授予提供证书描述的权限 | Read | |||
DescribeConnections | 授予描述在复制实例与终端节点之间已建立的连接状态的权限 | Read | |||
DescribeEndpointSettings | 授予在为特定数据库引擎创建终端节点时返回可能的终端节点设置的权限 | Read | |||
DescribeEndpointTypes | 授予返回有关可用终端节点类型的信息的权限 | Read | |||
DescribeEndpoints | 授予返回有关当前区域账户终端节点信息的权限 | Read | |||
DescribeEventCategories | 授予列出所有事件源类型的类别(或如果指定,则列出指定源类型的类别)的权限 | Read | |||
DescribeEventSubscriptions | 授予列出客户账户的所有订阅描述的权限 | Read | |||
DescribeEvents | 授予列出给定源标识符和源类型事件的权限 | Read | |||
DescribeFleetAdvisorCollectors | 授予根据筛选条件设置返回账户中 Fleet Advisor 收集器分页列表的权限 | Read | |||
DescribeFleetAdvisorDatabases | 授予根据筛选条件设置返回账户中 Fleet Advisor 数据库分页列表的权限 | Read | |||
DescribeFleetAdvisorLsaAnalysis | 授予返回由 Fleet Advisor 收集器生成的大规模评估 (LSA) 分析描述的分页列表的权限 | Read | |||
DescribeFleetAdvisorSchemaObjectSummary | 授予返回 Fleet Advisor 收集器根据筛选条件设置发现的架构描述的分页列表的权限 | Read | |||
DescribeFleetAdvisorSchemas | 授予返回 Fleet Advisor 收集器根据筛选条件设置发现的架构分页列表的权限 | Read | |||
DescribeOrderableReplicationInstances | 授予返回有关可在指定区域内创建的复制实例类型信息的权限 | Read | |||
DescribePendingMaintenanceActions | 授予返回待处理维护操作相关信息的权限 | Read | |||
DescribeRecommendationLimitations | 授予权限以返回目标 Amazon 引擎推荐的限制说明的分页列表 | Read | |||
DescribeRecommendations | 授予权限以返回源数据库的目标引擎推荐说明的分页列表 | Read | |||
DescribeRefreshSchemasStatus | 授予返回 RefreshSchemas 操作状态的权限 | Read | |||
DescribeReplicationInstanceTaskLogs | 授予返回有关指定任务的任务日志信息的权限 | Read | |||
DescribeReplicationInstances | 授予返回有关当前区域中账户的复制实例信息的权限 | Read | |||
DescribeReplicationSubnetGroups | 授予返回有关复制子网组信息的权限 | Read | |||
DescribeReplicationTaskAssessmentResults | 授予从 Amazon S3 返回最新任务评估结果的权限 | Read | |||
DescribeReplicationTaskAssessmentRuns | 授予根据过滤器设置返回迁移前评估运行的分页列表的权限 | Read | |||
DescribeReplicationTaskIndividualAssessments | 授予根据筛选条件设置返回单个评估的分页列表的权限 | Read | |||
DescribeReplicationTasks | 授予返回有关您账户在当前区域的复制任务信息的权限 | Read | |||
DescribeSchemas | 授予返回有关指定终端节点的架构信息的权限 | Read | |||
DescribeTableStatistics | 授予返回有关数据库迁移任务的表统计数据(包括表名称、插入的行、更新的行和删除的行)的权限 | Read | |||
DisassociateExtensionPack | 授予权限以取消关联扩展包 | Write | |||
ExportMetadataModelAssessment | 授予权限以导出指定的元数据模型评估 | Write | |||
GetMetadataModel | 授予权限以列出元数据模型的 Amazon DMS 属性 | Read | |||
ImportCertificate | 授予上传指定证书的权限 | Write | |||
ListDataProviders | 授予权限以列出数据提供程序的 Amazon DMS 属性 | Read | |||
ListExtensionPacks | 授予权限以列出扩展包的 Amazon DMS 属性 | Read | |||
ListInstanceProfiles | 授予权限以列出实例配置文件的 Amazon DMS 属性 | Read | |||
ListMetadataModelAssessmentActionItems | 授予权限以列出元数据模型评估操作项目的 Amazon DMS 属性 | Read | |||
ListMetadataModelAssessments | 授予权限以列出元数据模型评估的 Amazon DMS 属性 | Read | |||
ListMetadataModelConversions | 授予权限以列出元数据模型转换的 Amazon DMS 属性 | Read | |||
ListMetadataModelExports | 授予权限以列出元数据模型导出的 Amazon DMS 属性 | Read | |||
ListMigrationProjects | 授予权限以列出迁移项目的 Amazon DMS 属性 | Read | |||
ListTagsForResource | 授予权限以列出 Amazon DMS 资源所有标签 | Read | |||
ModifyEndpoint | 授予权限以修改指定端点 | Write | |||
ModifyEventSubscription | 授予权限以修改现有 Amazon DMS 事件通知订阅 | Write | |||
ModifyFleetAdvisorCollector [仅权限] | 授予修改指定 Fleet Advisor 收集器的名称和描述的权限 | Write | |||
ModifyFleetAdvisorCollectorStatuses [仅权限] | 授予修改指定 Fleet Advisor 收集器状态的权限 | Write | |||
ModifyReplicationInstance | 授予修改复制实例以应用新设置的权限 | Write | |||
ModifyReplicationSubnetGroup | 授予修改指定复制子网组设置的权限 | Write | |||
ModifyReplicationTask | 授予修改指定复制任务的权限 | Write | |||
MoveReplicationTask | 授予将指定复制任务移动到其他复制实例的权限 | Write | |||
RebootReplicationInstance | 授予重启复制实例的权限。重启将导致暂时中断,直到复制实例再次变为可用 | Write | |||
RefreshSchemas | 授予为指定终端节点填充架构的权限 | Write | |||
ReloadTables | 授予使用源数据重新加载目标数据库表的权限 | Write | |||
RemoveTagsFromResource | 授予从 DMS 资源中删除元数据标签的权限 | Tagging | |||
RunFleetAdvisorLsaAnalysis | 授予对账户中的每个 Fleet Advisor 收集器进行大规模评估 (LSA) 分析的权限 | Write | |||
StartMetadataModelAssessment | 授予权限以启动元数据模型的新评估 | Write | |||
StartMetadataModelConversion | 授予权限以启动元数据模型的新转换 | Write | |||
StartMetadataModelExportAsScripts | 授予权限以将元数据模型的新导出作为脚本启动 | Write | |||
StartMetadataModelExportToTarget | 授予权限以将元数据模型的新导出启动到目标 | Write | |||
StartMetadataModelImport | 授予权限以启动元数据模型的新导入 | Write | |||
StartRecommendations | 授予权限以启动对源数据库的分析,从而提供目标引擎的建议 | Write | |||
StartReplicationTask | 授予启动复制任务的权限 | Write | |||
StartReplicationTaskAssessment | 授予为源数据库中的不支持的数据类型启动复制任务评估的权限 | Write | |||
StartReplicationTaskAssessmentRun | 授予为迁移任务的一个或多个单独评估启动新的迁移前评估运行的权限 | Write | |||
StopReplicationTask | 授予停止复制任务的权限 | Write | |||
TestConnection | 授予测试复制实例和终端节点之间连接的权限 | Read | |||
UpdateConversionConfiguration | 授予权限以更新转换配置 | Write | |||
UpdateDataProvider | 授予权限以更新指定的数据提供程序 | Write | |||
UpdateInstanceProfile | 授予权限以更新指定的实例配置文件 | Write | |||
UpdateMigrationProject | 授予权限以更新指定的迁移项目 | Write | |||
UpdateSubscriptionsToEventBridge | 授予将 DMS 订阅迁移到 Eventbridge 的权限 | Write | |||
UploadFileMetadataList [仅权限] | 授予将文件上传到 Amazon S3 桶的权限 | Write |
Amazon Database Migration Service 定义的资源类型
以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource
元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息,请参阅资源类型表。
资源类型 | ARN | 条件键 |
---|---|---|
Certificate |
arn:${Partition}:dms:${Region}:${Account}:cert:*
|
|
DataProvider |
arn:${Partition}:dms:${Region}:${Account}:data-provider:*
|
|
Endpoint |
arn:${Partition}:dms:${Region}:${Account}:endpoint:*
|
|
EventSubscription |
arn:${Partition}:dms:${Region}:${Account}:es:*
|
|
InstanceProfile |
arn:${Partition}:dms:${Region}:${Account}:instance-profile:*
|
|
MigrationProject |
arn:${Partition}:dms:${Region}:${Account}:migration-project:*
|
|
ReplicationInstance |
arn:${Partition}:dms:${Region}:${Account}:rep:*
|
|
ReplicationSubnetGroup |
arn:${Partition}:dms:${Region}:${Account}:subgrp:*
|
|
ReplicationTask |
arn:${Partition}:dms:${Region}:${Account}:task:*
|
|
ReplicationTaskAssessmentRun |
arn:${Partition}:dms:${Region}:${Account}:assessment-run:*
|
|
ReplicationTaskIndividualAssessment |
arn:${Partition}:dms:${Region}:${Account}:individual-assessment:*
|
Amazon Database Migration Service 的条件键
Amazon Database Migration Service 定义以下可以在 IAM policy 的 Condition
元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅条件键表。
要查看适用于所有服务的全局条件键,请参阅可用的全局条件键。
条件键 | 描述 | 类型 |
---|---|---|
aws:RequestTag/${TagKey} | 根据在请求中是否具有标签键值对来筛选访问权限 | 字符串 |
aws:ResourceTag/${TagKey} | 按是否存在附加到资源的标签键值对筛选访问权限 | 字符串 |
aws:TagKeys | 根据在请求中是否具有标签键来筛选访问 | 字符串数组 |
dms:cert-tag/${TagKey} | 根据在 Certificate 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:dp-tag/${TagKey} | 根据在 DataProvider 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:endpoint-tag/${TagKey} | 根据在 Endpoint 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:es-tag/${TagKey} | 根据在 EventSubscription 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:ip-tag/${TagKey} | 根据在 InstanceProfile 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:mp-tag/${TagKey} | 根据在 MigrationProject 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:rep-tag/${TagKey} | 根据在 ReplicationInstance 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:req-tag/${TagKey} | 根据在给定请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:subgrp-tag/${TagKey} | 根据在 ReplicationSubnetGroup 请求中是否具有标签键值对来筛选访问权限 | 字符串 |
dms:task-tag/${TagKey} | 根据在 ReplicationTask 请求中是否具有标签键值对来筛选访问权限 | 字符串 |