本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
为 Amazon Snowball 使用基于身份的策略(IAM 策略)
本主题提供基于身份的策略的示例,这些示例演示了账户管理员如何向 IAM 身份 (即,用户、组和角色) 附加权限策略。这些策略进而授予权限,以便对Amazon Snowball中的资源Amazon Web Services 云.
我们建议您首先阅读以下介绍性主题,这些主题讲解了管理 Amazon Snowball 资源访问的基本概念和选项。有关更多信息,请参阅 中的资源访问权限管理概述Amazon Web Services 云。
本主题的各个部分涵盖以下内容:
下面介绍权限策略示例。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "snowball:*", "importexport:*" ], "Resource": "*" } ] }
该策略包含两条语句:
-
第一条语句授予三项 Amazon S3 操作的权限 (
s3:GetBucketLocation
、s3:GetObject
, 和s3:ListBucket
) 在所有 Amazon S3 存储桶上使用Amazon 资源名称 (ARN)的arn:aws:s3:::*
. ARN 会指定通配符 (*),以便用户可以选择从任意或全部 Amazon S3 存储桶导出数据。 -
第二个语句授予执行全部 Amazon Snowball 操作的权限。由于这些操作不支持资源级权限,该策略采用了通配符 (*),且
Resource
值也采用了通配符。
该策略不指定 Principal
元素,因为在基于身份的策略中,您未指定获取权限的委托人。附加了策略的用户是隐式委托人。向 IAM 角色附加权限策略后,该角色的信任策略中标识的委托人将获取权限。
有关显示所有 Amazon Snowball 任务管理 API 操作及其适用资源的表,请参阅 Amazon SnowballAPI 权限:操作、资源和条件参考。
使用 Amazon Snowball 控制台所需要的权限
权限参考表列出了 Amazon Snowball 任务管理 API 操作,并显示了执行每个操作所需的权限。有关任务管理 API 操作的更多信息,请参阅 Amazon SnowballAPI 权限:操作、资源和条件参考。
要使用 Amazon Snow 系列管理控制台,您需要授予执行其他操作的权限,如以下权限策略所示:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetBucketPolicy", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListAllMyBuckets" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:CreateBucket", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "lambda:GetFunction", "lambda:GetFunctionConfiguration" ], "Resource": "arn:aws:lambda:::function:*" }, { "Effect": "Allow", "Action": [ "lambda:ListFunctions" ], "Resource": "arn:aws:lambda:::*" }, { "Effect": "Allow", "Action": [ "iam:AttachRolePolicy", "iam:CreatePolicy", "iam:CreateRole", "iam:ListRoles", "iam:ListRolePolicies", "iam:PutRolePolicy" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "importexport.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "ec2:DescribeImages", "ec2:ModifyImageAttribute", ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:ListTopics", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:ListSubscriptionsByTopic", "sns:Subscribe" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:getServiceRoleForAccount" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "snowball:*" ], "Resource": [ "*" ] } ] }
Amazon Snowball 控制台出于以下原因需要上述其他权限:
-
ec2:
— 这些权限可让用户描述 Amazon EC2 实例并修改其属性以用于本地计算目的。有关更多信息,请参阅 使用 Amazon EC2 计算实例。 -
lambda:
— 这些权限可让用户选择将 Lambda 函数用于本地计算。有关更多信息,请参阅 将 Amazon Lambda 与 Amazon Snowball Edge 配合使用。 -
iam:
— 这些权限允许用户创建或选择一个 IAM 角色 ARN,用于Amazon Snowball将假设访问Amazon与创造和处理就业相关的资源。 -
sns:
— 这些权限可让用户创建或选择 Amazon SNS 通知来创建或选择其创建的任务。有关更多信息,请参阅 Amazon Snowball Edge 的通知。
Amazon适用于 的 托管 (预定义) 策略Amazon Snowball边缘
Amazon通过提供由创建和管理的独立 IAM 策略来满足许多常用案例的要求。Amazon托管式策略可授予常用案例的必要权限,因此,您可以免去调查都需要哪些权限的工作。有关更多信息,请参阅 IAM 用户指南中的Amazon托管策略。
您可以使用以下命令Amazon-托管策略Amazon Snowball.
为 Snowball Edge 创建 IAM 角色策略
创建的 IAM 角色策略必须拥有对 Amazon S3 存储桶的读写权限。IAM 角色还必须与 Snowball 有信任关系。有信任关系意味着Amazon可以在 Snowball 和 Amazon S3 存储桶中写入数据,具体取决于您是导入数据还是导出数据。
当你在Amazon Snow 系列管理控制台,在中的步骤 4 中创建所需的 IAM 角色许可部分。此过程是自动的。您允许 Snowball 代入的 IAM 角色仅用于在带有所传输数据的 Snowball 抵达时将您的数据写入到存储桶。Amazon. 此流程包括下列步骤。
为导入任务创建 IAM 角色
-
登录到Amazon Web Services Management Console然后打开Amazon Snowball控制台在https://console.aws.amazon.com/importexport/
. -
请选择 Create job (创建任务)。
-
在第一步中,填写 Amazon S3 导入任务的详细信息,然后选择。下一步.
-
在第二步中,在 Permission 下选择 Create/Select IAM Role。
IAM 管理控制台打开,显示 IAM 角色Amazon用于将对象复制到您指定的 Amazon S3 存储桶。
-
检查此页上的详细信息,然后选择允许。
您将返回到 Amazon Snow 系列管理控制台,其中 Selected IAM role ARN (选择的 IAM 角色 ARN) 包含您刚刚创建的 IAM 角色的 Amazon 资源名称 (ARN)。
-
选择下一步完成 IAM 角色的创建。
上述过程创建了一个对您计划将数据导入到的 Amazon S3 存储桶拥有写权限的 IAM 角色。创建的 IAM 角色具有以下结构之一,具体取决于它是用于导入任务还是用于导出任务。
用于导入任务的 IAM 角色
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:ListBucketMultipartUploads" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:GetBucketPolicy", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl" ], "Resource": "arn:aws:s3:::*" } ] }
如果您使用服务器端加密Amazon KMS— 托管密钥 (SSE-KMS) 对与您的导入任务关联的 Amazon S3 存储桶进行加密,您还需要将以下语句添加到您的 IAM 角色。
{ "Effect": "Allow", "Action": [ "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:us-west-2:
123456789012:key/abc123a1-abcd-1234-efgh-111111111111
" }
如果对象大小较大,则用于执行导入过程的 Amazon S3 客户端会使用分段上传。如果启动使用 SSE-KMS 的分段上传,则系统会使用指定的 Amazon KMS 密钥对所有已上传部分进行加密。由于上传的各部分内容已加密,因此必须先对其进行解密,然后才能组合起来完成分段上传。因此,您必须具有解密Amazon KMS键 (kms:Decrypt
) 当您通过 SSE-KMS 运行到 Amazon S3 的分段上传时。
以下是需要 kms:Decrypt
权限的导入作业所需的 IAM 角色示例。
{ "Effect": "Allow", "Action": [ "kms:GenerateDataKey","kms:Decrypt" ], "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111" }
以下是导出作业所需的 IAM 角色示例。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetBucketPolicy", "s3:GetObject", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" } ] }
如果您使用服务器端加密Amazon KMS— 托管密钥用于加密与您的导出任务关联的 Amazon S3 存储桶进行加密,您还需要将以下语句添加到您的 IAM 角色。
{ "Effect": "Allow", "Action": [ “kms:Decrypt” ], "Resource": "arn:aws:kms:us-west-2:
123456789012:key/abc123a1-abcd-1234-efgh-111111111111
" }
您可以创建自己的自定义 IAM 策略,以授予执行 API 操作的相关权限。Amazon Snowball作业管理。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。