Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在本地使用 IAM

Amazon Identity and Access Management (IAM) 可帮助您安全地控制对 Amazon Snowball Edge 设备上运行的 Amazon 资源的访问权限。可以使用 IAM 来控制谁通过了身份验证（准许登录）并获得授权（具有z权限）来使用资源。

您的设备本地支持 IAM。您可以使用本地 IAM 服务创建新用户并将 IAM policy 附加于这些用户。您可以使用这些策略以允许执行分配的任务所需的访问权限。例如，您可以为用户提供传输数据的能力，但限制其创建新的与 Amazon EC2 兼容的实例的能力。

此外，您还可以在设备上使用 Amazon Security Token Service (Amazon STS) 创建基于会话的本地凭证。有关 IAM 服务的更多信息，请参阅《IAM 用户指南》中的开始使用。

您设备的根凭证无法禁用，也不能使用账户中的策略明确拒绝 Amazon Web Services 账户 根用户的访问权限。我们建议您保护您的根用户访问密钥，并创建 IAM 用户凭证，以便与设备进行日常交互。

在 Snowball Edge 上使用 Amazon CLI 和 API 操作

使用 Amazon CLI 或 API 操作在 Snowball Edge 上发出 IAM Amazon STS、、Amazon S3 和 Amazon EC2 命令时，必须将指定region为 “。” snow 您可以使用命令本身aws configure或在命令本身内执行此操作，如以下示例所示。

aws configure --profile abc
Amazon Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
Amazon Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Or

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Snowball E Amazon CLI dge 上支持的 IAM 命令列表

以下是 Snowball Edge 设备上支持的 IAM Amazon CLI 命令和选项子集的描述。如果某个命令或选项未在下方列出，则表明它不受支持。描述中注明了不支持的命令参数。

支持的 IAM API 操作

下面是可以与 Snowball Edge 一起使用的 IAM API 操作，以及 IAM API 参考中指向这些操作的描述的链接。

支持的 IAM 策略版本和语法

以下是 IAM 策略的本地 IAM 支持版本 2012-10-17 和策略语法的子集。

IAM 策略示例

以下是授予对 Snowball Edge 设备的权限的策略示例。

示例 1：允许通过 IAM API GetUser 调用示例用户

使用以下策略允许通过 IAM API GetUser 调用示例用户。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

示例 2：允许对 Amazon S3 API 进行完全访问

使用以下策略允许对 Amazon S3 API 进行完全访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

示例 3：允许对特定的 Amazon S3 存储桶进行读写访问

使用以下策略允许对特定存储桶进行读取和写入访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

示例 4：仅允许对特定的 Amazon S3 存储桶进行列出、获取和放置访问

使用以下策略允许对特定的 S3 存储桶进行列出、获取和放置访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::examplebucket/*"
        }
    ]
}

示例 5：允许对 Amazon EC2 API 进行完全访问

使用以下策略允许对 Amazon EC2 进行完全访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

示例 6：允许启动和停止与 Amazon EC2 兼容的实例的访问权限

使用以下策略允许启动和停止 Amazon EC2 实例的访问权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

示例 7：拒绝呼叫 DescribeLaunchTemplates 但允许所有呼叫 DescribeImages

使用以下策略拒绝调用 DescribeLaunchTemplates，但允许所有对 DescribeImages 的调用。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

示例 8：API 调用的策略

列出您的 Snow 设备上可用的所有托管策略，包括您自己的客户定义的托管策略。更多详细信息，请参见 list-policies。

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy 示例

信任策略会返回一组临时安全证书，您可以使用这些证书来访问通常可能无法访问的 Amazon 资源。这些临时凭证由访问密钥 ID、秘密访问密钥和安全令牌组成。通常，您在账户中使用 AssumeRole 进行跨账户访问。

以下是信任策略的示例。有关信任策略的更多信息，请参阅 Amazon Security Token Service API 参考AssumeRole中的。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}