View a markdown version of this page

Voraussetzungen für die Einrichtung von Amazon Neptune mit AWS CloudFormation - Amazon Neptune
Amazon-EC2-SchlüsselpaarBerechtigungen hinzufügen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Voraussetzungen für die Einrichtung von Amazon Neptune mit AWS CloudFormation

Bevor Sie einen Amazon Neptune-Cluster mithilfe einer CloudFormation Vorlage erstellen, benötigen Sie Folgendes:

  • Ein Amazon-EC2-Schlüsselpaar.

  • Die für die Verwendung erforderlichen Berechtigungen. CloudFormation

Erstellen Sie ein Amazon EC2-Schlüsselpaar zum Starten eines Neptune-Clusters mit CloudFormation

Um einen Neptune-DB-Cluster mithilfe einer CloudFormation Vorlage zu starten, muss ein Amazon EC2-Schlüsselpaar (und die zugehörige PEM-Datei) in der Region verfügbar sein, in der Sie den Stack erstellen. CloudFormation

Wenn Sie das Schlüsselpaar erstellen müssen, finden Sie Anweisungen entweder unter Erstellen eines Schlüsselpaars mit Amazon EC2 im Amazon EC2-Benutzerhandbuch oder unter Erstellen eines Schlüsselpaars mit Amazon EC2 im Amazon EC2-Benutzerhandbuch.

Fügen Sie IAM-Richtlinien hinzu, um die für die Verwendung von erforderlichen Berechtigungen zu gewähren CloudFormation Vorlage

Zunächst müssen Sie einen IAM-Benutzer mit den für die Arbeit mit Neptune erforderlichen Berechtigungen einrichten, wie unter Erstellen eines IAM-Benutzers mit Berechtigungen für Neptunebeschrieben.

Dann müssen Sie die AWS verwaltete Richtlinie zu AWSCloudFormationReadOnlyAccess diesem Benutzer hinzufügen.

Schließlich müssen Sie die folgende, vom Kunden verwaltete Richtlinie erstellen und sie diesem Benutzer hinzufügen:

Wichtig

Sie müssen diese als vom Kunden verwaltete Richtlinie erstellen, nicht als integrierte Richtlinie. Die Gesamtgröße aller Inline-Richtlinien für einen IAM-Benutzer darf 2.048 Zeichen ohne Leerzeichen nicht überschreiten, und diese Richtlinie überschreitet diesen Grenzwert. Weitere Informationen finden Sie unter IAM- und STS-Zeichenbeschränkungen im IAM-Benutzerhandbuch.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::111122223333:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "rds.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/rds.amazonaws.com/AWSServiceRoleForRDS",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "rds.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:ListTopics",
                "sns:ListSubscriptions",
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:*:111122223333:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:ListRetirableGrants",
                "kms:ListKeys",
                "kms:ListAliases",
                "kms:ListKeyPolicies"
            ],
            "Resource": "arn:aws:kms:*:111122223333:key/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics"
            ],
            "Resource": "arn:aws:cloudwatch:*:111122223333:service/*-*",
            "Condition": {
                "StringLike": {
                    "cloudwatch:namespace": "AWS/Neptune"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeVpcs",
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcAttribute"
            ],
            "Resource": [
                "arn:aws:ec2:*:111122223333:vpc/*",
                "arn:aws:ec2:*:111122223333:subnet/*",
                "arn:aws:ec2:*:111122223333:security-group/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rds:CreateDBCluster",
                "rds:CreateDBInstance",
                "rds:AddTagsToResource",
                "rds:ListTagsForResource",
                "rds:RemoveTagsFromResource",
                "rds:RemoveRoleFromDBCluster",
                "rds:ResetDBParameterGroup",
                "rds:CreateDBSubnetGroup",
                "rds:ModifyDBParameterGroup",
                "rds:DownloadDBLogFilePortion",
                "rds:CopyDBParameterGroup",
                "rds:AddRoleToDBCluster",
                "rds:ModifyDBInstance",
                "rds:ModifyDBClusterParameterGroup",
                "rds:ModifyDBClusterSnapshotAttribute",
                "rds:DeleteDBInstance",
                "rds:CopyDBClusterParameterGroup",
                "rds:CreateDBParameterGroup",
                "rds:DescribeDBSecurityGroups",
                "rds:DeleteDBSubnetGroup",
                "rds:DescribeValidDBInstanceModifications",
                "rds:ModifyDBCluster",
                "rds:CreateDBClusterSnapshot",
                "rds:DeleteDBParameterGroup",
                "rds:CreateDBClusterParameterGroup",
                "rds:RemoveTagsFromResource",
                "rds:PromoteReadReplicaDBCluster",
                "rds:RestoreDBClusterFromSnapshot",
                "rds:DescribeDBSubnetGroups",
                "rds:DescribePendingMaintenanceActions",
                "rds:DescribeDBParameterGroups",
                "rds:FailoverDBCluster",
                "rds:DescribeDBInstances",
                "rds:DescribeDBParameters",
                "rds:DeleteDBCluster",
                "rds:ResetDBClusterParameterGroup",
                "rds:RestoreDBClusterToPointInTime",
                "rds:DescribeDBClusterSnapshotAttributes",
                "rds:AddTagsToResource",
                "rds:DescribeDBClusterParameters",
                "rds:CopyDBClusterSnapshot",
                "rds:DescribeDBLogFiles",
                "rds:DeleteDBClusterSnapshot",
                "rds:ListTagsForResource",
                "rds:RebootDBInstance",
                "rds:DescribeDBClusterSnapshots",
                "rds:DeleteDBClusterParameterGroup",
                "rds:ApplyPendingMaintenanceAction",
                "rds:DescribeDBClusters",
                "rds:DescribeDBClusterParameterGroups",
                "rds:ModifyDBSubnetGroup"
            ],
            "Resource": [
                "arn:aws:rds:*:111122223333:cluster-snapshot:*",
                "arn:aws:rds:*:111122223333:cluster:*",
                "arn:aws:rds:*:111122223333:pg:*",
                "arn:aws:rds:*:111122223333:cluster-pg:*",
                "arn:aws:rds:*:111122223333:secgrp:*",
                "arn:aws:rds:*:111122223333:db:*",
                "arn:aws:rds:*:111122223333:subgrp:*"
            ],
            "Condition": {
                "StringEquals": {
                    "rds:DatabaseEngine": [
                        "graphdb",
                        "neptune"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:GetLogEvents",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
                "arn:aws:logs:*:111122223333:log-group:*:log-stream:*",
                "arn:aws:logs:*:111122223333:log-group:*"
            ]
        }
    ]
}
Anmerkung

Die folgenden Berechtigungen sind nur erforderlich, um einen Stack zu löschen: iam:DeleteRole, iam:RemoveRoleFromInstanceProfile, iam:DeleteRolePolicy, iam:DeleteInstanceProfile und ec2:DeleteVpcEndpoints.

Beachten Sie auch, dass ec2:*Vpc ec2:DeleteVpc-Berechtigungen erteilt.