Exportberechtigungen für Journale in QLDB - Amazon Quantum Ledger-Datenbank (AmazonQLDB)
Erstellen einer BerechtigungsrichtlinieErstellen Sie eine IAM-Rolle

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Exportberechtigungen für Journale in QLDB

Wichtig

Hinweis zum Ende des Supports: Bestandskunden können Amazon QLDB bis zum Ende des Supports am 31.07.2025 nutzen. Weitere Informationen finden Sie unter Migrieren eines Amazon QLDB Ledgers zu Amazon Aurora SQL Postgre.

Bevor Sie eine Journalexportanfrage in Amazon einreichenQLDB, müssen Sie Schreibberechtigungen für Ihren angegebenen Amazon S3 S3-Bucket bereitstellenQLDB. Wenn Sie einen Kunden auswählen, der AWS KMS key als Objektverschlüsselungstyp für Ihren Amazon S3 S3-Bucket verwaltet wird, müssen Sie auch Berechtigungen zur Verwendung Ihres angegebenen symmetrischen Verschlüsselungsschlüssels bereitstellenQLDB. Amazon S3 unterstützt keine asymmetrischen KMS Schlüssel.

Um Ihrem Exportauftrag die erforderlichen Berechtigungen zu erteilen, können Sie eine IAM Servicerolle mit den entsprechenden Berechtigungsrichtlinien QLDB annehmen. Eine Servicerolle ist eine IAMRolle, die ein Dienst übernimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM Administrator kann eine Servicerolle von innen heraus erstellen, ändern und löschenIAM. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Erstellen einer Rolle zum Delegieren von Berechtigungen AWS -Service an eine.

Anmerkung

Um QLDB bei der Anforderung eines Journalexports eine Rolle zu übergeben, müssen Sie über die erforderlichen Berechtigungen verfügen, um die iam:PassRole Aktion für die IAM Rollenressource auszuführen. Dies gilt zusätzlich zu den qldb:ExportJournalToS3 Berechtigungen für die QLDB Ledger-Ressource.

Informationen zur Steuerung des Zugriffs auf QLDB Using finden Sie IAM unterSo QLDB arbeitet Amazon mit IAM. Ein Beispiel für eine QLDB Richtlinie finden Sie unterBeispiele für identitätsbasierte Richtlinien für Amazon QLDB.

In diesem Beispiel erstellen Sie eine Rolle, die es ermöglichtQLDB, in Ihrem Namen Objekte in einen Amazon S3 S3-Bucket zu schreiben. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Eine Rolle erstellen, um Berechtigungen AWS -Service an eine zu delegieren.

Wenn Sie ein QLDB Journal in Ihrem AWS-Konto zum ersten Mal exportieren, müssen Sie zunächst eine IAM Rolle mit den entsprechenden Richtlinien erstellen. Gehen Sie dazu wie folgt vor. Oder Sie können die QLDB Konsole verwenden, um die Rolle automatisch für Sie zu erstellen. Andernfalls können Sie eine Rolle auswählen, die Sie zuvor erstellt haben.

Erstellen einer Berechtigungsrichtlinie

Gehen Sie wie folgt vor, um eine Berechtigungsrichtlinie für einen QLDB Journalexportauftrag zu erstellen. Dieses Beispiel zeigt eine Amazon S3 S3-Bucket-Richtlinie, die QLDB Berechtigungen zum Schreiben von Objekten in den angegebenen Bucket gewährt. Falls zutreffend, zeigt das Beispiel auch eine Schlüsselrichtlinie, die die Verwendung Ihres symmetrischen KMS Verschlüsselungsschlüssels ermöglichtQLDB.

Weitere Informationen zu Amazon S3 S3-Bucket-Richtlinien finden Sie unter Verwenden von Bucket-Richtlinien und Benutzerrichtlinien im Amazon Simple Storage Service-Benutzerhandbuch. Weitere Informationen zu AWS KMS wichtigen Richtlinien finden Sie unter Verwenden von Schlüsselrichtlinien AWS KMS im AWS Key Management Service Entwicklerhandbuch.

Anmerkung

Ihr Amazon S3 S3-Bucket und Ihr KMS Schlüssel müssen sich beide in demselben AWS-Region QLDB Ledger befinden.

Um den JSON Richtlinien-Editor zum Erstellen einer Richtlinie zu verwenden

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie in der Navigationsleiste auf der linken Seite auf Policies (Richtlinien).

    Wenn Sie zum ersten Mal Policies (Richtlinien) auswählen, erscheint die Seite Welcome to Managed Policies (Willkommen bei verwalteten Richtlinien). Wählen Sie Get Started.

  3. Wählen Sie oben auf der Seite Create policy (Richtlinie erstellen) aus.

  4. Wählen Sie die Registerkarte JSON aus.

  5. Geben Sie ein JSON Richtliniendokument ein.

    • Wenn Sie einen vom Kunden verwalteten KMS Schlüssel für die Amazon S3 S3-Objektverschlüsselung verwenden, verwenden Sie das folgende Beispielrichtliniendokument. Um diese Richtlinie zu verwenden, ersetzen Sie DOC-EXAMPLE-BUCKET, us-east-1, 123456789012, und 1234abcd-12ab-34cd-56ef-1234567890ab im Beispiel mit Ihren eigenen Informationen.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QLDBJournalExportS3Permission",
            "Action": [
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        },
        {
            "Sid": "QLDBJournalExportKMSPermission",
            "Action": [ "kms:GenerateDataKey" ],
            "Effect": "Allow",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ]
}

    • Für andere Verschlüsselungstypen verwenden Sie das folgende Beispielrichtliniendokument. Um diese Richtlinie zu verwenden, ersetzen Sie DOC-EXAMPLE-BUCKET im Beispiel mit Ihrem eigenen Amazon S3 S3-Bucket-Namen.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QLDBJournalExportS3Permission",
            "Action": [
                "s3:PutObjectAcl",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
        }
    ]
}

  6. Wählen Sie Richtlinie prüfen.

    Anmerkung

    Sie können jederzeit zwischen dem Visual Editor und den JSONTabs wechseln. Wenn Sie jedoch Änderungen vornehmen oder auf der Registerkarte Visual Editor die Option Richtlinie überprüfen auswählen, wird Ihre Richtlinie IAM möglicherweise neu strukturiert, um sie für den visuellen Editor zu optimieren. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Umstrukturierung von Richtlinien.

  7. Geben Sie auf der Seite Review policy (Richtlinie überprüfen) unter Name einen Namen und unter Description (Beschreibung) eine optionale Beschreibung für die Richtlinie ein, die Sie erstellen. Überprüfen Sie unter Summary die Richtlinienzusammenfassung, um die Berechtigungen einzusehen, die von Ihrer Richtlinie gewährt werden. Wählen Sie dann Create policy aus, um Ihre Eingaben zu speichern.

Erstellen Sie eine IAM-Rolle

Nachdem Sie eine Berechtigungsrichtlinie für Ihren QLDB Journalexportauftrag erstellt haben, können Sie eine IAM Rolle erstellen und Ihre Richtlinie an diese Rolle anhängen.

Um die Servicerolle für QLDB (IAMKonsole) zu erstellen

  1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich der IAM Konsole Rollen und anschließend Rolle erstellen aus.

  3. Wählen Sie für Vertrauenswürdige Entität die Option AWS -Service aus.

  4. Wählen QLDBSie für Service oder Anwendungsfall die Option und wählen Sie dann den QLDBAnwendungsfall aus.

  5. Wählen Sie Weiter aus.

  6. Wählen Sie das Kästchen neben der Richtlinie aus, die Sie in den vorherigen Schritten erstellt haben.

  7. (Optional) Legen Sie eine Berechtigungsgrenze fest. Dies ist ein erweitertes Feature, das für Servicerollen verfügbar ist, aber nicht für servicegebundene Rollen.

    1. Öffnen Sie den Abschnitt Berechtigungsgrenze festlegen und wählen Sie dann Berechtigungsgrenze verwenden aus, um die maximalen Rollenberechtigungen zu steuern.

      IAMenthält eine Liste der AWS verwalteten und von Kunden verwalteten Richtlinien in Ihrem Konto.

    2. Wählen Sie die Richtlinie aus, die für eine Berechtigungsgrenze verwendet werden soll.

  8. Wählen Sie Weiter aus.

  9. Geben Sie einen Rollennamen oder ein Rollennamensuffix ein, damit Sie den Zweck der Rolle leichter erkennen können.

    Wichtig

    Beachten Sie beim Benennen einer Rolle Folgendes:

    • Rollennamen müssen innerhalb Ihres AWS-Konto Unternehmens eindeutig sein und können nicht von Fall zu Fall eindeutig sein.

      Erstellen Sie beispielsweise keine Rollen, die PRODROLE sowohl als auch benannt sindprodrole. Wenn ein Rollenname in einer Richtlinie oder als Teil einer verwendet wirdARN, unterscheidet der Rollenname Groß- und Kleinschreibung. Wenn Kunden jedoch ein Rollenname in der Konsole angezeigt wird, z. B. während des Anmeldevorgangs, wird die Groß- und Kleinschreibung nicht berücksichtigt.

    • Sie können den Namen der Rolle nicht bearbeiten, nachdem er erstellt wurde, da andere Entitäten möglicherweise auf die Rolle verweisen.

  10. (Optional) Geben Sie unter Beschreibung eine Beschreibung für die Rolle ein.

  11. (Optional) Um die Anwendungsfälle und Berechtigungen für die Rolle zu bearbeiten, wählen Sie in den Abschnitten Schritt 1: Vertrauenswürdige Entitäten auswählen oder Schritt 2: Berechtigungen hinzufügen die Option Bearbeiten aus.

  12. (Optional) Fügen Sie Tags als Schlüssel-Wert-Paare hinzu, um die Rolle leichter zu identifizieren, zu organisieren oder nach ihr zu suchen. Weitere Informationen zur Verwendung von Tags in IAM finden Sie im Benutzerhandbuch unter IAMRessourcen taggen. IAM

  13. Prüfen Sie die Rolle und klicken Sie dann auf Create Role (Rolle erstellen).

Das folgende JSON Dokument ist ein Beispiel für eine Vertrauensrichtlinie, die es QLDB ermöglicht, eine IAM Rolle anzunehmen, der bestimmte Berechtigungen zugewiesen sind.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "qldb.amazonaws.com"
            },
            "Action": [ "sts:AssumeRole" ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:qldb:us-east-1:123456789012:*"
                },
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                }
            }
        }
    ]
}
Anmerkung

Dieses Beispiel für eine Vertrauensrichtlinie zeigt, wie Sie die Kontextschlüssel aws:SourceArn und die aws:SourceAccount globale Bedingung verwenden können, um das Problem des verwirrten Stellvertreters zu verhindern. Mit dieser Vertrauensrichtlinie QLDB kann 123456789012 nur die Rolle für jede QLDB Ressource im Konto übernommen werden.

Weitere Informationen finden Sie unter Serviceübergreifende Confused-Deputy-Prävention.

Nachdem Sie Ihre IAM Rolle erstellt haben, kehren Sie zur QLDB Konsole zurück und aktualisieren Sie die Seite Exportjob erstellen, sodass Ihre neue Rolle gefunden wird.