Permisos de nivel de recursos - Amazon MemoryDB
Ejemplo 1: Permitir a un usuario obtener acceso completo a tipos de recursos de MemoryDB específicosEjemplo 2: Denegarle a un usuario el acceso a un clúster.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Permisos de nivel de recursos

Puede restringir el alcance de los permisos especificando los recursos en una IAM política. Muchas AWS CLI API acciones admiten un tipo de recurso que varía en función del comportamiento de la acción. Cada instrucción de una política de IAM concede permiso para realizar una acción en un recurso. Cuando la acción no actúa sobre un recurso nombrado, o cuando se concede permiso para realizar la acción sobre todos los recursos, el valor del recurso en la política es un comodín (*). Para muchas API acciones, puede restringir los recursos que un usuario puede modificar especificando el nombre del recurso de Amazon (ARN) de un recurso o un ARN patrón que coincida con varios recursos. Para restringir los permisos por recurso, especifique el recurso porARN.

Formato de recursos de MemoryDB ARN

nota

Para que los permisos a nivel de recurso sean efectivos, el nombre del recurso en la ARN cadena debe estar en minúsculas.

  • Usuario: arn:aws:memorydb ::user/user1 us-east-1:123456789012

  • ACL— arn:aws:memorydb :acl/my-acl us-east-1:123456789012

  • Clúster — arn:aws:memorydb ::cluster/my-cluster us-east-1:123456789012

  • Instantánea: arn:aws:memorydb ::snapshot/my-snapshot us-east-1:123456789012

  • Grupo de parámetros: arn:aws:memorydb ::parametergroup/ us-east-1:123456789012 my-parameter-group

  • Grupo de subredes: arn:aws:memorydb us-east-1:123456789012 ::subnetgroup/ my-subnet-group

Ejemplo 1: Permitir a un usuario obtener acceso completo a tipos de recursos de MemoryDB específicos

La siguiente política permite de forma explícita el acceso completo del account-id especificado a todos los recursos de tipo grupo de subredes, grupo de seguridad y clúster.

{
        "Sid": "Example1",
        "Effect": "Allow",
        "Action": "memorydb:*",
        "Resource": [
             "arn:aws:memorydb:us-east-1:account-id:subnetgroup/*",
             "arn:aws:memorydb:us-east-1:account-id:securitygroup/*",
             "arn:aws:memorydb:us-east-1:account-id:cluster/*"
        ]
}

Ejemplo 2: Denegarle a un usuario el acceso a un clúster.

En el siguiente ejemplo se deniega de forma explícita el acceso del account-id especificado a un determinado clúster.

{
        "Sid": "Example2",
        "Effect": "Deny",
        "Action": "memorydb:*",
        "Resource": [
                "arn:aws:memorydb:us-east-1:account-id:cluster/name"
        ]
}