View a markdown version of this page

Memecahkan masalah kesalahan ABAC umum untuk tabel dan indeks DynamoDB - Amazon DynamoDB

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memecahkan masalah kesalahan ABAC umum untuk tabel dan indeks DynamoDB

Topik ini memberikan saran pemecahan masalah untuk kesalahan umum dan masalah yang mungkin Anda temui saat menerapkan ABAC di tabel atau indeks DynamoDB.

Service-specific kunci kondisi tidak dianggap sebagai kunci kondisi yang valid. Jika Anda telah menggunakan kunci tersebut dalam kebijakan Anda, ini akan mengakibatkan kesalahan. Untuk memperbaiki masalah ini, Anda harus mengganti kunci kondisi khusus layanan dengan kunci kondisi yang sesuai untuk mengimplementasikan ABAC di DynamoDB.

Misalnya, Anda telah menggunakan kunci dynamodb:ResourceTag kondisi dalam kebijakan sebaris yang menjalankan PutItem permintaan. Bayangkan bahwa permintaan gagal denganAccessDeniedException. Contoh berikut menunjukkan kebijakan inline yang salah dengan kunci dynamodb:ResourceTag kondisi.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:PutItem"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*",
            "Condition": {
                "StringEquals": {
                    "dynamodb:ResourceTag/Owner": "John"
                }
            }
        }
    ]
}

Untuk memperbaiki masalah ini, ganti kunci dynamodb:ResourceTag kondisi denganaws:ResourceTag, seperti yang ditunjukkan pada contoh berikut.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:PutItem"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Owner": "John"
                }
            }
        }
    ]
}

Jika ABAC diaktifkan untuk akun Anda melalui Dukungan, Anda tidak akan dapat memilih keluar dari ABAC melalui konsol DynamoDB. Untuk memilih keluar, hubungi Dukungan.

Anda dapat memilih keluar dari ABAC sendiri hanya jika hal berikut ini benar:

  • Anda menggunakan cara layanan mandiri untuk memilih masuk melalui konsol DynamoDB.

  • Anda memilih keluar dalam waktu tujuh hari kalender setelah memilih masuk.