Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kunci kondisi Data Layanan Direktori

Gunakan kunci kondisi Data Layanan Direktori untuk menambahkan pernyataan tertentu ke pengguna dan akses tingkat grup. Ini memungkinkan pengguna untuk memutuskan prinsipal mana yang dapat melakukan tindakan pada sumber daya apa dan dalam kondisi apa.

Elemen Kondisi, atau blok Kondisi, memungkinkan Anda menentukan kondisi di mana pernyataan berlaku. Elemen Syarat bersifat opsional. Anda dapat membuat ekspresi bersyarat yang menggunakan operator kondisi, seperti sama dengan (=) atau kurang dari (<), untuk mencocokkan kondisi dalam kebijakan dengan nilai dalam permintaan.

Jika Anda menentukan beberapa elemen Kondisi dalam pernyataan, atau beberapa kunci dalam satu elemen Kondisi, AWS mengevaluasi mereka dengan menggunakan operasi AND logis. Jika Anda menentukan beberapa nilai untuk kunci kondisi tunggal, AWS evaluasi kondisi dengan menggunakan operasi OR logis. Semua kondisi harus dipenuhi sebelum izin pernyataan diberikan. Anda juga dapat menggunakan variabel placeholder saat menentukan kondisi. Misalnya, Anda dapat memberikan izin kepada pengguna IAM untuk mengakses sumber daya hanya jika diberi tag dengan nama pengguna mereka. Untuk selengkapnya, lihat Kondisi dengan beberapa kunci atau nilai di Panduan Pengguna IAM.

Untuk daftar tindakan yang mendukung kunci kondisi ini, lihat Tindakan yang ditentukan oleh Data Layanan AWS Direktori di Referensi Otorisasi Layanan.

ds-data: SAMAccountName

Bekerja dengan operator String.

Gunakan kunci ini untuk secara eksplisit mengizinkan atau menolak peran IAM melakukan tindakan pada pengguna dan grup tertentu.

Kebijakan berikut menolak prinsipal IAM untuk mendeskripsikan pengguna joe atau mendeskripsikan grupjoegroup.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyDescribe",
      "Effect": "Deny",
      "Action": "ds-data:Describe*",
      "Resource": "*",
      "Condition": {
        "StringEqualsIgnoreCase": {
          "ds-data:SAMAccountName": [
            "joe",
            "joegroup"
          ],
          "ds-data:identifier": [
            "SAMAccountName"
          ]
        }
      }
    }
  ]
}

DS-data:Pengidentifikasi

Bekerja dengan operator String.

Gunakan kunci ini untuk menentukan pengenal mana yang akan digunakan dalam izin kebijakan IAM. Saat ini, hanya SAMAccountName didukung.

Kebijakan berikut memungkinkan prinsipal IAM memperbarui penggunajoe.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateJoe",
      "Effect": "Allow",
      "Action": "ds-data:UpdateUser",
      "Resource": "arn:aws:ds:us-east-1:111122223333:directory/d-012345678",
      "Condition": {
        "StringEqualsIgnoreCase": {
          "ds-data:SAMAccountName": [
            "joe"
          ],
          "ds-data:identifier": [
            "SAMAccountName"
          ]
        }
      }
    }
  ]
}

ds-data: MemberName

Bekerja dengan operator String.

Gunakan kunci ini untuk menentukan anggota yang dapat melakukan operasi pada mereka.

Kebijakan berikut memungkinkan prinsipal IAM untuk bekerja AddGroupMember pada anggota joe di grup mana pun.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
        "Sid": "AddJoe",
        "Effect": "Allow",
        "Action": "ds-data:AddGroupMember",
        "Resource": "arn:aws:ds:us-east-1:111122223333:directory/d-012345678",
        "Condition": {
            "StringEqualsIgnoreCase": {
                "ds-data:MemberName": "joe"
            }
        }
    }
  ]
}

ds-data: MemberRealm

Bekerja dengan operator String.

Gunakan kunci ini untuk memeriksa apakah ds-data:MemberRealm nilai dalam kebijakan cocok dengan ranah anggota dalam permintaan.

Kebijakan berikut memungkinkan kepala sekolah IAM untuk memanggil AddGroupMember anggota bob di ranah. ONE.TRU1.AMAZON.COM

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "addbob",
      "Effect": "Allow",
      "Action": "ds-data:AddGroupMember",
      "Resource": "arn:aws:ds:us-east-1:111122223333:directory/d-012345678",
      "Condition": {
        "StringEqualsIgnoreCase": {
          "ds-data:MemberName": "bob",
          "ds-data:MemberRealm": "one.tru1.amazon.com"
        }
      }
    }
  ]
}

DS-Data: Alam

Bekerja dengan operator String.

Gunakan kunci ini untuk memeriksa apakah ds-data:Realm nilai dalam kebijakan cocok dengan ranah yang dapat digunakan oleh prinsipal IAM untuk membuat permintaan ke API Data Layanan Direktori.

Kebijakan berikut menyangkal kepala sekolah IAM untuk memanggil ListUsers ran one.tru1.amazon.com ah.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTrustedList",
      "Effect": "Deny",
      "Action": "ds-data:ListUsers",
      "Resource": "*",
      "Condition": {
        "StringEqualsIgnoreCase": {
          "ds-data:Realm": [
            "one.tru1.amazon.com"
          ]
        }
      }
    }
  ]
}