Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat pernyataan kebijakan IAM administratif untuk Amazon Neptunus

Contoh kebijakan administrasi umum

Contoh berikut menunjukkan cara membuat kebijakan administratif Neptunus yang memberikan izin untuk mengambil berbagai tindakan manajemen pada cluster DB.

Kebijakan yang mencegah IAM pengguna menghapus instans DB tertentu

Berikut ini adalah contoh kebijakan yang mencegah IAM pengguna menghapus instans DB Neptunus tertentu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyDeleteOneInstance",
      "Effect": "Deny",
      "Action": "rds:DeleteDBInstance",
      "Resource": "arn:aws:rds:us-west-2:123456789012:db:my-instance-name"
    }
  ]
}

Kebijakan yang memberikan izin untuk membuat instans DB baru

Berikut ini adalah contoh kebijakan yang memungkinkan IAM pengguna untuk membuat instance DB dalam cluster DB Neptunus tertentu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCreateInstance",
      "Effect": "Allow",
      "Action": "rds:CreateDBInstance",
      "Resource": "arn:aws:rds:us-west-2:123456789012:cluster:my-cluster"
    }
  ]
}

Kebijakan yang memberikan izin untuk membuat instans DB baru yang menggunakan grup parameter DB tertentu

Berikut ini adalah contoh kebijakan yang memungkinkan IAM pengguna untuk membuat instance DB dalam cluster DB tertentu (di sinius-west-2) di cluster DB Neptunus tertentu hanya menggunakan grup parameter DB tertentu.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCreateInstanceWithPG",
      "Effect": "Allow",
      "Action": "rds:CreateDBInstance",
      "Resource": [
        "arn:aws:rds:us-west-2:123456789012:cluster:my-cluster",
        "arn:aws:rds:us-west-2:123456789012:pg:my-instance-pg"
      ]
    }
  ]
}

Kebijakan yang memberikan izin untuk mendeskripsikan sumber daya apa pun

Berikut ini adalah contoh kebijakan yang memungkinkan IAM pengguna untuk menggambarkan sumber daya Neptunus apa pun.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowDescribe",
      "Effect": "Allow",
      "Action": "rds:Describe*",
      "Resource": *
    }
  ]
}

Contoh kebijakan administratif berbasis tag

Contoh berikut menunjukkan cara membuat kebijakan administratif Neptunus yang memberi tag untuk memfilter izin untuk berbagai tindakan manajemen pada cluster DB.

Contoh 1: Berikan izin untuk tindakan atas sumber daya menggunakan tanda kustom yang dapat mengambil beberapa nilai

Kebijakan di bawah ini mengizinkan penggunaanModifyDBInstance, CreateDBInstance atau DeleteDBInstance API pada instans DB mana pun yang env tag disetel ke salah satu dev atautest:

{ "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowDevTestAccess",
      "Effect": "Allow",
      "Action": [
        "rds:ModifyDBInstance",
        "rds:CreateDBInstance",
        "rds:DeleteDBInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:db-tag/env": [
              "dev",
              "test"
          ],
          "rds:DatabaseEngine": "neptune"
        }
      }
    }
  ]
}

Contoh 2: Batasan set kunci dan nilai tag yang dapat digunakan untuk menandai suatu sumber daya

Kebijakan ini menggunakan kunci Condition untuk mengizinkan tanda yang memiliki kunci env dan nilai test, qa, atau dev yang akan ditambahkan ke sumber daya:

{ "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowTagAccessForDevResources",
      "Effect": "Allow",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:req-tag/env": [
            "test",
            "qa",
            "dev"
          ],
          "rds:DatabaseEngine": "neptune"
        }
      }
    }
  ]
}

Contoh 3: Izinkan akses penuh ke sumber daya Neptunus berdasarkan aws:ResourceTag

Kebijakan berikut ini mirip dengan contoh pertama di atas, tetapi menggunakan aws:ResourceTag sebagai gantinya:

{ "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowFullAccessToDev",
      "Effect": "Allow",
      "Action": [
        "rds:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/env": "dev",
          "rds:DatabaseEngine": "neptune"
        }
      }
    }
  ]
}