Utilizzo IAM con CloudWatch Contributor Insights per DynamoDB

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

La prima volta che abiliti Amazon CloudWatch Contributor Insights per Amazon DynamoDB, DynamoDB crea AWS Identity and Access Management automaticamente IAM un ruolo () collegato al servizio per te. Questo ruolo consente a DynamoDB di CloudWatch gestire le regole di Contributor Insights per tuo conto. AWSServiceRoleForDynamoDBCloudWatchContributorInsights Non eliminare questo ruolo collegato al servizio. Se lo si elimina, tutte le regole gestite non verranno più pulite quando si elimina la tabella o l'indice secondario globale.

Per ulteriori informazioni sui ruoli collegati ai servizi, vedere Utilizzo dei ruoli collegati ai servizi nella Guida per l'utente. IAM

Sono richieste le seguenti autorizzazioni:

Esempio: abilitare o disabilitare le informazioni sui CloudWatch contributori per DynamoDB

La seguente IAM politica concede le autorizzazioni per abilitare o disabilitare CloudWatch Contributor Insights for DynamoDB.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/contributorinsights.dynamodb.amazonaws.com/AWSServiceRoleForDynamoDBCloudWatchContributorInsights",
            "Condition": {"StringLike": {"iam:AWSServiceName": "contributorinsights.dynamodb.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:UpdateContributorInsights"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*"
        }
    ]
}

Per le tabelle crittografate tramite KMS chiave, l'utente deve disporre delle autorizzazioni kms: Decrypt per aggiornare Contributor Insights.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/contributorinsights.dynamodb.amazonaws.com/AWSServiceRoleForDynamoDBCloudWatchContributorInsights",
            "Condition": {"StringLike": {"iam:AWSServiceName": "contributorinsights.dynamodb.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:UpdateContributorInsights"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*"
        },
        {
            "Effect": "Allow",
            "Resource": "arn:aws:kms:*:*:key/*",
            "Action": [
                "kms:Decrypt"
            ],
        }
    ]
}

Esempio: recupera il rapporto sulle regole di Contributor Insights CloudWatch

La seguente IAM politica concede le autorizzazioni per recuperare CloudWatch il rapporto sulle regole di Contributor Insights.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:GetInsightRuleReport"
            ],
            "Resource": "arn:aws:cloudwatch:*:*:insight-rule/DynamoDBContributorInsights*"
        }
    ]
}

Esempio: applica in modo selettivo le informazioni sui CloudWatch collaboratori per le autorizzazioni di DynamoDB in base alla risorsa

La seguente IAM politica concede le autorizzazioni per consentire le DescribeContributorInsights azioni ListContributorInsights and e nega l'azione per uno specifico indice secondario UpdateContributorInsights globale.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:ListContributorInsights",
                "dynamodb:DescribeContributorInsights"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "dynamodb:UpdateContributorInsights"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:123456789012:table/Books/index/Author-index"
        }
    ]
}

Utilizzo di ruoli collegati ai servizi per CloudWatch Contributor Insights for DynamoDB

CloudWatch Contributor Insights for DynamoDB AWS Identity and Access Management utilizza IAM ruoli collegati ai servizi (). Un ruolo collegato ai servizi è un tipo unico di IAM ruolo collegato direttamente a CloudWatch Contributor Insights for DynamoDB. I ruoli collegati ai servizi sono predefiniti da CloudWatch Contributor Insights per DynamoDB e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato al servizio semplifica la configurazione di CloudWatch Contributor Insights per DynamoDB perché non è necessario aggiungere manualmente le autorizzazioni necessarie. CloudWatch Contributor Insights for DynamoDB definisce le autorizzazioni dei suoi ruoli collegati ai servizi e, se non diversamente definito, solo CloudWatch Contributor Insights for DynamoDB può assumerne i ruoli. Le autorizzazioni definite includono la politica di fiducia e la politica delle autorizzazioni e tale politica di autorizzazione non può essere associata a nessun'altra entità. IAM

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, vedi AWS Servizi che funzionano con IAM e cerca i servizi con Sì nella colonna Ruolo collegato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni di ruolo collegate ai servizi per CloudWatch Contributor Insights for DynamoDB

CloudWatch Contributor Insights for DynamoDB utilizza il ruolo collegato al servizio denominato. AWSServiceRoleForDynamoDBCloudWatchContributorInsights Lo scopo del ruolo collegato ai servizi è consentire ad Amazon DynamoDB di gestire CloudWatch le regole di Amazon Contributor Insights create per le tabelle DynamoDB e gli indici secondari globali, per tuo conto.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForDynamoDBCloudWatchContributorInsights considera attendibili i seguenti servizi:

La politica di autorizzazione dei ruoli consente a CloudWatch Contributor Insights for DynamoDB di completare le seguenti azioni sulle risorse specificate:

È necessario configurare le autorizzazioni per consentire a un'IAMentità (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio. Per ulteriori informazioni, consulta la sezione Autorizzazioni relative ai ruoli collegati ai servizi nella Guida per l'utente. IAM

Creazione di un ruolo collegato ai servizi per CloudWatch Contributor Insights for DynamoDB

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando abiliti Contributor Insights nel AWS Management Console, o nel AWS CLI AWS API, CloudWatch Contributor Insights for DynamoDB crea automaticamente il ruolo collegato al servizio.

Se elimini questo ruolo collegato ai servizi, puoi ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando abiliti Contributor Insights, CloudWatch Contributor Insights for DynamoDB crea nuovamente il ruolo collegato al servizio per te.

Modifica di un ruolo collegato ai servizi per CloudWatch Contributor Insights for DynamoDB

CloudWatch Contributor Insights for DynamoDB non consente di modificare il ruolo collegato al servizio. AWSServiceRoleForDynamoDBCloudWatchContributorInsights Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Tuttavia, è possibile modificare la descrizione del ruolo utilizzando. IAM Per ulteriori informazioni, consulta Modifica di un ruolo collegato al servizio nella Guida per l'IAMutente.

Eliminazione di un ruolo collegato al servizio per CloudWatch Contributor Insights for DynamoDB

Non è necessario eliminare manualmente il ruolo AWSServiceRoleForDynamoDBCloudWatchContributorInsights. Quando si disabilita Contributor Insights in AWS Management Console, il, o il AWS CLI AWS API, CloudWatch Contributor Insights for DynamoDB pulisce le risorse.

È inoltre possibile utilizzare la IAM console, la AWS CLI o la per eliminare manualmente il ruolo collegato AWS API al servizio. Per farlo, sarà necessario prima eseguire manualmente la pulizia delle risorse associate al ruolo collegato ai servizi e poi eliminarlo manualmente.

Per eliminare manualmente il ruolo collegato al servizio utilizzando IAM

Usa la IAM console AWS CLI, o il AWS API per eliminare il ruolo collegato al AWSServiceRoleForDynamoDBCloudWatchContributorInsights servizio. Per ulteriori informazioni, vedere Eliminazione di un ruolo collegato al servizio nella Guida per l'utente. IAM