Utilizzo IAM di policy per Amazon Kinesis Data Streams e Amazon DynamoDB

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

La prima volta che abiliti Amazon Kinesis Data Streams per Amazon DynamoDB, DynamoDB crea automaticamente un ruolo () collegato al servizio per te. AWS Identity and Access Management IAM Questo ruolo, AWSServiceRoleForDynamoDBKinesisDataStreamsReplication, consente a DynamoDB di gestire la replica delle modifiche a livello di elemento ai Kinesis Data Streams per conto dell'utente. Non eliminare questo ruolo collegato al servizio.

Per ulteriori informazioni sui ruoli collegati ai servizi, consultare la pagina relativa all'Uso di ruoli collegati ai servizi della Guida per l'utente IAM.

Gli esempi seguenti mostrano come utilizzare IAM le policy per concedere le autorizzazioni per Amazon Kinesis Data Streams for Amazon DynamoDB.

Esempio: abilitazione di Amazon Kinesis Data Streams per Amazon DynamoDB

La seguente IAM politica concede le autorizzazioni per abilitare Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella. Music Non concede le autorizzazioni per disabilitare, aggiornare o descrivere Kinesis Data Streams for DynamoDB per la tabella. Music

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/kinesisreplication.dynamodb.amazonaws.com/AWSServiceRoleForDynamoDBKinesisDataStreamsReplication",
            "Condition": {"StringLike": {"iam:AWSServiceName": "kinesisreplication.dynamodb.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": [

                "dynamodb:EnableKinesisStreamingDestination"

            ],
            "Resource": "arn:aws:dynamodb:us-west-2:12345678901:table/Music"
        }
    ]
}

Esempio: aggiornamento di Amazon Kinesis Data Streams per Amazon DynamoDB

La seguente IAM politica concede le autorizzazioni per aggiornare Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella. Music Non concede le autorizzazioni per abilitare, disabilitare o descrivere Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella. Music

{
"Version": "2012-10-17",
    "Statement": [
        {
"Effect": "Allow",
            "Action": [                
                "dynamodb:UpdateKinesisStreamingDestination"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:12345678901:table/Music"
        }
    ]
}

Esempio: disabilitazione di Amazon Kinesis Data Streams per Amazon DynamoDB

La seguente IAM policy concede le autorizzazioni per disabilitare Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella. Music Non concede le autorizzazioni per abilitare, aggiornare o descrivere Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella. Music

{
"Version": "2012-10-17",
    "Statement": [
        {
"Effect": "Allow",
            "Action": [                
                "dynamodb:DisableKinesisStreamingDestination"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:12345678901:table/Music"
        }
    ]
}

Esempio: applicazione selettiva delle autorizzazioni per il flusso di dati Amazon Kinesis per Amazon DynamoDB in base alla risorsa

La seguente IAM policy concede le autorizzazioni per abilitare e descrivere Amazon Kinesis Data Streams for Amazon DynamoDB per la tabella e nega le autorizzazioni per disabilitare Amazon Kinesis Data Streams Music for Amazon DynamoDB per la tabella. Orders

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:EnableKinesisStreamingDestination",
                "dynamodb:DescribeKinesisStreamingDestination"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:12345678901:table/Music"
        },
        {
            "Effect": "Deny",
            "Action": [
                "dynamodb:DisableKinesisStreamingDestination"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:12345678901:table/Orders"
        }
        
    ]
}

Utilizzo di ruoli collegati ai servizi per Kinesis Data Streams per DynamoDB

Amazon Kinesis Data Streams per Amazon DynamoDB utilizza () ruoli collegati ai servizi AWS Identity and Access Management . IAM Un ruolo collegato al servizio è un tipo di IAM ruolo unico collegato direttamente a Kinesis Data Streams for DynamoDB. I ruoli collegati ai servizi sono predefiniti da Kinesis Data Streams for DynamoDB e includono tutte le autorizzazioni richieste dal servizio per chiamare altri servizi per tuo conto. AWS

Un ruolo collegato al servizio semplifica la configurazione di Kinesis Data Streams per DynamoDB perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Kinesis Data Streams per DynamoDB definisce le autorizzazioni dei relativi ruoli associati ai servizi e, salvo diversamente definito, solo Kinesis Data Streams potrà assumere i propri ruoli. Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un'altra entità IAM.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta AWS Servizi che funzionano con IAM e cerca i servizi con Sì nella colonna Ruolo collegato ai servizi. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni dei ruoli collegati ai servizi per Kinesis Data Streams per DynamoDB

Kinesis Data Streams for DynamoDB utilizza il ruolo collegato al servizio denominato. AWSServiceRoleForDynamoDBKinesisDataStreamsReplication Lo scopo di questo ruolo collegato al servizio è di consentire ad Amazon DynamoDB di gestire la replica delle modifiche a livello di elemento al flusso di dati Kinesis per conto dell'utente.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForDynamoDBKinesisDataStreamsReplication considera attendibili i seguenti servizi:

La policy delle autorizzazioni del ruolo consente a Kinesis Data Streams per DynamoDB per completare le seguenti operazioni sulle risorse specificate:

Per i contenuti esatti del documento di policy, vedi D. ynamoDBKinesis ReplicationServiceRolePolicy

Per consentire a un'entità IAM (ad esempio un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato ai servizi, devi configurare le autorizzazioni. Per ulteriori informazioni, consulta Autorizzazioni del ruolo collegato ai servizi nella Guida per l'utente di IAM.

Creazione di un ruolo collegato ai servizi per Kinesis Data Streams per DynamoDB

Non hai bisogno di creare manualmente un ruolo collegato ai servizi. Quando abiliti Kinesis Data Streams for DynamoDB nel, o nel AWS CLI, Kinesis Data Streams for AWS Management Console DynamoDB crea automaticamente il AWS API ruolo collegato al servizio.

Se elimini questo ruolo collegato ai servizi, è possibile ricrearlo seguendo lo stesso processo utilizzato per ricreare il ruolo nell'account. Quando si abilita Kinesis Data Streams per DynamoDB, questo crea automaticamente il ruolo collegato ai servizi.

Modifica di un ruolo collegato ai servizi per Kinesis Data Streams per DynamoDB

Kinesis Data Streams per DynamoDB non consente di modificare il ruolo collegato ai servizi AWSServiceRoleForDynamoDBKinesisDataStreamsReplication. Dopo aver creato un ruolo collegato al servizio, non potrai modificarne il nome perché varie entità potrebbero farvi riferimento. Puoi tuttavia modificare la descrizione del ruolo utilizzando IAM. Per ulteriori informazioni, consulta Modifica di un ruolo collegato ai servizi nella Guida per l'utente. IAM

Eliminazione di un ruolo collegato ai servizi per Kinesis Data Streams per DynamoDB

È inoltre possibile utilizzare la IAM console, la AWS CLI o la per eliminare manualmente il ruolo collegato AWS API al servizio. Per farlo, sarà necessario prima eseguire manualmente la pulizia delle risorse associate al ruolo collegato ai servizi e poi eliminarlo manualmente.

Per eliminare manualmente il ruolo collegato ai servizi utilizzando IAM

Usa la IAM console AWS CLI, il o il AWS API per eliminare il ruolo collegato al AWSServiceRoleForDynamoDBKinesisDataStreamsReplication servizio. Per ulteriori informazioni, vedere Eliminazione di un ruolo collegato al servizio nella Guida per l'utente. IAM