Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Gestione delle autorizzazioni di accesso alle tue risorse Amazon DocumentDB
Ogni AWS la risorsa è di proprietà di un Account AWS e le autorizzazioni per creare o accedere alle risorse sono regolate da criteri di autorizzazione. Un amministratore di account può allegare politiche di autorizzazione alle identità IAM (ovvero utenti, gruppi e ruoli) e ad alcuni servizi (come AWS Lambda) supportano anche l'associazione di politiche di autorizzazione alle risorse.
Nota
Un amministratore account (o un utente amministratore) è un utente con autorizzazioni di amministratore. Per ulteriori informazioni, consulta Best practice IAM nella Guida per l'utente di IAM.
Argomenti
Risorse e operazioni di Amazon DocumentDB
In Amazon DocumentDB, la risorsa principale è grappolo. Amazon DocumentDB supporta altre risorse che possono essere utilizzate con la risorsa principale, ad esempio casi, gruppi di parametrie abbonamenti agli eventi. Queste risorse vengono chiamate risorse secondarie.
A risorse e risorse secondarie sono associati nomi Amazon Resource Name (ARN) univoci, come illustrato nella tabella seguente.
| Tipo di risorsa | Formato ARN |
|---|---|
Cluster |
|
Cluster parameter group (Gruppo di parametri del cluster) |
|
Snapshot del cluster |
|
Istanza |
|
Gruppo di sicurezza |
|
Gruppo di sottoreti |
|
Amazon DocumentDB fornisce una serie di operazioni per lavorare con le risorse di Amazon DocumentDB. Per un elenco di operazioni disponibili, consulta Operazioni.
Informazioni sulla proprietà delle risorse
A proprietario della risorsa è il Account AWS che ha creato una risorsa. Cioè, il proprietario della risorsa è il Account AWS del entità principale (l'account root, un utente IAM o un ruolo IAM) che autentica la richiesta che crea la risorsa. Negli esempi seguenti viene illustrato il funzionamento:
-
Se utilizzi le credenziali dell'account root del tuo Account AWS per creare una risorsa Amazon DocumentDB, ad esempio un'istanza, la tua Account AWS è il proprietario della risorsa Amazon DocumentDB.
-
Se crei un utente IAM nel tuo Account AWS e concedi le autorizzazioni per creare risorse Amazon DocumentDB a quell'utente, l'utente può creare risorse Amazon DocumentDB. Tuttavia, il tuo Account AWS, a cui appartiene l'utente, possiede le risorse Amazon DocumentDB.
-
Se crei un ruolo IAM nel tuo Account AWS con le autorizzazioni per creare risorse Amazon DocumentDB, chiunque possa assumere il ruolo può creare risorse Amazon DocumentDB. Il tuo Account AWS, a cui appartiene il ruolo, possiede le risorse Amazon DocumentDB.
Gestione dell'accesso alle risorse
La policy delle autorizzazioni descrive chi ha accesso a cosa. Nella sezione seguente vengono descritte le opzioni disponibili per la creazione di policy relative alle autorizzazioni.
Nota
Questa sezione illustra l'utilizzo di IAM nel contesto di Amazon DocumentDB. Non vengono fornite informazioni dettagliate sul servizio IAM. Per la documentazione di IAM completa, consulta Che cos'è IAM? nella Guida per l'utente di IAM. Per informazioni sulla sintassi delle policy IAM e le rispettive descrizioni, consulta Riferimento alle policy IAM di AWS nella Guida per l'utente di IAM.
Le policy collegate a un'identità IAM sono denominate policy basate su identità (policy IAM). Le policy collegate a una risorsa sono denominate policy basate sulle risorse. Amazon DocumentDB supporta solo politiche basate sull'identità (politiche IAM).
Identity-based politiche (politiche IAM)
Puoi collegare le policy alle identità IAM. Ad esempio, puoi eseguire le operazioni seguenti:
-
Allega una politica di autorizzazioni a un utente o a un gruppo nel tuo account — Un amministratore dell'account può utilizzare una politica di autorizzazioni associata a un determinato utente per concedere a quell'utente le autorizzazioni per creare una risorsa Amazon DocumentDB, ad esempio un'istanza.
-
Collega una policy di autorizzazione a un ruolo (assegnazione di autorizzazioni tra account): per concedere autorizzazioni tra più account, è possibile collegare una policy di autorizzazione basata su identità a un ruolo IAM. Ad esempio, un amministratore può creare un ruolo per concedere autorizzazioni tra account a un altro Account AWS o un AWS servizio come segue:
-
L'amministratore dell'account A crea un ruolo IAM e attribuisce una policy di autorizzazione al ruolo che concede le autorizzazioni sulle risorse per l'account A.
-
L'amministratore dell'account A attribuisce una policy di attendibilità al ruolo, identificando l'account B come il principale per tale ruolo.
-
L'amministratore dell'account B può quindi delegare le autorizzazioni per assumere il ruolo a qualsiasi utente nell'account B. In questo modo, gli utenti dell'account B possono creare o accedere a risorse nell'account A. Il principale nella politica di fiducia può anche essere un AWS responsabile del servizio se si desidera concedere le autorizzazioni a un AWS servizio per assumere il ruolo.
Per ulteriori informazioni sull'uso di IAM per delegare le autorizzazioni, consulta Access Management nella IAM User Guide (Guida per l'utente di IAM).
-
Di seguito è riportato un esempio di policy che consente all'utente di utilizzare l'ID 123456789012 per creare istanze per il tuo Account AWS. La nuova istanza database deve utilizzare un gruppo di opzioni e un gruppo di parametri che inizia con default e deve utilizzare il gruppo di sottoreti default.
Per ulteriori informazioni sull'utilizzo di policy basate sull'identità con Amazon DocumentDB, consulta Utilizzo di policy basate sull'identità (politiche IAM) per Amazon DocumentDB. Per ulteriori informazioni su utenti, gruppi, ruoli e autorizzazioni, consulta Identità (utenti, gruppi e ruoli) nella Guida per l'utente di IAM.
Resource-based norme
Anche altri servizi, come Amazon Simple Storage Service (Amazon S3), supportano politiche di autorizzazioni basate sulle risorse. Ad esempio, è possibile associare una policy a un bucket Amazon S3 per gestire le autorizzazioni di accesso a quel bucket. Amazon DocumentDB non supporta policy basate sulle risorse.
Specificazione degli elementi delle policy: azioni, effetti, risorse e principi
Per ogni risorsa Amazon DocumentDB (vedi Risorse e operazioni di Amazon DocumentDB), il servizio definisce una serie di operazioni API. Per ulteriori informazioni, consulta Operazioni. Per concedere le autorizzazioni per queste operazioni API, Amazon DocumentDB definisce una serie di azioni che puoi specificare in una policy. L'esecuzione di un'operazione API può richiedere le autorizzazioni per più di un'operazione.
Di seguito sono elencati gli elementi di base di una policy:
-
Risorsa: in una policy si utilizza il nome della risorsa Amazon (ARN) per identificare la risorsa a cui si applica la policy stessa.
-
Operazione: utilizzi le parole chiave per identificare le operazioni sulla risorsa da permettere o rifiutare. Ad esempio, l'autorizzazione
rds:DescribeDBInstancesconcede all'utente le autorizzazioni per eseguire l'operazioneDescribeDBInstances. -
Effetto: l'effetto prodotto quando l'utente richiede l'operazione specifica, ovvero un'autorizzazione o un rifiuto. USe non concedi esplicitamente (consenti) l'accesso a una risorsa, l'accesso viene implicitamente rifiutato. Puoi anche rifiutare esplicitamente l'accesso a una risorsa per garantire che un utente non possa accedervi, anche se l'accesso viene concesso da un'altra policy.
-
Principale - Nelle policy basate su identità (policy IAM), l'utente a cui la policy è collegata è il principale implicito. Per policy basate su risorse, specifichi l'utente, l'account, il servizio o un'altra entità che desideri riceva le autorizzazioni (si applica solo alle policy basate su risorse). Amazon DocumentDB non supporta policy basate sulle risorse.
Per ulteriori informazioni sulla sintassi e le descrizioni delle policy IAM, consulta AWS Riferimento alle policy IAM nella Guida per l'utente di IAM.
Per una tabella che mostra tutte le azioni dell'API Amazon DocumentDB e le risorse a cui si applicano, consulta Autorizzazioni API Amazon DocumentDB: riferimento ad azioni, risorse e condizioni.
Specifica delle condizioni in una policy
Quando si concedono le autorizzazioni, è possibile utilizzare il linguaggio della policy IAM per specificare le condizioni in base a cui la policy deve essere applicata. Ad esempio, potresti decidere che una policy venga applicata solo dopo una data specifica. Per ulteriori informazioni su come specificare le condizioni in un linguaggio di policy, consulta la sezione Condizione nella Guida per l'utente di IAM.
Per esprimere le condizioni è necessario utilizzare chiavi di condizione predefinite. Amazon DocumentDB non dispone di chiavi di contesto specifiche del servizio che possono essere utilizzate in una policy IAM. Per un elenco delle chiavi di contesto delle condizioni globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili nel Guida per l'utente IAM.
