Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Esempi di policy basate sull'identità per Amazon QLDB
Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse QLDB. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o AWS l'API. Per concedere agli utenti l'autorizzazione a eseguire operazioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. L'amministratore può quindi aggiungere le policy IAM ai ruoli e gli utenti possono assumere i ruoli.
Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy IAM (console) nella Guida per l'utente IAM.
Per dettagli sulle azioni e sui tipi di risorse definiti da QLDB, incluso il formato di per ogni tipo di ARNs risorsa, consulta Azioni, risorse e chiavi di condizione per Amazon QLDB nel Service Authorization Reference.
Indice
Importante
Avviso di fine del supporto: i clienti esistenti potranno utilizzare Amazon QLDB fino alla fine del supporto, il 31/07/2025. Per ulteriori dettagli, consulta Migrare un registro Amazon QLDB su Amazon Aurora PostgreSQL
Best practice per le policy
Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare risorse QLDB nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:
-
Inizia con le policy AWS gestite e passa alle autorizzazioni con privilegi minimi: per iniziare a concedere autorizzazioni a utenti e carichi di lavoro, utilizza le policy gestite che concedono le autorizzazioni per molti casi d'uso comuni.AWS Sono disponibili nel tuo. Account AWS Ti consigliamo di ridurre ulteriormente le autorizzazioni definendo politiche gestite dai AWS clienti specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta Policy gestite da AWSo Policy gestite da AWS per le funzioni dei processi nella Guida per l'utente IAM.
-
Applica le autorizzazioni con privilegio minimo: quando imposti le autorizzazioni con le policy IAM, concedi solo le autorizzazioni richieste per eseguire un'attività. È possibile farlo definendo le azioni che possono essere intraprese su risorse specifiche in condizioni specifiche, note anche come autorizzazioni con privilegi minimi. Per ulteriori informazioni sull'utilizzo di IAM per applicare le autorizzazioni, consulta Policy e autorizzazioni in IAM nella Guida per l'utente IAM.
-
Condizioni d'uso nelle policy IAM per limitare ulteriormente l'accesso: per limitare l'accesso a operazioni e risorse è possibile aggiungere una condizione alle tue policy. Ad esempio, è possibile scrivere una condizione di policy per specificare che tutte le richieste devono essere inviate utilizzando SSL. Puoi anche utilizzare le condizioni per concedere l'accesso alle azioni del servizio se vengono utilizzate tramite uno specifico Servizio AWS, ad esempio AWS CloudFormation. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente IAM.
-
Utilizzo di IAM Access Analyzer per convalidare le policy IAM e garantire autorizzazioni sicure e funzionali: IAM Access Analyzer convalida le policy nuove ed esistenti in modo che aderiscano alla sintassi della policy IAM (JSON) e alle best practice di IAM. IAM Access Analyzer offre oltre 100 controlli delle policy e consigli utili per creare policy sicure e funzionali. Per ulteriori informazioni, consulta Convalida delle policy per il Sistema di analisi degli accessi IAM nella Guida per l'utente IAM.
-
Richiedi l'autenticazione a più fattori (MFA): se hai uno scenario che richiede utenti IAM o un utente root nel Account AWS tuo, attiva l'MFA per una maggiore sicurezza. Per richiedere la MFA quando vengono chiamate le operazioni API, aggiungi le condizioni MFA alle policy. Per ulteriori informazioni, consulta Protezione dell'accesso API con MFA nella Guida per l'utente IAM.
Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.
Utilizzo della console QLDB
Per accedere alla console Amazon QLDB, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse QLDB presenti nel tuo. Account AWS Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.
Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso o l' AWS CLI API. AWS Al contrario, concedi l'accesso solo alle operazioni che corrispondono all'operazione API che stanno cercando di eseguire.
Per garantire che utenti e ruoli abbiano pieno accesso alla console QLDB e a tutte le sue funzionalità, allega la AWS seguente policy gestita alle entità. Per ulteriori informazioniAWS politiche gestite per Amazon QLDB, consulta Aggiungere autorizzazioni a un utente nella Guida per l'utente IAM.
AmazonQLDBConsoleFullAccess
Autorizzazioni per la cronologia delle query
Oltre alle autorizzazioni QLDB, alcune funzionalità della console richiedono le autorizzazioni per il Database Query Metadata Service (prefisso del servizio:). dbqms Si tratta di un servizio solo interno che gestisce le query recenti e salvate nell'editor di query della console per QLDB e altri. Servizi AWSPer un elenco completo delle azioni dell'API DBQMS, consulta Database Query Metadata Service nel Service Authorization Reference.
Per consentire le autorizzazioni per la cronologia delle query, puoi utilizzare la policy AWS gestita Amazon QLDBConsole FullAccess. Questa policy utilizza un wildcard (dbqms:*) per consentire tutte le azioni DBQMS per tutte le risorse.
In alternativa, puoi creare una policy IAM personalizzata e includere le seguenti azioni DBQMS. L'editor di query PartiQL sulla console QLDB richiede le autorizzazioni per utilizzare queste azioni per le funzionalità della cronologia delle query.
dbqms:CreateFavoriteQuery dbqms:CreateQueryHistory dbqms:DeleteFavoriteQueries dbqms:DeleteQueryHistory dbqms:DescribeFavoriteQueries dbqms:DescribeQueryHistory dbqms:UpdateFavoriteQuery
Autorizzazioni di accesso completo alla console senza cronologia delle query
Per consentire l'accesso completo alla console QLDB senza autorizzazioni per la cronologia delle query, puoi creare una policy IAM personalizzata che escluda tutte le azioni DBQMS. Ad esempio, il seguente documento di policy consente le stesse autorizzazioni concesse dalla policy AWS gestita Amazon QLDBConsole FullAccess, ad eccezione delle azioni che iniziano con il prefisso dbqms del servizio.
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "qldb:CreateLedger", "qldb:UpdateLedger", "qldb:UpdateLedgerPermissionsMode", "qldb:DeleteLedger", "qldb:ListLedgers", "qldb:DescribeLedger", "qldb:ExportJournalToS3", "qldb:ListJournalS3Exports", "qldb:ListJournalS3ExportsForLedger", "qldb:DescribeJournalS3Export", "qldb:CancelJournalKinesisStream", "qldb:DescribeJournalKinesisStream", "qldb:ListJournalKinesisStreamsForLedger", "qldb:StreamJournalToKinesis", "qldb:GetBlock", "qldb:GetDigest", "qldb:GetRevision", "qldb:TagResource", "qldb:UntagResource", "qldb:ListTagsForResource", "qldb:SendCommand", "qldb:ExecuteStatement", "qldb:ShowCatalog", "qldb:InsertSampleData", "qldb:PartiQLCreateIndex", "qldb:PartiQLDropIndex", "qldb:PartiQLCreateTable", "qldb:PartiQLDropTable", "qldb:PartiQLUndropTable", "qldb:PartiQLDelete", "qldb:PartiQLInsert", "qldb:PartiQLUpdate", "qldb:PartiQLSelect", "qldb:PartiQLHistoryFunction" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "kinesis:ListStreams", "kinesis:DescribeStream" ], "Effect": "Allow", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "qldb.amazonaws.com" } } } ] }
Consentire agli utenti di visualizzare le loro autorizzazioni
Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }
Esecuzione di transazioni di dati
Per interagire con l'API dei dati transazionali QLDB (sessione QLDB) eseguendo istruzioni PartiQL su un registro, è necessario concedere l'autorizzazione all'azione API. SendCommand Il seguente documento JSON è un esempio di policy che concede l'autorizzazione solo all'azione API sul registro. SendCommand myExampleLedger
Per utilizzare questa politica, sostituisci e us-east-1123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" } ] }
Se myExampleLedger utilizza la modalità ALLOW_ALL autorizzazioni, questa politica concede le autorizzazioni per eseguire tutti i comandi PartiQL su qualsiasi tabella del registro.
Puoi anche utilizzare una policy AWS gestita per concedere l'accesso completo a tutte le risorse QLDB. Per ulteriori informazioni, consulta AWS politiche gestite per Amazon QLDB.
Autorizzazioni standard per le azioni PartiQL e le risorse delle tabelle
Per i registri in modalità STANDARD autorizzazioni, puoi fare riferimento ai seguenti documenti sulle policy IAM come esempi di concessione delle autorizzazioni PartiQL appropriate. Per un elenco delle autorizzazioni richieste per ogni comando PartiQL, vedere. Riferimento alle autorizzazioni PartiQL
Argomenti
Accesso completo a tutte le azioni
Il seguente documento di policy JSON garantisce l'accesso completo all'utilizzo di tutti i comandi PartiQL su tutte le tabelle di. myExampleLedger Questa politica produce lo stesso effetto dell'utilizzo della modalità di ALLOW_ALL autorizzazione per il registro.
Per utilizzare questo criterio, sostituisci e us-east-1123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLFullPermissions", "Effect": "Allow", "Action": [ "qldb:PartiQLCreateIndex", "qldb:PartiQLDropIndex", "qldb:PartiQLCreateTable", "qldb:PartiQLDropTable", "qldb:PartiQLUndropTable", "qldb:PartiQLDelete", "qldb:PartiQLInsert", "qldb:PartiQLUpdate", "qldb:PartiQLRedact", "qldb:PartiQLSelect", "qldb:PartiQLHistoryFunction" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*", "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/information_schema/user_tables" ] } ] }
Accesso completo a tutte le azioni basate sui tag della tabella
Il seguente documento di policy JSON utilizza una condizione basata sui tag delle risorse della tabella per concedere l'accesso completo all'utilizzo di tutti i comandi PartiQL su tutte le tabelle in. myExampleLedger Le autorizzazioni vengono concesse solo se il tag della tabella environment ha il valore. development
avvertimento
Questo è un esempio di utilizzo di un carattere jolly (*) per consentire tutte le azioni PartiQL, incluse le operazioni amministrative e di lettura/scrittura su tutte le tabelle in un registro QLDB. È invece consigliabile specificare esplicitamente ogni azione da concedere e solo ciò di cui l'utente, il ruolo o il gruppo ha bisogno.
Per utilizzare questa politica, sostituisci e us-east-1123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLFullPermissionsBasedOnTags", "Effect": "Allow", "Action": [ "qldb:PartiQL*" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*", "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/information_schema/user_tables" ], "Condition": { "StringEquals": { "aws:ResourceTag/environment": "development" } } } ] }
Accesso in lettura/scrittura
Il seguente documento sulla politica JSON concede le autorizzazioni per selezionare, inserire, aggiornare ed eliminare i dati su tutte le tabelle di. myExampleLedger Questa politica non concede le autorizzazioni per oscurare i dati o modificare lo schema, ad esempio per creare e eliminare tabelle e indici.
Nota
Un'UPDATEistruzione richiede le autorizzazioni sia per le azioni che per le azioni sulla tabella che viene qldb:PartiQLUpdate modificataqldb:PartiQLSelect. Quando si esegue un'UPDATEistruzione, questa esegue un'operazione di lettura oltre all'operazione di aggiornamento. La richiesta di entrambe le azioni garantisce che solo gli utenti autorizzati a leggere il contenuto di una tabella ricevano UPDATE le autorizzazioni.
Analogamente, un'DELETEistruzione richiede le autorizzazioni sia per le qldb:PartiQLDelete azioni che per. qldb:PartiQLSelect
Per utilizzare questa politica, sostituisci e us-east-1123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLReadWritePermissions", "Effect": "Allow", "Action": [ "qldb:PartiQLDelete", "qldb:PartiQLInsert", "qldb:PartiQLUpdate", "qldb:PartiQLSelect", "qldb:PartiQLHistoryFunction" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*", "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/information_schema/user_tables" ] } ] }
Accesso in sola lettura
Il seguente documento sulla politica JSON concede autorizzazioni di sola lettura su tutte le tabelle di. myExampleLedger Per utilizzare questo criterio, sostituisci eus-east-1, myExampleLedger nell'esempio123456789012, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLReadOnlyPermissions", "Effect": "Allow", "Action": [ "qldb:PartiQLSelect", "qldb:PartiQLHistoryFunction" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*", "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/information_schema/user_tables" ] } ] }
Accesso in sola lettura a una tabella specifica
Il seguente documento di policy JSON concede autorizzazioni di sola lettura su una tabella specifica in. myExampleLedger In questo esempio, l'ID della tabella è. Au1EiThbt8s0z9wM26REZN
Per utilizzare questo criterious-east-1, sostituisci 123456789012myExampleLedger,, e Au1EiThbt8s0z9wM26REZN nell'esempio con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLReadOnlyPermissionsOnTable", "Effect": "Allow", "Action": [ "qldb:PartiQLSelect", "qldb:PartiQLHistoryFunction" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/Au1EiThbt8s0z9wM26REZN" ] } ] }
Consenti l'accesso per creare tabelle
Il seguente documento di policy JSON concede il permesso di creare tabelle in. myExampleLedger L'qldb:PartiQLCreateTableazione richiede le autorizzazioni per il tipo di risorsa della tabella. Tuttavia, l'ID di tabella di una nuova tabella non è noto al momento dell'esecuzione di un'CREATE TABLEistruzione. Pertanto, una politica che concede l'qldb:PartiQLCreateTableautorizzazione deve utilizzare un carattere jolly (*) nella tabella ARN per specificare la risorsa.
Per utilizzare questa politica, sostituisci e us-east-1123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLCreateTablePermission", "Effect": "Allow", "Action": [ "qldb:PartiQLCreateTable" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*" ] } ] }
Consenti l'accesso per creare tabelle basate sui tag di richiesta
Il seguente documento di policy JSON utilizza una condizione basata sulla chiave di aws:RequestTag contesto per concedere l'autorizzazione alla creazione di tabellemyExampleLedger. Le autorizzazioni vengono concesse solo se il tag di richiesta environment ha il valore. development L'aggiunta di tag alle tabelle al momento della creazione richiede l'accesso qldb:PartiQLCreateTable sia qldb:TagResource alle azioni che. Per informazioni su come etichettare le tabelle al momento della creazione, consultaTabelle di etichettatura.
Per utilizzare questa politicaus-east-1, sostituisci e123456789012, myExampleLedger nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBSendCommandPermission", "Effect": "Allow", "Action": "qldb:SendCommand", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "QLDBPartiQLCreateTablePermission", "Effect": "Allow", "Action": [ "qldb:PartiQLCreateTable", "qldb:TagResource" ], "Resource": [ "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/*" ], "Condition": { "StringEquals": { "aws:RequestTag/environment": "development" } } } ] }
Esportazione di un journal in un bucket Amazon S3
Fase 1: Autorizzazioni di esportazione del journal QLDB
Nell'esempio seguente, concedi a un utente Account AWS le autorizzazioni per eseguire l'qldb:ExportJournalToS3azione su una risorsa di registro QLDB. Concedi anche le autorizzazioni per eseguire l'iam:PassRoleazione sulla risorsa del ruolo IAM che desideri passare al servizio QLDB. Questo è necessario per tutte le richieste di esportazione del diario.
Per utilizzare questa politica, sostituisci us-east-1 123456789012myExampleLedger,, e qldb-s3-export nell'esempio con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBJournalExportPermission", "Effect": "Allow", "Action": "qldb:ExportJournalToS3", "Resource": "arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger" }, { "Sid": "IAMPassRolePermission", "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/qldb-s3-export", "Condition": { "StringEquals": { "iam:PassedToService": "qldb.amazonaws.com" } } } ] }
Fase 2: autorizzazioni per i bucket Amazon S3
Nell'esempio seguente, utilizzi un ruolo IAM per concedere l'accesso a QLDB per la scrittura in uno dei tuoi bucket Amazon S3,. amzn-s3-demo-bucket Ciò è necessario anche per tutte le esportazioni di giornali QLDB.
Oltre a concedere l's3:PutObjectautorizzazione, la politica concede anche l's3:PutObjectAclautorizzazione per la possibilità di impostare le autorizzazioni dell'elenco di controllo degli accessi (ACL) per un oggetto.
Per utilizzare questa politica, sostituisci amzn-s3-demo-bucket nell'esempio con il nome del tuo bucket Amazon S3.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBJournalExportS3Permissions", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:PutObjectAcl" ], "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*" } ] }
Quindi, colleghi questa policy di autorizzazione a un ruolo IAM che QLDB può assumere per accedere al tuo bucket Amazon S3. Il seguente documento JSON è un esempio di policy di fiducia che consente a QLDB di assumere il ruolo IAM solo per qualsiasi risorsa QLDB nell'account. 123456789012
Per utilizzare questa politica, sostituisci us-east-1 e 123456789012 nell'esempio con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "qldb.amazonaws.com" }, "Action": [ "sts:AssumeRole" ], "Condition": { "ArnEquals": { "aws:SourceArn": "arn:aws:qldb:us-east-1:123456789012:*" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } ] }
Trasmissione di un diario su Kinesis Data Streams
Passaggio 1: autorizzazioni per lo streaming del journal QLDB
Nell'esempio seguente, concedi a un utente tra le tue Account AWS autorizzazioni per eseguire l'qldb:StreamJournalToKinesisazione su tutte le sottorisorse di flusso QLDB in un registro. Concedi anche le autorizzazioni per eseguire l'iam:PassRoleazione sulla risorsa del ruolo IAM che desideri passare al servizio QLDB. Questa operazione è necessaria per tutte le richieste di flusso journal.
Per utilizzare questa politica, sostituiscius-east-1, 123456789012myExampleLedger, e qldb-kinesis-stream nell'esempio con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBJournalStreamPermission", "Effect": "Allow", "Action": "qldb:StreamJournalToKinesis", "Resource": "arn:aws:qldb:us-east-1:123456789012:stream/myExampleLedger/*" }, { "Sid": "IAMPassRolePermission", "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::123456789012:role/qldb-kinesis-stream", "Condition": { "StringEquals": { "iam:PassedToService": "qldb.amazonaws.com" } } } ] }
Fase 2: Autorizzazioni Kinesis Data Streams
Nell'esempio seguente, utilizzi un ruolo IAM per concedere l'accesso a QLDB per scrivere record di dati nel flusso di dati di Amazon Kinesis,. stream-for-qldb Ciò è necessario anche per tutti i flussi di journal QLDB.
Per utilizzare questa politica, sostituisci e us-east-1123456789012, stream-for-qldb nell'esempio, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "QLDBStreamKinesisPermissions", "Action": [ "kinesis:PutRecord*", "kinesis:DescribeStream", "kinesis:ListShards" ], "Effect": "Allow", "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/stream-for-qldb" } ] }
Quindi, colleghi questa policy di autorizzazione a un ruolo IAM che QLDB può assumere per accedere al flusso di dati Kinesis. Il seguente documento JSON è un esempio di policy di fiducia che consente a QLDB di assumere un ruolo IAM per qualsiasi flusso QLDB nell'account solo per il registro. 123456789012 myExampleLedger
Per utilizzare questa politica, sostituisci e, myExampleLedger nell'us-east-1esempio123456789012, con le tue informazioni.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "qldb.amazonaws.com" }, "Action": [ "sts:AssumeRole" ], "Condition": { "ArnEquals": { "aws:SourceArn": "arn:aws:qldb:us-east-1:123456789012:stream/myExampleLedger/*" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } ] }
Aggiornamento dei registri QLDB in base ai tag
Puoi utilizzare le condizioni nella tua policy basata sull'identità per controllare l'accesso alle risorse QLDB in base ai tag. Questo esempio mostra come è possibile creare una politica che consenta l'aggiornamento di un registro. Tuttavia, l'autorizzazione viene concessa solo se il tag ledger Owner ha il valore del nome utente di quell'utente. Questa policy concede anche le autorizzazioni necessarie per completare questa azione nella console.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ListLedgersInConsole", "Effect": "Allow", "Action": "qldb:ListLedgers", "Resource": "*" }, { "Sid": "UpdateLedgerIfOwner", "Effect": "Allow", "Action": "qldb:UpdateLedger", "Resource": "arn:aws:qldb:*:*:ledger/*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"} } } ] }
È possibile collegare questa policy agli utenti nell'account. Se un utente denominato richard-roe tenta di aggiornare un registro QLDB, il registro deve essere contrassegnato con o. Owner=richard-roe owner=richard-roe In caso contrario, gli viene negato l'accesso. La chiave di tag di condizione Owner corrisponde sia a Owner che a owner perché i nomi delle chiavi di condizione non distinguono tra maiuscole e minuscole. Per ulteriori informazioni, consulta la sezione Elementi delle policy JSON di IAM: condizione nella Guida per l'utente IAM.
