As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Introdução ao modo de permissões padrão no Amazon QLDB

Utilize esta seção para começar a usar o modo de permissões padrão do Amazon QLDB. Esta seção fornece uma tabela de referência para ajudá-lo a escrever uma política baseada em identidade no AWS Identity and Access Management (IAM) para ações partiQL e recursos de tabela no QLDB. Também inclui um step-by-step tutorial para criar políticas de permissões no IAM e instruções para encontrar um ARN de tabela e criar tags de tabela no QLDB.

O modo de permissões STANDARD

O QLDB agora suporta STANDARD um modo de permissões para recursos contábeis. O modo de permissões que permite o controle do acesso com granularidade mais fina para ledgers, tabelas e comandos PartiQL. Por padrão, esse modo nega todas as solicitações do usuário para executar comandos do PartiQL em qualquer tabela nesse ledger.

Para permitir comandos no modo padrão, você deve criar uma política de permissões no IAM para recursos de tabela específicos e ações do PartiQL. Isso é um acréscimo à permissão da API SendCommand para o ledger. Para facilitar as políticas nesse modo, o QLDB introduziu um conjunto de ações do IAM para comandos partiQL e Amazon Resource Names ARNs () para tabelas QLDB. Para obter mais informações sobre modelo de objeto de dados do QLDB, consulte Principais conceitos e terminologia no Amazon QLDB.

Referência de permissões PartiQL

A tabela a seguir lista cada comando do QLDB partiQL, as ações correspondentes do IAM para as quais você deve conceder permissões para executar o comando AWS e os recursos para os quais você pode conceder as permissões. Você especifica as ações no campo Action da política e o valor do recurso no campo Resource da política.

Para exemplos de documentos de política do IAM que concedem permissões para esses comandos partiQL, acesse Tutorial de início rápido: Criação de políticas de permissões ou consulte Exemplos de políticas baseadas em identidade para o Amazon QLDB.

Encontrar um ID de tabela e um ARN

Você pode encontrar um ID de tabela usando o AWS Management Console ou consultando a tabela information_schema.user_tables. Para visualizar os detalhes da tabela no console ou consultar essa tabela do catálogo do sistema, você deve ter permissão SELECT no recurso do catálogo do sistema. Por exemplo, para encontrar o ID da tabela Vehicle, você pode executar a seguinte instrução.

SELECT * FROM information_schema.user_tables
WHERE name = 'Vehicle'

Esta consulta devolve resultados em um formato semelhante ao seguinte exemplo:

{
    tableId: "Au1EiThbt8s0z9wM26REZN",
    name: "Vehicle",
    indexes: [
        { indexId: "Djg2nt0yIs2GY0T29Kud1z", expr: "[VIN]", status: "ONLINE" },
        { indexId: "4tPW3fUhaVhDinRgKRLhGU", expr: "[LicensePlateNumber]", status: "BUILDING" }
    ],
    status: "ACTIVE"
}

Para conceder permissões para executar instruções partiQL em uma tabela, você especifica um recurso de tabela no seguinte formato ARN.

arn:aws:qldb:${region}:${account-id}:ledger/${ledger-name}/table/${table-id}

Veja a seguir um exemplo de um ARN de tabela para ID de tabela Au1EiThbt8s0z9wM26REZN.

arn:aws:qldb:us-east-1:123456789012:ledger/myExampleLedger/table/Au1EiThbt8s0z9wM26REZN

Tabelas de marcação

Você já pode marcar os recursos da tabela. Para gerenciar tags para tabelas existentes, use as operações TagResource da API AWS Management Console ou ListTagsForResource e. UntagResource Para obter mais informações, consulte Como marcar recursos do Amazon QLDB.

Você também pode definir tags de tabela ao criar a tabela usando o console do QLDB ou especificando-as em uma instrução PartiQL CREATE TABLE. O exemplo a seguir cria uma tabela chamada Vehicle com a tag environment=production.

CREATE TABLE Vehicle WITH (aws_tags = `{'environment': 'production'}`)

Marcar tabelas na criação requer acesso às ações qldb:PartiQLCreateTable e qldb:TagResource.

Ao marcar os recursos no momento da criação, você elimina a necessidade de executar scripts personalizados de marcação após a criação do recurso. Depois que uma tabela é marcada, você pode controlar o acesso à tabela com base nessas tags. Por exemplo, você pode conceder acesso total somente a tabelas que tenham uma tag específica. Para ver um exemplo de política JSON, consulte Acesso total a todas as ações com base nas tags da tabela.

Tutorial de início rápido: Criação de políticas de permissões

Este tutorial orienta você pelas etapas para criar políticas de permissões no IAM para um ledger do Amazon QLDB no modo de permissões STANDARD. Em seguida, você pode atribuir as permissões aos seus usuários, grupos ou perfis.

Para ver mais exemplos de documentos de política do IAM que concedem permissões para comandos e recursos de tabela do PartiQL, consulte Exemplos de políticas baseadas em identidade para o Amazon QLDB.

Pré-requisitos

Antes de iniciar, certifique-se de fazer o seguinte:

Criar uma política somente de leitura

Para usar o editor de políticas JSON para criar uma política somente para leitura para todas as tabelas em um ledger no modo de permissões padrão, faça o seguinte:

Criar uma política de acesso total

Para criar uma política de acesso total para todas as tabelas em um ledger do QLDB no modo de permissões padrão, faça o seguinte:

Criação de uma política somente para leitura para uma tabela específica

Para criar uma política de acesso somente leitura para uma tabela específica em um ledger do QLDB no modo de permissões padrão, faça o seguinte:

Atribuir permissões

Depois de criar uma política de permissões do QLDB, você atribui as permissões da seguinte forma.

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis: