本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

App Runner 基于身份的策略示例

默认情况下，IAM用户和角色无权创建或修改 AWS App Runner 资源。他们也无法使用 AWS Management Console AWS CLI、或执行任务 AWS API。IAM管理员必须创建IAM策略，授予用户和角色对其所需的指定资源执行特定API操作的权限。然后，管理员必须将这些策略附加到需要这些权限的 IAM 用户或组。

要了解如何使用这些示例JSON策略文档创建IAM基于身份的策略，请参阅《IAM用户指南》JSON中的 “在选项卡上创建策略”。

有关其他 App Runner 安全主题，请参阅应用程序运行器中的安全性。

策略最佳实践

基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 App Runner 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关 IAM 中最佳实践的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

用户策略

要访问 App Runner 控制台，IAM用户必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 App Runner 资源的详细信息 AWS 账户。如果您创建的基于身份的策略比所需的最低权限更严格，则控制台将无法按预期运行，供拥有该策略的用户使用。

App Runner 提供了两个托管策略，您可以将其附加到您的用户。

为确保用户可以使用 App Runner 控制台，请至少向用户附加AWSAppRunnerReadOnlyAccess托管策略。您可以改为附加AWSAppRunnerFullAccess托管策略，或者添加特定的其他权限，以允许用户创建、修改和删除资源。有关更多信息，请参阅《用户指南》中的向IAM用户添加权限。

您无需为仅拨打 AWS CLI 或的用户设置最低控制台权限 AWS API。相反，只允许访问与您希望允许用户执行的API操作相匹配的操作。

以下示例演示了自定义用户策略。您可以将它们用作定义自己的自定义用户策略的起点。复制示例，和/或移除操作，缩小资源范围，然后添加条件。

示例：控制台和连接管理用户策略

此示例策略允许访问控制台，并允许创建和管理连接。它不允许创建和管理 App Runner 服务。它可以附加到角色为管理 App Runner 服务对源代码资产的访问权限的用户。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apprunner:List*",
        "apprunner:Describe*",
        "apprunner:CreateConnection",
        "apprunner:DeleteConnection"
      ],
      "Resource": "*"
    }
  ]
}

示例：使用条件键的用户策略

本节中的示例演示了依赖于某些资源属性或操作参数的条件权限。

此示例策略允许创建 App Runner 服务，但拒绝使用名为的连接prod。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCreateAppRunnerServiceWithNonProdConnections",
      "Effect": "Allow",
      "Action": "apprunner:CreateService",
      "Resource": "*",
      "Condition": {
        "ArnNotLike": {
          "apprunner:ConnectionArn": "arn:aws:apprunner:*:*:connection/prod/*"
        }
      }
    }
  ]
}

此示例策略允许更新preprod仅命名为 auto Scaling 配置的 App Runner 服务preprod。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUpdatePreProdAppRunnerServiceWithPreProdASConfig",
      "Effect": "Allow",
      "Action": "apprunner:UpdateService",
      "Resource": "arn:aws:apprunner:*:*:service/preprod/*",
      "Condition": {
        "ArnLike": {
          "apprunner:AutoScalingConfigurationArn": "arn:aws:apprunner:*:*:autoscalingconfiguration/preprod/*"
        }
      }
    }
  ]
}

根据标签控制对 App Runner 服务的访问权限

您可以使用基于身份的策略中的条件根据标签控制对 App Runner 资源的访问权限。此示例说明如何创建允许删除 App Runner 服务的策略。但是，仅当服务标签 Owner 具有该用户的用户名的值时，才授予此权限。此策略还授予在控制台上完成此操作的必要权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListServicesInConsole",
      "Effect": "Allow",
      "Action": "apprunner:ListServices",
      "Resource": "*"
    },
    {
      "Sid": "DeleteServiceIfOwner",
      "Effect": "Allow",
      "Action": "apprunner:DeleteService",
      "Resource": "arn:aws:apprunner:*:*:service/*",
      "Condition": {
        "StringEquals": {"apprunner:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

您可以将此策略附加到您账户中的 IAM 用户。如果名为的用户richard-roe尝试删除 App Runner 服务，则必须对该服务进行标记Owner=richard-roe或owner=richard-roe。否则，将拒绝其访问。条件标签键 Owner 匹配 Owner 和 owner，因为条件键名称不区分大小写。有关更多信息，请参阅《IAM用户指南》中的 “IAMJSON策略元素：条件”。