本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

适用于 Identity and Access Managem AWS Cloud9

AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以进行身份验证（登录）和授权（拥有权限）使用 AWS Cloud9 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。

受众

您的使用方式 AWS Identity and Access Management (IAM) 会有所不同，具体取决于您所做的工作 AWS Cloud9。

服务用户-如果您使用 AWS Cloud9 服务完成工作，则管理员会为您提供所需的凭证和权限。当你使用更多 AWS Cloud9 功能来完成工作时，你可能需要额外的权限。了解如何管理访问权限有助于您向管理员请求适合的权限。如果您无法访问 AWS Cloud9中的特征，请参阅 对 AWS Cloud9 身份和访问进行故障排除。

服务管理员-如果您负责公司的 AWS Cloud9 资源，则可能拥有完全访问权限 AWS Cloud9。您的工作是确定您的服务用户应访问哪些 AWS Cloud9 功能和资源。然后，您必须向 IAM 管理员提交请求以更改服务用户的权限。请查看该页面上的信息以了解 IAM 的基本概念。要详细了解您的公司如何将 IAM 与配合使用 AWS Cloud9，请参阅如何 AWS Cloud9 与 IAM 配合使用。

IAM 管理员：如果您是 IAM 管理员，您可能希望了解如何编写策略以管理对 AWS Cloud9的访问权限的详细信息。要查看您可以在 IAM 中使用的 AWS Cloud9 基于身份的策略示例，请参阅。适用于 AWS Cloud9的基于身份的策略示例

使用身份进行身份验证

身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户身份或通过担 AWS 账户根用户任 IAM 角色进行身份验证（登录 AWS）。

您可以使用通过身份源提供的凭据以 AWS 联合身份登录。 AWS IAM Identity Center （IAM Identity Center）用户、贵公司的单点登录身份验证以及您的 Google 或 Facebook 凭据就是联合身份的示例。当您以联合身份登录时，您的管理员以前使用 IAM 角色设置了身份联合验证。当你使用联合访问 AWS 时，你就是在间接扮演一个角色。

根据您的用户类型，您可以登录 AWS Management Console 或 AWS 访问门户。有关登录的更多信息 AWS，请参阅《AWS 登录 用户指南》中的如何登录到您 AWS 账户的。

如果您 AWS 以编程方式访问，则会 AWS 提供软件开发套件 (SDK) 和命令行接口 (CLI)，以便使用您的凭据对请求进行加密签名。如果您不使用 AWS 工具，则必须自己签署请求。有关使用推荐的方法自行签署请求的更多信息，请参阅 IAM 用户指南中的签署 AWS API 请求。

无论使用何种身份验证方法，您可能需要提供其他安全信息。例如， AWS 建议您使用多重身份验证 (MFA) 来提高账户的安全性。要了解更多信息，请参阅《AWS IAM Identity Center 用户指南》中的多重身份验证和《IAM 用户指南》中的在 AWS中使用多重身份验证（MFA）。

AWS 账户 root 用户

创建时 AWS 账户，首先要有一个登录身份，该身份可以完全访问账户中的所有资源 AWS 服务 和资源。此身份被称为 AWS 账户 root 用户，使用您创建账户时使用的电子邮件地址和密码登录即可访问该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证，并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表，请参阅《IAM 用户指南》中的需要根用户凭证的任务。

联合身份

作为最佳实践，要求人类用户（包括需要管理员访问权限的用户）使用与身份提供商的联合身份验证 AWS 服务 通过临时证书进行访问。

联合身份是指您的企业用户目录、Web 身份提供商、Identity C enter 目录中的用户，或者任何使用 AWS 服务 通过身份源提供的凭据进行访问的用户。 AWS Directory Service当联合身份访问时 AWS 账户，他们将扮演角色，角色提供临时证书。

要集中管理访问权限，建议您使用 AWS IAM Identity Center。您可以在 IAM Identity Center 中创建用户和群组，也可以连接并同步到您自己的身份源中的一组用户和群组，以便在您的所有 AWS 账户 和应用程序中使用。有关 IAM Identity Center 的信息，请参阅《AWS IAM Identity Center 用户指南》中的什么是 IAM Identity Center？。

IAM 用户和群组

I AM 用户是您 AWS 账户 内部对个人或应用程序具有特定权限的身份。在可能的情况下，我们建议使用临时凭证，而不是创建具有长期凭证（如密码和访问密钥）的 IAM 用户。但是，如果您有一些特定的使用场景需要长期凭证以及 IAM 用户，建议您轮换访问密钥。有关更多信息，请参阅《IAM 用户指南》中的对于需要长期凭证的使用场景定期轮换访问密钥。

IAM 组是一个指定一组 IAM 用户的身份。您不能使用组的身份登录。您可以使用组来一次性为多个用户指定权限。如果有大量用户，使用组可以更轻松地管理用户权限。例如，您可能具有一个名为 IAMAdmins 的组，并为该组授予权限以管理 IAM 资源。

用户与角色不同。用户唯一地与某个人员或应用程序关联，而角色旨在让需要它的任何人代入。用户具有永久的长期凭证，而角色提供临时凭证。要了解更多信息，请参阅《IAM 用户指南》中的何时创建 IAM 用户（而不是角色）。

IAM 角色

I AM 角色是您内部具有特定权限 AWS 账户 的身份。它类似于 IAM 用户，但与特定人员不关联。您可以 AWS Management Console 通过切换角色在中临时担任 IAM 角色。您可以通过调用 AWS CLI 或 AWS API 操作或使用自定义 URL 来代入角色。有关使用角色的方法的更多信息，请参阅《IAM 用户指南》中的 使用 IAM 角色。

具有临时凭证的 IAM 角色在以下情况下很有用：

要了解是使用 IAM 角色还是 IAM 用户，请参阅《IAM 用户指南》中的何时创建 IAM 角色（而不是用户）。

使用策略管理访问

您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略是其中的一个对象 AWS ，当与身份或资源关联时，它会定义其权限。 AWS 在委托人（用户、root 用户或角色会话）发出请求时评估这些策略。策略中的权限确定是允许还是拒绝请求。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的结构和内容的更多信息，请参阅《IAM 用户指南》中的 JSON 策略概览。

管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源执行操作，以及在什么条件下执行。

默认情况下，用户和角色没有权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。管理员随后可以向角色添加 IAM 策略，用户可以代入角色。

IAM 策略定义操作的权限，无关乎您使用哪种方法执行操作。例如，假设您有一个允许 iam:GetRole 操作的策略。拥有该策略的用户可以从 AWS Management Console AWS CLI、或 AWS API 获取角色信息。

基于身份的策略

基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》中的创建 IAM 策略。

基于身份的策略可以进一步归类为内联策略或托管式策略。内联策略直接嵌入单个用户、组或角色中。托管策略是独立的策略，您可以将其附加到中的多个用户、群组和角色 AWS 账户。托管策略包括 AWS 托管策略和客户托管策略。要了解如何在托管式策略和内联策略之间进行选择，请参阅《IAM 用户指南》中的在托管式策略与内联策略之间进行选择。

基于资源的策略

基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Simple Storage Service（Amazon S3）存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定主体。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。

基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。

访问控制列表 (ACL)

访问控制列表（ACL）控制哪些主体（账户成员、用户或角色）有权访问资源。ACL 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。

Amazon S3 和 Amazon VPC 就是支持 ACL 的服务示例。 AWS WAF要了解有关 ACL 的更多信息，请参阅《Amazon Simple Storage Service 开发人员指南》 中的访问控制列表（ACL）概览。

其他策略类型

AWS 支持其他不太常见的策略类型。这些策略类型可以设置更常用的策略类型向您授予的最大权限。

多个策略类型

当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 IAM 用户指南中的策略评估逻辑。

如何 AWS Cloud9 与 IAM 配合使用

在使用 IAM 管理访问权限之前 AWS Cloud9，请先了解有哪些 IAM 功能可供使用 AWS Cloud9。

要全面了解 AWS Cloud9 以及其他 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM 用户指南中的与 IAM 配合使用的AWS 服务。

基于身份的策略 AWS Cloud9

基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅 IAM 用户指南中的创建 IAM 策略。

通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。您无法在基于身份的策略中指定主体，因为它适用于其附加的用户或角色。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》中的 IAM JSON 策略元素引用。

基于身份的策略示例 AWS Cloud9

要查看 AWS Cloud9 基于身份的策略的示例，请参阅。适用于 AWS Cloud9的基于身份的策略示例

内部基于资源的政策 AWS Cloud9

基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Simple Storage Service（Amazon S3）存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定主体。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。

要启用跨账户存取，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。将跨账户主体添加到基于资源的策略只是建立信任关系工作的一半而已。当委托人和资源处于不同位置时 AWS 账户，可信账户中的 IAM 管理员还必须向委托人实体（用户或角色）授予访问资源的权限。他们通过将基于身份的策略附加到实体以授予权限。但是，如果基于资源的策略向同一个账户中的主体授予访问权限，则不需要额外的基于身份的策略。有关更多信息，请参阅《IAM 用户指南》中的 IAM 角色与基于资源的策略有何不同。

AWS Cloud9 不支持基于资源的策略，但您仍然可以通过 AWS Cloud9 API 和 AWS Cloud9 IDE 控制 AWS Cloud9 AWS Cloud9 环境成员的环境资源权限。

的政策行动 AWS Cloud9

管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源 执行操作，以及在什么 条件 下执行。

JSON 策略的 Action 元素描述可用于在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API 操作同名。有一些例外情况，例如没有匹配 API 操作的仅限权限 操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为相关操作。

在策略中包含操作以授予执行关联操作的权限。

要查看 AWS Cloud9 操作列表，请参阅《服务授权参考》 AWS Cloud9中定义的操作。

正在执行的策略操作在操作前 AWS Cloud9 使用以下前缀：

account

要在单个语句中指定多项操作，请使用逗号将它们隔开。

"Action": [
      "account:action1",
      "account:action2"
         ]

要查看 AWS Cloud9 基于身份的策略的示例，请参阅。适用于 AWS Cloud9的基于身份的策略示例

的政策资源 AWS Cloud9

管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源 执行操作，以及在什么条件 下执行。

Resource JSON 策略元素指定要向其应用操作的一个或多个对象。语句必须包含 Resource 或 NotResource 元素。作为最佳实践，请使用其 Amazon 资源名称（ARN）指定资源。对于支持特定资源类型（称为资源级权限）的操作，您可以执行此操作。

对于不支持资源级权限的操作（如列出操作），请使用通配符 (*) 指示语句应用于所有资源。

"Resource": "*"

要查看 AWS Cloud9 资源类型及其 ARN 的列表，请参阅《服务授权参考》 AWS Cloud9中定义的资源。要了解可以在哪些操作中指定每个资源的 ARN，请参阅 AWS Cloud9定义的操作。

要查看 AWS Cloud9 基于身份的策略的示例，请参阅。适用于 AWS Cloud9的基于身份的策略示例

的策略条件密钥 AWS Cloud9

管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

在 Condition 元素（或 Condition 块）中，可以指定语句生效的条件。Condition 元素是可选的。您可以创建使用条件运算符（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。

如果您在一个语句中指定多个 Condition 元素，或在单个 Condition 元素中指定多个键，则 AWS 使用逻辑 AND 运算评估它们。如果您为单个条件键指定多个值，则使用逻辑OR运算来 AWS 评估条件。在授予语句的权限之前必须满足所有的条件。

在指定条件时，您也可以使用占位符变量。例如，只有在使用 IAM 用户名标记 IAM 用户时，您才能为其授予访问资源的权限。有关更多信息，请参阅《IAM 用户指南》中的 IAM 策略元素：变量和标签。

AWS 支持全局条件密钥和特定于服务的条件密钥。要查看所有 AWS 全局条件键，请参阅 IAM 用户指南中的AWS 全局条件上下文密钥。

要查看 AWS Cloud9 条件键列表，请参阅《服务授权参考》 AWS Cloud9中的条件密钥。要了解可以使用条件键的操作和资源，请参阅由定义的操作 AWS Cloud9。

要查看 AWS Cloud9 基于身份的策略的示例，请参阅。适用于 AWS Cloud9的基于身份的策略示例

输入的 ACL AWS Cloud9

访问控制列表（ACL）控制哪些主体（账户成员、用户或角色）有权访问资源。ACL 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。

ABAC with AWS Cloud9

基于属性的访问控制（ABAC）是一种授权策略，该策略基于属性来定义权限。在中 AWS，这些属性称为标签。您可以将标签附加到 IAM 实体（用户或角色）和许多 AWS 资源。标记实体和资源是 ABAC 的第一步。然后设计 ABAC 策略，以在主体的标签与他们尝试访问的资源标签匹配时允许操作。

ABAC 在快速增长的环境中非常有用，并在策略管理变得繁琐的情况下可以提供帮助。

要基于标签控制访问，您需要使用 aws:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键在策略的条件元素中提供标签信息。

如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为是。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为部分。

有关 ABAC 的更多信息,请参阅《IAM 用户指南》中的什么是 ABAC？。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》中的使用基于属性的访问权限控制（ABAC）。

将临时证书与 AWS Cloud9

当你使用临时证书登录时，有些 AWS 服务 不起作用。有关更多信息，包括哪些 AWS 服务 适用于临时证书，请参阅 IAM 用户指南中的AWS 服务 与 IA M 配合使用的信息。

如果您使用除用户名和密码之外的任何方法登录，则 AWS Management Console 使用的是临时证书。例如，当您 AWS 使用公司的单点登录 (SSO) 链接进行访问时，该过程会自动创建临时证书。当您以用户身份登录控制台，然后切换角色时，您还会自动创建临时凭证。有关切换角色的更多信息，请参阅《IAM 用户指南》中的 切换到角色（控制台）。

您可以使用 AWS CLI 或 AWS API 手动创建临时证书。然后，您可以使用这些临时证书进行访问 AWS。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅 IAM 中的临时安全凭证。

转发访问会话 AWS Cloud9

当您使用 IAM 用户或角色在中执行操作时 AWS，您被视为委托人。使用某些服务时，您可能会执行一个操作，然后此操作在其他服务中启动另一个操作。FAS 使用调用委托人的权限以及 AWS 服务 向下游服务发出请求的请求。 AWS 服务只有当服务收到需要与其他 AWS 服务 或资源交互才能完成的请求时，才会发出 FAS 请求。在这种情况下，您必须具有执行这两个操作的权限。有关发出 FAS 请求时的策略详细信息，请参阅转发访问会话。

AWS Cloud9的服务角色

服务角色是由一项服务担任、代表您执行操作的 IAM 角色。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》中的创建向 AWS 服务委派权限的角色。

的服务相关角色 AWS Cloud9

服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

有关创建或管理服务相关角色的详细信息，请参阅能够与 IAM 搭配使用的AWS 服务。在表中查找服务相关角色列中包含 Yes 的表。选择是链接以查看该服务的服务相关角色文档。

适用于 AWS Cloud9的基于身份的策略示例

默认情况下，用户和角色没有创建或修改 AWS Cloud9 资源的权限。他们也无法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或 AWS API 执行任务。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。管理员随后可以向角色添加 IAM 策略，用户可以代入角色。

要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅 IAM 用户指南中的 创建 IAM 策略。

有关由定义的操作和资源类型的详细信息 AWS Cloud9，包括每种资源类型的 ARN 格式，请参阅《服务授权参考》 AWS Cloud9中的操作、资源和条件密钥。

策略最佳实践

基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 AWS Cloud9 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下准则和建议：

有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实操。

使用 AWS Cloud9 控制台

要访问 AWS Cloud9 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 AWS Cloud9 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。

为确保用户和角色仍然可以使用 AWS Cloud9 控制台，还需要将 AWS Cloud9 ConsoleAccess或ReadOnly AWS 托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》中的为用户添加权限。

允许用户查看他们自己的权限

该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

对 AWS Cloud9 身份和访问进行故障排除

使用以下信息来帮助您诊断和修复在使用 AWS Cloud9 和 IAM 时可能遇到的常见问题。

我无权在以下位置执行操作 AWS Cloud9

如果您收到错误提示，表明您无权执行某个操作，则您必须更新策略以允许执行该操作。

当 mateojackson IAM 用户尝试使用控制台查看有关虚构 my-example-widget 资源的详细信息，但不拥有虚构 awes:GetWidget 权限时，会发生以下示例错误。

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: awes:GetWidget on resource: my-example-widget

在此情况下，必须更新 mateojackson 用户的策略，以允许使用 awes:GetWidget 操作访问 my-example-widget 资源。

如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。

我无权执行 iam：PassRole

如果您收到一个错误，表明您无权执行 iam:PassRole 操作，则必须更新策略以允许您将角色传递给 AWS Cloud9。

有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。

当名为 marymajor 的 IAM 用户尝试使用控制台在 AWS Cloud9中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

在这种情况下，必须更新 Mary 的策略以允许她执行 iam:PassRole 操作。

如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。

我想允许我以外的人 AWS 账户 访问我的 AWS Cloud9 资源

您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以担任角色。对于支持基于资源的策略或访问控制列表（ACL）的服务，您可以使用这些策略向人员授予对您的资源的访问权。

要了解更多信息，请参阅以下内容：

如何 AWS Cloud9 使用 IAM 资源和操作

AWS Identity and Access Management 用于管理允许您同时使用 AWS Cloud9 开发环境 AWS 服务 和其他资源的权限。

AWS Cloud9 资源和运营

在中 AWS Cloud9，主要资源是 AWS Cloud9 开发环境。在策略中，您可以使用 Amazon Resource Name (ARN) 标识策略应用到的资源。下表列出了环境 ARN。有关更多信息，请参阅 Amazon Web Services 一般参考 中的 Amazon Resource Names (ARNs) and AWS Service Namespaces。

例如，您可以在语句中使用 Amazon 资源名称（ARN）指示特定的环境，如下所示。

"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX"

要指定所有资源，请在 Resource 元素中使用通配符（*）。

"Resource": "*"

要在单个语句中指定多个资源，请使用逗号分隔其 Amazon 资源名称（ARN）。

"Resource": [
  "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX",
  "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
]

AWS Cloud9 提供了一组使用 AWS Cloud9 资源的操作。有关列表，请参阅 AWS Cloud9 权限参考。

了解资源所有权

该 AWS 账户 账户拥有在账户中创建的资源，无论谁创建了这些资源。

请考虑以下使用案例和场景：

管理对资源的访问

权限策略规定谁可以访问哪些资源。

附加到 IAM 身份的策略称为基于身份的策略（或 IAM 策略）。附加到资源的策略称为基于资源的策略。 AWS Cloud9 支持基于身份和基于资源的策略。

以下各项 API 操作仅要求将一个 IAM 策略附加到要调用这些 API 操作的 IAM 身份：

以下 API 操作需要使用基于资源的策略。IAM 策略不是必需的，但如果它附加到想要调 AWS Cloud9 用这些 API 操作的 IAM 身份，则使用 IAM 策略。必须将基于资源的策略应用于所需的 AWS Cloud9 资源：

有关每个 API 操作执行的任务的更多信息，请参阅《AWS Cloud9 API 参考》。

您不能将基于资源的策略直接附加到 AWS Cloud9 资源。相反，在添加、修改、更新或删除环境成员时，将相应的基于 AWS Cloud9 资源的策略 AWS Cloud9 附加到资源。

要向用户授予对 AWS Cloud9 资源执行操作的权限，您需要向该用户所属的 IAM 群组附加权限策略。我们建议您 AWS Cloud9 尽可能为其附加 AWS 托管（预定义）策略。 AWS 托管策略包含针对常见使用场景和用户类型的预定义访问权限集，例如对环境的全面管理、环境用户以及对环境只有只读访问权限的用户。有关 AWS 托管策略的列表 AWS Cloud9，请参阅AWS 的托管策略 AWS Cloud9。

对于更详细的使用方案和独特的用户类型，您可以创建并附加自己的客户托管式策略。请参阅 适用于 AWS Cloud9 的其他设置选项（团队和企业） 和 为以下各项创建客户托管策略 AWS Cloud9。

要将 IAM 策略（AWS 托管或客户托管）附加到 IAM 身份，请参阅 IAM 用户指南中的附加 IAM 策略（控制台）。

API 操作的会话权限

使用 AWS CLI 或 AWS API 以编程方式为角色或联合用户创建临时会话时，您可以将会话策略作为参数传递以扩展角色会话的范围。这意味着会话的有效权限是角色基于身份的策略与会话策略的交集。

在会话期间请求访问资源时，如果没有适用的 Deny 语句，也没有适用的 Allow 语句，则策略评估的结果是隐式拒绝。（有关更多信息，请参阅 IAM 用户指南中的确定账户内请求是否被允许或拒绝。）

但是，对于需要基于资源的策略的 AWS Cloud9 API 操作（见上文），如果资源策略Principal中指定为，则会向正在调用的 IAM 实体授予权限。此显式权限优先于隐式拒绝会话策略，从而允许会话成功调用 AWS Cloud9 API 操作。

AWS 的托管策略 AWS Cloud9

AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于您的使用场景的客户管理型策略来进一步减少权限。

您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 最有可能在启动新的 API 或现有服务可以使用新 AWS 服务 的 API 操作时更新 AWS 托管策略。

有关更多信息，请参阅《IAM 用户指南》中的 AWS 托管式策略。

AWS 托管策略： AWSCloud9Administrator

您可以将 AWSCloud9Administrator 策略附加到 IAM 身份。

此策略授予管理权限，提供管理员访问权限 AWS Cloud9。

权限详细信息

该策略包含以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:*",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS 托管策略： AWSCloud9User

您可以将 AWSCloud9User 策略附加到 IAM 身份。

此策略授予用户进行创建 AWS Cloud9 开发环境和管理拥有的环境的权限。

权限详细信息

该策略包含以下权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS 托管策略： AWSCloud9EnvironmentMember

您可以将 AWSCloud9EnvironmentMember 策略附加到 IAM 身份。

此策略授予成员权限，从而能够加入 AWS Cloud9 共享环境。

权限详细信息

该策略包含以下权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserSettings",
                "cloud9:UpdateUserSettings",
                "iam:GetUser",
                "iam:ListUsers"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS 托管策略：AWSCloud9ServiceRolePolicy

服务相关角色 AWSServiceRoleForAWSCloud9 使用此策略允许 AWS Cloud9 环境与 Amazon EC2 和 AWS CloudFormation 资源进行交互。

权限详细信息

AWSCloud9ServiceRolePolicy授予 AWSServiceRoleForAWSCloud 9 个必要的权限， AWS Cloud9 允许他们与创建和运行开发环境所需的 AWS 服务 （Amazon EC2 和 AWS CloudFormation）进行交互。

AWS Cloud9 定义其服务相关角色的权限，并且 AWS Cloud9 只能担任其角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其它 IAM 实体。

有关如何 AWS Cloud9 使用服务相关角色的更多信息，请参阅将服务相关角色用于 AWS Cloud9。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ec2:RunInstances",
				"ec2:CreateSecurityGroup",
				"ec2:DescribeVpcs",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeInstances",
				"ec2:DescribeInstanceStatus",
				"cloudformation:CreateStack",
				"cloudformation:DescribeStacks",
				"cloudformation:DescribeStackEvents",
				"cloudformation:DescribeStackResources"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:TerminateInstances",
				"ec2:DeleteSecurityGroup",
				"ec2:AuthorizeSecurityGroupIngress"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"cloudformation:DeleteStack"
			],
			"Resource": "arn:aws:cloudformation:*:*:stack/aws-cloud9-*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": [
				"arn:aws:ec2:*:*:instance/*",
				"arn:aws:ec2:*:*:security-group/*"
			],
			"Condition": {
				"StringLike": {
					"aws:RequestTag/Name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"ec2:ResourceTag/aws:cloudformation:stack-name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": [
				"arn:aws:license-manager:*:*:license-configuration:*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:ListInstanceProfiles",
				"iam:GetInstanceProfile"
			],
			"Resource": [
				"arn:aws:iam::*:instance-profile/cloud9/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"
			],
			"Condition": {
				"StringLike": {
					"iam:PassedToService": "ec2.amazonaws.com"
				}
			}
		}
	]
}

AWS Cloud9AWS 托管策略的更新

查看 AWS Cloud9 自该服务开始跟踪这些更改以来 AWS 托管策略更新的详细信息。要获得有关此页面变更的自动提醒，请订阅 “ AWS Cloud9 文档历史记录” 页面上的 RSS feed。

为以下各项创建客户托管策略 AWS Cloud9

如果所有 AWS 托管策略都不符合您的访问控制要求，则可以创建并附加自己的客户托管策略。

要创建客户托管式策略，请参阅 IAM 用户指南中的创建 IAM 策略（控制台）。

指定策略元素：效果、委托人、操作和资源

对于每种 AWS Cloud9 资源，该服务都定义了一组 API 操作。要授予这些 API 操作的权限，请 AWS Cloud9 定义一组可在策略中指定的操作。

以下是基本的策略元素：

有关 IAM 策略语法和介绍的更多信息，请参阅 IAM 用户指南的 IAM JSON 策略参考。

有关显示所有 AWS Cloud9 API 操作及其适用的资源的表格，请参阅AWS Cloud9 权限参考。

客户管理型策略示例

在本节中，您可以找到为 AWS Cloud9 操作授予权限的示例策略。您可以修改以下示例 IAM 策略以允许或明确拒绝您的 IAM 身份访问 AWS Cloud9 。

要创建客户托管式策略或将其附加到 IAM 身份，请参阅 IAM 用户指南中的创建 IAM 策略（控制台）和附加 IAM 策略（控制台）。

获取有关环境的信息

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体获取有关其账户中的任何环境的信息。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironments",
      "Resource": "*"
    }
  ]
}

创建 EC2 环境

以下 IAM 策略声明示例（附加到 IAM 实体）允许该实体在其账户中创建 AWS Cloud9 EC2 开发环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

使用特定的 Amazon EC2 实例类型创建 EC2 环境

以下 IAM 策略声明示例（附加到 IAM 实体）允许该实体在其账户中创建 AWS Cloud9 EC2 开发环境。不过，EC2 环境只能使用指定类别的 Amazon EC2 实例类型。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:InstanceType": "t3.*"
        }
      }
    }
  ]
}

在特定的 Amazon VPC 子网中创建 EC2 环境

以下 IAM 策略声明示例（附加到 IAM 实体）允许该实体在其账户中创建 AWS Cloud9 EC2 开发环境。不过，EC2 环境只能使用指定的 Amazon VPC 子网。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:SubnetId": [
            "subnet-12345678",
            "subnet-23456789"
          ]
        }
      }
    }
  ]
}

使用特定的环境名称创建 EC2 环境

以下 IAM 策略声明示例（附加到 IAM 实体）允许该实体在其账户中创建 AWS Cloud9 EC2 开发环境。不过，EC2 环境只能使用指定的名称。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:EnvironmentName": "my-demo-environment"
        }
      }
    }
  ]
}

仅创建 SSH 环境

以下 IAM 策略声明示例（附加到 IAM 实体）允许该实体在其账户中创建 AWS Cloud9 SSH 开发环境。但是，该实体无法创建 AWS Cloud9 EC2 开发环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentSSH",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

更新环境或禁止更新环境

以下 IAM 政策声明示例（附加到 IAM 实体）允许该实体更改有关其账户中任何 AWS Cloud9 开发环境的信息。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "*"
    }
  ]
}

以下示例 IAM policy 语句附加到一个 IAM 实体，此语句显式防止该实体更改有关具有指定 Amazon 资源名称（ARN）的环境的信息。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

获取环境成员列表

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体获取其账户中的任何环境的成员列表。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironmentMemberships",
      "Resource": "*"
    }
  ]
}

仅与特定用户共享环境

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体仅与指定用户共享其账户中的任何环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentMembership"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:UserArn": "arn:aws:iam::123456789012:user/MyDemoUser"
        }
      }
    }
  ]
}

禁止共享环境

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句禁止该实体共享其账户中的任何环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloud9:CreateEnvironmentMembership",
        "cloud9:UpdateEnvironmentMembership"
      ],
      "Resource": "*"
    }
  ]
}

更改或禁止更改环境成员设置

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体更改其账户的任何环境中的成员设置。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

以下示例 IAM policy 语句附加到一个 IAM 实体，此语句显式防止该实体更改具有指定 Amazon 资源名称（ARN）的环境中的成员设置。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

删除或禁止删除环境成员

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体从其账户的任何环境中删除任何成员。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

以下示例 IAM policy 语句附加到一个 IAM 实体，此语句显式防止该实体从具有指定 Amazon 资源名称（ARN）的环境中删除任何成员。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

删除或阻止删除环境

以下示例 IAM 策略语句附加到一个 IAM 实体，此语句允许该实体删除其账户中的任何环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "*"
    }
  ]
}

以下示例 IAM policy 语句附加到一个 IAM 实体，此语句显式防止该实体删除具有指定 Amazon 资源名称（ARN）的环境。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

用于创建 SSM 环境的自定义 IAM 策略

当前存在一个权限问题，会在创建附加 AWSCloud9Administrator 或 AWSCloud9User 策略的 SSM 环境时出现。以下示例 IAM 策略声明在附加到 IAM 实体时，允许用户附加和使用 AWS 托管策略AWSCloud9Administrator或AWSCloud9User。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "iam:ListRoles",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:ListInstanceProfilesForRole", "iam:CreateRole"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:AttachRolePolicy"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"],
            "Condition": {
                "StringEquals": {
                    "iam:PolicyARN": "arn:aws:iam::aws:policy/AWSCloud9SSMInstanceProfile"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:AddRoleToInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::*:instance-profile/cloud9/AWSCloud9SSMInstanceProfile"
            ]
        }
    ]
}

AWS Cloud9 权限参考

您可以在 AWS Cloud9 策略中使用 AWS 宽条件密钥来表达条件。有关列表，请参阅 IAM 用户指南中的 IAM JSON 策略元素：条件。

请在策略的 Action 字段中指定这些操作。要指定操作，请在 API 操作名称之前使用 cloud9: 前缀（例如，"Action": "cloud9:DescribeEnvironments"）。要在单个语句中指定多项操作，请使用逗号将它们隔开（例如，"Action": [ "cloud9:UpdateEnvironment", "cloud9:DeleteEnvironment" ]）。

使用通配符

您可以在策略的 * 字段中将带或不带通配符 (Resource) 的 ARN 指定为资源值。您可以使用通配符指定多个操作或资源。例如，cloud9:*指定所有 AWS Cloud9 操作并cloud9:Describe*指定以开头的所有 AWS Cloud9 操作Describe。

以下示例允许 IAM 实体获取有关其账户中的任何环境和环境成员的信息。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

AWS Cloud9 API 操作和操作所需的权限

AWS 托管的临时证书

对于 AWS Cloud9 EC2 开发 AWS Cloud9 环境，您可以在环境中 AWS 使用临时访问证书。我们将这些凭证称为 AWS 托管式临时凭证。这些凭证具有以下优势：

每当 EC2 环境尝试代表 AWS 实体（例如，IAM 用户）访问时， AWS 托管临时证书的工作原理如下： AWS 服务

EC2 环境的所有者可以随时为该环境开启或关闭 AWS 托管临时证书，如下所示：

如果您关闭 AWS 托管临时证书，则无论是哪个 AWS 实体提出请求 AWS 服务，环境都无法访问任何证书。但是，假设你不能或不想为环境开启 AWS 托管临时证书，但你仍然需要环境才能访问 AWS 服务。则考虑以下替代方案：

上述替代方法覆盖 EC2 环境中 AWS 托管式临时凭证允许（或拒绝）的所有权限。

AWS 托管临时证书支持的操作

对于 AWS Cloud9 EC2 开发环境， AWS 托管临时证书允许对调用者中的所有 AWS 资源执行所有 AWS 操作 AWS 账户，但有以下限制：

如果 AWS Cloud9 不支持您需要 EC2 环境才能访问的操作或资源，或者如果 EC2 环境的 AWS 托管临时证书已关闭，而您无法将其重新打开，请考虑以下替代方案：

上述替代方法覆盖 EC2 环境中 AWS 托管式临时凭证允许（或拒绝）的所有权限。

创建和更新 AWS 托管临时证书

对于 AWS Cloud9 EC2 开发环境， AWS 托管临时证书是在您首次打开环境时创建的。

AWS 在以下任一条件下更新托管临时证书：

控制对 AWS 托管式临时凭证的访问

拥有 AWS 托管临时证书的合作者可以使用与其他 AWS Cloud9 AWS 服务人互动。为了确保仅向受信任的协作者提供 AWS 托管式临时凭证，如果环境拥有者以外的任何人添加了新成员，则这些凭证将被禁用。通过删除 ~/.aws/credentials 文件禁用凭证。

只有环境所有者才能重新启用 AWS 托管临时证书，以便与其他成员共享这些证书。当环境所有者打开 IDE 时，会出现一个对话框，确认 AWS 托管临时凭证已禁用。环境拥有者可以为所有成员重新启用凭证，或禁用所有成员的凭证。