本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

适用于 Amazon Comprehend 的基于身份的策略示例

原定设置情况下，用户和角色没有创建或修改 Amazon Comprehend 资源的权限。他们也无法使用 AWS Management Console、AWS Command Line Interface（AWS CLI）或 AWS API 执行任务。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。然后，管理员可以向角色添加 IAM 策略，并且用户可以代入角色。

要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》中的 创建 IAM policy。

有关 Amazon Comprehend 定义的操作和资源类型的详细信息，包括每种资源类型的 ARN 格式，请参阅服务授权参考 中的 Amazon Comprehend 的操作、资源和条件键。

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 Amazon Comprehend 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下准则和建议：

有关 IAM 中的最佳实践的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

使用 Amazon Comprehend 控制台

要访问 Amazon Comprehend 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 AWS 账户 中 Amazon Comprehend 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

对于只需要调用 AWS CLI 或 AWS API 的用户，您无需为其提供最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。

对于最低的 Amazon Comprehend 控制台权限，您可以 ComprehendReadOnly AWS 将托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》中的为用户添加权限。

要使用 Amazon Comprehend 控制台，您需要为如下策略中所示的操作授予权限：

{
  "Version": "2012-10-17",
  "Statement": [
  {
      "Action": [
          "iam:ListRoles",
          "iam:GetRole",
          "s3:ListAllMyBuckets",
          "s3:ListBucket",
          "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": "*"
  }
  ]
  }

Amazon Comprehend 控制台出于以下原因需要上述其他权限：

当您使用控制台创建异步批处理作业或主题建模作业时，您可以选择让控制台为您的作业创建 IAM 角色。要创建 IAM 角色，必须向用户授予以下附加权限，才能创建 IAM 角色和策略以及将策略附加到角色：

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Action":
          [
          "iam:CreateRole",
          "iam:CreatePolicy",
          "iam:AttachRolePolicy"
          ],
        "Effect": "Allow",
        "Resource": "*"
      },
      {
        "Action":
          [
          "iam:PassRole"
          ],
        "Effect": "Allow",
        "Resource": "arn:aws:iam::*:role/*Comprehend*"
      }
    ]
  }

Amazon Comprehend 控制台出于以下原因需要上述其他权限：

允许用户查看他们自己的权限

该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联策略和托管式策略。此策略包括在控制台上完成此操作或者以编程方式使用 AWS CLI 或 AWS API 所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

执行文档分析操作所需的权

以下示例策略授予使用 Amazon Comprehend 文档分析操作的权限：

{
 "Version": "2012-10-17",
 "Statement": [{
    "Sid": "AllowDetectActions",
    "Effect": "Allow",
    "Action": [
              "comprehend:DetectEntities",
              "comprehend:DetectKeyPhrases",
              "comprehend:DetectDominantLanguage",
              "comprehend:DetectSentiment",
              "comprehend:DetectTargetedSentiment",
              "comprehend:DetectSyntax",
              "textract:DetectDocumentText",
              "textract:AnalyzeDocument"
           ],
    "Resource": "*"
    }
 ]
}
    

该策略中的一个语句授予使用 DetectEntities、DetectKeyPhrases、DetectDominantLanguage、DetectTargetedSentiment、DetectSentiment 和 DetectSyntax 操作的权限。该策略语句还授予使用两种 Amazon Textract API 方法的权限。Amazon Comprehend 调用这些方法从图像文件和扫描的 PDF 文档中提取文本。对于从未对这些类型的输入文件运行自定义推理的用户，您可以移除这些权限。

拥有此政策的用户将无法在您的账户中执行批处理操作或异步操作。

该策略不指定 Principal 元素，因为在基于身份的策略中，未指定获取权限的委托人。附加了策略的用户是隐式主体。向 IAM 角色附加权限策略后，该角色的信任策略中标识的主体将获取权限。

有关显示所有 Amazon Comprehend API 操作及它们适用的资源的表，请参阅服务授权参考中的 Amazon Comprehend 的操作、资源和条件键。

使用 KMS 加密所需的权限

要在异步作业中充分使用 Amazon 密钥管理服务 (KMS) 进行数据和作业加密，您需要授予以下策略中显示的操作权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Action": [
            "kms:CreateGrant"
        ],
        "Effect": "Allow",
        "Resource": "*"
    },
    {
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDatakey"
        ],
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.region.amazonaws.com"
                ]
            }
        }
    }
  ]
}       

当您使用 Amazon Comprehend 创建异步作业时，您将使用存储在 Amazon S3 上的输入数据。使用 S3，您可以选择加密存储的数据，这些数据由 S3 加密，而不是 Amazon Comprehend 加密的。如果您向 Amazon Comprehend 作业使用的数据访问角色提供对原始输入数据进行加密的密钥的 kms:Decrypt 权限，我们就可以解密和读取加密的输入数据。

您还可以选择使用 KMS 客户自主管理型密钥 (CMK) 对 S3 上的输出结果以及作业处理期间使用的存储卷进行加密。执行此操作时，您可以对两种类型的加密使用相同的 KMS 密钥，但这不是必需的。创建作业时，可以使用单独的字段来指定输出加密和卷加密的密钥，您甚至可以使用来自不同账户的 KMS 密钥。

使用 KMS 加密时，卷加密需要 kms:CreateGrant 权限，输出数据加密需要 kms:GenerateDataKey 权限。要读取加密的输入（如输入数据已由 Amazon S3 加密），需要 kms:Decrypt 权限。IAM 角色需要根据需要授予这些权限。但是，如果密钥来自与当前使用的账户不同的账户，则该 KMS 密钥的 KMS 密钥策略还必须将这些权限授予作业的数据访问角色。

适用于 Amazon Comprehend 的 AWS 托管（预定义）策略

AWS 通过提供由 AWS 创建和管理的独立 IAM policy 来满足许多常用案例的要求。这些 AWS 托管策略可针对常用案例授予必要的权限，使您免去调查所需权限的工作。有关更多信息，请参阅《IAM 用户指南》中的 AWS 托管式策略。

以下 AWS 托管策略（可附加到您账户中的用户）特定于 Amazon Comprehend：

您需要对任何将使用 Amazon Comprehend 的任何用户应用以下附加策略：

{
    "Version": "2012-10-17",
    "Statement":
      [
        {
          "Action":
            [
              "iam:PassRole"
            ],
          "Effect": "Allow",
          "Resource": "arn:aws:iam::*:role/*Comprehend*"
        }
      ]
  }

您可以通过登录到 IAM 控制台并在该控制台中搜索特定策略来查看托管权限策略。

当您使用 AWS SDK 或 AWS CLI 时，这些策略会起作用。

此外，您还可以创建您自己的自定义 IAM policy，以授予 Amazon Comprehend 操作和资源的相关权限。您可以将这些自定义策略附加到需要这些权限的用户、组或角色。

异步操作所需的基于角色的权限

要使用 Amazon Comprehend 异步操作，您必须授予 Amazon Comprehend 访问包含文档集合的 Amazon S3 存储桶权限。为此，您可以在账户中创建一个数据访问角色，并使用信任策略来信任 Amazon Comprehend 服务的主体。有关创建角色的更多信息，请参阅《AWS 身份和访问管理用户指南》中的创建角色以向 AWS 服务委托权限。

以下显示了您创建的角色的信任策略示例。为了帮助避免混淆代理，您可以使用一个或多个全局条件上下文键来限制权限的范围。将 aws:SourceAccount 值设置为您的账户 ID。如果您使用 ArnEquals 条件，请将 aws:SourceArn 值设置为作业的 ARN。为 ARN 中的作业编号使用通配符，因为 Amazon Comprehend 会在创建作业时生成此编号。

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "comprehend.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          },
          "ArnEquals": {
            "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*"
          }
        }
      }
    ]
 }

创建角色后，为该角色创建访问策略。这应该授予 Amazon S3 GetObject 权限和对包含您输入数据的 Amazon S3 存储桶的 ListBucket 权限，以及 Amazon S3 对您的 Amazon S3 输出数据存储桶的 PutObject 权限。

允许所有 Amazon Comprehend 操作的权限

在您注册 AWS 后，您可以创建管理员用户来管理您的帐户，包括创建用户和管理用户权限。

您可以选择创建具有所有 Amazon Comprehend 操作权限的用户（将该用户视为特定于服务的管理员），以便使用 Amazon Comprehend。您可以将以下权限策略附加到该用户。

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Sid": "AllowAllComprehendActions",
        "Effect": "Allow",
        "Action":
        [
            "comprehend:*",
            "iam:ListRoles",
            "iam:GetRole",
            "s3:ListAllMyBuckets",
            "s3:ListBucket",
            "s3:GetBucketLocation",
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:GenerateDatakey"
      ],
      "Resource": "*"
    },
    {
      "Action":
        [
          "iam:PassRole"
        ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/*Comprehend*"
    }
  ]
}

可通过以下方式对这些加密权限进行修改：

允许主题建模操作的权限

以下权限策略向用户授予执行 Amazon Comprehend 主题建模操作的权限。

{
  "Version": "2012-10-17",
  "Statement": [{
  "Sid": "AllowTopicModelingActions",
  "Effect": "Allow",
  "Action": [
            "comprehend:DescribeTopicsDetectionJob",
            "comprehend:ListTopicsDetectionJobs",
            "comprehend:StartTopicsDetectionJob",
         ],
        "Resource": "*"
        ]
    }
  ]
  }

自定义异步分析任务所需的权限

如果您使用的是StartDocumentClassificationJob 和 StartEntitiesDetectionJobAPI，则需要更新您的 IAM 策略，除非您当前使用通配符作为资源。如果您使用的是使用预训练模型，这不会对您产生影响，您也无需进行任何更改。StartEntitiesDetectionJob

以下示例策略包含一个过时的参考。

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
    ],
    "Effect": "Allow"
}

这是成功运行 StartDocumentClassificationJob 和需要使用的更新策略。 StartEntitiesDetectionJob

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
        "arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
    ],
    "Effect": "Allow"
}