View a markdown version of this page

配置使用亚马逊 DataZone 管理控制台所需的 IAM 权限 - 亚马逊 DataZone
将必需和可选的策略附加到用户、组或角色，以便访问管理控制台为 IAM 权限创建自定义策略，以启用管理服务控制台简化角色创建创建自定义权限策略以管理与域关联的账户（可选）为 I AWS dentity Center 权限创建自定义策略，以添加和删除 SSO 用户和 SSO 组对域的访问权限（可选）将您的 IAM 委托人添加为密钥用户，以使用 KMS 的客户管理密钥创建您的域 AWS

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

配置使用亚马逊 DataZone 管理控制台所需的 IAM 权限

要访问和配置您的亚马逊 DataZone 域、蓝图和用户，以及创建亚马逊 DataZone 数据门户，您必须使用亚马逊管理控制台。 DataZone

您必须完成以下步骤，才能为想要使用亚马逊 DataZone管理控制台的任何用户、群组或角色配置所需的 and/or可选权限。

将必需和可选策略附加到用户、群组或角色以访问亚马逊 DataZone 控制台

完成以下过程，将必需和可选的自定义策略附加到用户、组或角色。有关更多信息，请参阅 AWS 亚马逊的管理政策 DataZone。

  1. 登录 AWS 管理控制台并在上打开 IAM 控制台https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择策略。

  3. 选择要附加到用户、组或角色的以下策略。

  4. 选择 Actions（操作），然后选择 Attach（附加）。

  5. 选择要将该策略附加到的用户、组或角色。您可以使用 Filter（筛选条件）菜单和搜索框来筛选委托人实体列表。选择用户、组或角色后，选择附加策略。

为 IAM 权限创建自定义策略，使亚马逊 DataZone 服务控制台能够简化角色创建

完成以下步骤以创建自定义内联策略，以获得必要的权限，使亚马逊 DataZone 能够代表您在 AWS 管理控制台中创建必要的角色。

注意

有关配置权限以允许创建服务角色的最佳实践信息，请参阅https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html。

  1. 登录 AWS 管理控制台并在上打开 IAM 控制台https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择用户或用户组。

  3. 在列表中，请选择要在其中嵌入策略的用户或组的名称。

  4. 选择 Permissions (权限) 选项卡，然后展开 Permissions policies (权限策略) 部分（如有必要）。

  5. 选择添加权限，然后选择创建内联策略链接。

  6. 在创建策略屏幕上的策略编辑器部分中，选择 JSON。

    使用以下 JSON 语句创建策略文档，然后选择下一步。

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        }
    ]
}

  7. 在查看策略屏幕上，输入此策略的名称。如果您对该策略感到满意，请选择 Create policy (创建策略)。确保屏幕顶部的红框中没有显示错误。更正报告的任何错误。

为管理与亚马逊 DataZone 域名关联的账户的权限创建自定义政策

完成以下步骤以创建自定义内联策略，使其在关联 AWS 账户中具有列出、接受和拒绝域资源共享所需的权限，然后在关联账户中启用、配置和禁用环境蓝图。要启用蓝图配置期间可用的可选亚马逊 DataZone 服务控制台简化角色创建，您还必须这样做为 IAM 权限创建自定义策略，使亚马逊 DataZone 服务控制台能够简化角色创建。

注意

有关配置权限以允许创建服务角色的最佳实践信息，请参阅https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html。

  1. 登录 AWS 管理控制台并在上打开 IAM 控制台https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择用户或用户组。

  3. 在列表中，请选择要在其中嵌入策略的用户或组的名称。

  4. 选择 Permissions (权限) 选项卡，然后展开 Permissions policies (权限策略) 部分（如有必要）。

  5. 选择添加权限，然后选择创建内联策略链接。

  6. 在创建策略屏幕上的策略编辑器部分中，选择 JSON。使用以下 JSON 语句创建策略文档，然后选择下一步。

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datazone:ListEnvironmentBlueprintConfigurations",
                "datazone:PutEnvironmentBlueprintConfiguration",
                "datazone:GetDomain",
                "datazone:ListDomains",
                "datazone:GetEnvironmentBlueprintConfiguration",
                "datazone:ListEnvironmentBlueprints",
                "datazone:GetEnvironmentBlueprint",
                "datazone:ListAccountEnvironments",
                "datazone:DeleteEnvironmentBlueprintConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ram:GetResourceShareInvitations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        }
    ]
}

  7. 在查看策略屏幕上，输入此策略的名称。如果您对该策略感到满意，请选择 Create policy (创建策略)。确保屏幕顶部的红框中没有显示错误。更正报告的任何错误。

（可选）为创建自定义策略 AWS 身份中心权限添加和删除 SSO 用户和 SSO 组对亚马逊域的访问权限 DataZone

完成以下步骤以创建自定义内联策略，以获得添加和删除 SSO 用户和 SSO 组对您的 Amazon DataZone 域的访问权限所需的权限。

  1. 登录 AWS 管理控制台并在上打开 IAM 控制台https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择用户或用户组。

  3. 在列表中，请选择要在其中嵌入策略的用户或组的名称。

  4. 选择 Permissions (权限) 选项卡，然后展开 Permissions policies (权限策略) 部分（如有必要）。

  5. 选择添加权限和创建内联策略。

  6. 在创建策略屏幕上的策略编辑器部分中，选择 JSON。

    使用以下 JSON 语句创建策略文档，然后选择下一步。

    JSON
    
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:GetManagedApplicationInstance",
        "sso:ListProfiles",
        "sso:AssociateProfile",
        "sso:DisassociateProfile",
        "sso:GetProfile"
      ],
      "Resource": "*"
    }
  ]
}

  7. 在查看策略屏幕上，输入此策略的名称。如果您对该策略感到满意，请选择 Create policy (创建策略)。确保屏幕顶部的红框中没有显示错误。更正报告的任何错误。

（可选）将您的 IAM 委托人添加为密钥用户，使用来自的客户管理密钥创建您的亚马逊 DataZone 域 AWS Key Management Service（KMS）

在您可以选择使用密钥管理服务 (KMS) 的客户管理密钥 (CMK) 创建 Amazon DataZone 域之前，请先完成以下步骤，使您的 IAM 委托人成为您的 KMS 密 AWS 钥的用户。

  1. 登录 AWS 管理控制台并在上打开 KMS 控制台https://console.aws.amazon.com/kms/。

  2. 要查看您账户中自己所创建和管理的密钥，请在导航窗格中选择 Customer managed keys (客户托管密钥)。

  3. 在 KMS 密钥列表中，选择要检查的 KMS 密钥的别名或密钥 ID。

  4. 要添加或删除密钥用户，以及允许或禁止外部 AWS 账户使用 KMS 密钥，请使用该页面 “密钥用户” 部分中的控件。密钥用户可以在加密操作（如加密、解密、重新加密和生成数据密钥）中使用 KMS 密钥。