View a markdown version of this page

AWS 管理策略：AmazonDataZoneFullAccess - 亚马逊 DataZone
注意事项

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS 管理策略：AmazonDataZoneFullAccess

您可以将 AmazonDataZoneFullAccess 策略附加到 IAM 身份。

本政策允许 DataZone 通过以下方式完全访问亚马逊 AWS 管理控制台。此策略还拥有 AWS KMS 访问加密 SSM 参数的权限。必须标记 KMS 密钥 EnableKeyForAmazonDataZone 才能解密 SSM 参数。

权限详细信息

该策略包含以下权限：

  • datazone— DataZone 通过以下方式授予委托人对亚马逊的完全访问权限。 AWS 管理控制台

  • kms – 允许主体列出别名、描述密钥和解密密钥。

  • s3— 允许委托人选择现有或创建新的 S3 存储桶来存储亚马逊 DataZone 数据。

  • ram— 允许委托人共享亚马逊 DataZone 域名。 AWS 账户

  • iam – 允许主体列出和传递角色并获取策略。

  • sso – 允许主体获取已启用 AWS IAM Identity Center 的区域。

  • secretsmanager – 允许主体创建、标记和列出带特定前缀的密钥。

  • aoss— 允许委托人创建和检索 OpenSearch 无服务器安全策略的信息。

  • bedrock – 允许主体创建、列出和检索推理配置文件和基础模型的信息。

  • codeconnections – 允许主体删除、检索信息、列出连接和管理连接的标签。

  • codewhisperer— 允许校长列出CodeWhisperer 个人资料。

  • ssm – 允许主体放置、删除和检索参数信息。

  • redshift – 允许主体描述集群和列出无服务器工作组

  • glue – 允许主体获取数据库。

要查看此策略的权限，请参阅《AWS 托管式策略参考》中的 AmazonDataZoneFullAccess。

策略注意事项和限制

AmazonDataZoneFullAccess 策略未涵盖某些功能。

  • 如果您使用自己的 AWS KMS 密钥创建亚马逊 DataZone 域，则必须具有权限才能kms:CreateGrant成功创建域，并且必须具有调用其他亚马逊 DataZone API（例如listDataSources和）的权限createDataSource。kms:GenerateDataKey kms:Decrypt此外，您还必须在该密钥的资源策略中拥有 kms:CreateGrant、kms:Decrypt、kms:GenerateDataKey 和 kms:DescribeKey 的权限。

    如果您使用默认的服务拥有的 KMS 密钥，则无需达到此要求。

    有关更多信息，请参阅 AWS Key Management Service。

  • 如果您想在亚马逊 DataZone 控制台中使用创建和更新角色功能，则必须拥有管理员权限或拥有创建 IAM 角色和 create/update策略所需的 IAM 权限。所需的权限包括 iam:CreateRole、iam:CreatePolicy、iam:CreatePolicyVersion、iam:DeletePolicyVersion 和 iam:AttachRolePolicy 权限。

  • 如果您在激活 AWS IAM Identity Center 用户登录的情况下在亚马逊 DataZone 创建新域名，或者为亚马逊的现有域名激活该域名 DataZone，则必须具有以下权限：

    • 组织：DescribeOrganization

    • 组织：ListDelegatedAdministrators

    • sso: CreateInstance

    • sso: ListInstances

    • sso: GetSharedSsoConfiguration

    • sso: PutApplicationGrant

    • sso: PutApplicationAssignmentConfiguration

    • sso: PutApplicationAuthenticationMethod

    • sso: PutApplicationAccessScope

    • sso: CreateApplication

    • sso: DeleteApplication

    • sso: CreateApplicationAssignment

    • sso: DeleteApplicationAssignment

    • sso 目录：CreateUser

    • sso 目录：SearchUsers

    • sso: ListApplications

  • 要在亚马逊接受 AWS 账户关联请求 DataZone，您必须ram:AcceptResourceShareInvitation获得许可。

  • 如果您想为 U SageMaker nified Studio 网络设置创建所需的资源，则必须拥有以下权限并附加AmazonVpcFullAccess 策略：

    • 我是：PassRole

    • 云层形成：CreateStack