本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Keyspaces 基于身份的策略示例

默认情况下，IAM用户和角色无权创建或修改 Amazon Keyspaces 资源。他们也无法使用控制台、CQLSH AWS CLI、或执行任务 AWS API。IAM管理员必须创建IAM策略，授予用户和角色对其所需的指定资源执行特定API操作的权限。然后，管理员必须将这些策略附加到需要这些权限的 IAM 用户或组。

要了解如何使用这些示例JSON策略文档创建IAM基于身份的策略，请参阅《IAM用户指南》中JSON选项卡上的 “创建策略”。

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 Amazon Keyspaces 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关 IAM 中最佳实践的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

使用 Amazon Keyspaces 控制台

Amazon Keyspaces 不要求您具备特定权限才能访问 Amazon Keyspaces 控制台。您至少需要具有只读权限才能列出和查看您的 Amazon Keyspaces 资源的详细信息。 AWS 账户如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（IAM 用户或角色），控制台将无法按预期正常运行。

两个 AWS 托管策略可供实体使用 Amazon Keyspaces 控制台访问权限。

有关 Amazon Keyspaces 托管式策略的更多信息，请参阅 AWS Amazon Keyspaces 的托管策略。

允许用户查看他们自己的权限

此示例显示您可以如何创建策略，以便允许 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包括在控制台上或使用或以编程方式完成此操作的 AWS CLI 权限。 AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

访问 Amazon Keyspaces 表

以下是授予对 Amazon Keyspaces 系统表的只读（SELECT）访问权限的示例策略。对于所有示例，请将 Amazon 资源名称 (ARN) 中的区域和账户 ID 替换为您自己的地区和账户 ID。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "cassandra:Select"
         ],
         "Resource":[
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"
         ]
      }
   ]
}

以下示例策略添加对键空间 mykeyspace 中的用户表 mytable 的只读访问权限。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "cassandra:Select"
         ],
         "Resource":[
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/mytable",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"
         ]
      }
   ]
}              

以下示例策略分配对用户表的读/写访问权限和对系统表的读取访问权限。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "cassandra:Select",
            "cassandra:Modify"
         ],
         "Resource":[
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/mytable",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"
         ]
      }
   ]
}

以下示例策略允许用户在键空间 mykeyspace 中创建表。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "cassandra:Create",
            "cassandra:Select"
         ],
         "Resource":[
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/*",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"
         ]
      }
   ]
}

基于标签的 Amazon Keyspaces 资源访问

您可以在基于身份的策略中使用条件，以便基于标签控制对 Amazon Keyspaces 资源的访问。这些策略控制账户中键空间和表的可见性。请注意，与通过 Cassandra 驱动程序和开发者工具进行的 Cassandra Query Language (CQL) API 调用 AWS SDK相比，使用系统表的基于标签的权限的行为有所不同。

以下示例说明如何创建一个策略，该策略授予用户查看表的权限（如果表的 Owner 包含该用户的用户名的值）。在此示例中，您还授予对系统表的读取权限。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ReadOnlyAccessTaggedTables",
         "Effect":"Allow",
         "Action":"cassandra:Select",
         "Resource":[
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/*",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"
         ],
         "Condition":{
            "StringEquals":{
               "aws:ResourceTag/Owner":"${aws:username}"
            }
         }
      }
   ]
}

您可以将此策略附加到您账户中的 IAM 用户。如果一个名为 richard-roe 的用户尝试查看 Amazon Keyspaces 表，则您必须为该表添加 Owner=richard-roe 或 owner=richard-roe 标签。否则，他将被拒绝访问。条件标签键 Owner 匹配 Owner 和 owner，因为条件键名称不区分大小写。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：条件。

以下策略授予用户创建带有标签的表的权限（如果表的 Owner 包含该用户的用户名的值）。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
       { 
          "Sid": "CreateTagTableUser", 
          "Effect": "Allow", 
          "Action": [
              "cassandra:Create", 
              "cassandra:TagResource"
          ], 
          "Resource": "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/*", 
          "Condition":{
             "StringEquals":{
                "aws:RequestTag/Owner":"${aws:username}"
            }
         }
      }
   ]
}