Amazon Keyspaces 是如何使用的 IAM - Amazon Keyspaces（Apache Cassandra 兼容）
Amazon Keyspaces 基于身份的策略Amazon Keyspaces 基于资源的策略基于 Amazon Keyspaces 标签的授权Amazon Key IAM spaces 角色

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Keyspaces 是如何使用的 IAM

在使用管理IAM对亚马逊密钥空间的访问权限之前，您应该了解亚马逊密钥空间可以使用哪些IAM功能。要全面了解 Amazon Keyspaces 和其他 AWS 服务的使用方式IAM，请参阅IAM用户指南IAM中与之配合使用的AWS 服务。

Amazon Keyspaces 基于身份的策略

通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。Amazon Keyspaces 支持特定的操作、资源和条件键。要了解您在JSON策略中使用的所有元素，请参阅IAM用户指南中的IAMJSON策略元素参考。

要查看 Amazon Keyspaces 服务特定的资源和操作以及可用于IAM权限策略的条件上下文密钥，请参阅《服务授权参考》中的 Amazon Keyspaces（适用于 Apache Cassandra）的操作、资源和条件密钥。

操作

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

JSON策略Action元素描述了可用于在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API操作同名。也有一些例外，例如没有匹配API操作的仅限权限的操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为相关操作。

在策略中包含操作以授予执行关联操作的权限。

Amazon Keyspaces 中的策略操作在操作前面使用以下前缀：cassandra:。例如，要授予某人使用 Amazon Keyspaces CREATE CQL 声明创建 Amazon Keyspaces 密钥空间的权限，您需要在他们的策略中包含该cassandra:Create操作。策略语句必须包含 Action 或 NotAction 元素。Amazon Keyspaces 定义了一组自己的操作，以描述您可以使用该服务执行的任务。

要在单个语句中指定多项操作，请使用逗号将它们隔开，如下所示：

"Action": [
      "cassandra:CREATE",
      "cassandra:MODIFY"
          ]

要查看 Amazon Keyspaces 操作的列表，请参阅《服务授权参考》中的 Amazon Keyspaces（Apache Cassandra 兼容）定义的操作。

资源

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

ResourceJSON策略元素指定要应用操作的一个或多个对象。语句必须包含 Resource 或 NotResource 元素。最佳做法是，使用资源的 Amazon 资源名称 (ARN) 来指定资源。对于支持特定资源类型（称为资源级权限）的操作，您可以执行此操作。

对于不支持资源级权限的操作（如列出操作），请使用通配符（*）指示语句应用于所有资源。

"Resource": "*"

在 Amazon Keyspaces 中，可以在权限Resource元素中使用密钥空间和表。IAM

Amazon Keyspaces 密钥空间资源包含以下内容：ARN

arn:${Partition}:cassandra:${Region}:${Account}:/keyspace/${KeyspaceName}/

Amazon Keyspaces 表资源包含以下内容：ARN

arn:${Partition}:cassandra:${Region}:${Account}:/keyspace/${KeyspaceName}/table/${tableName}

有关格式的更多信息ARNs，请参阅 Amazon 资源名称 (ARNs) 和 AWS 服务命名空间。

例如，要在语句中指定mykeyspace密钥空间，请使用以下命令：ARN

"Resource": "arn:aws:cassandra:us-east-1:123456789012:/keyspace/mykeyspace/"

要指定属于特定账户的所有键空间，请使用通配符 (*)：

"Resource": "arn:aws:cassandra:us-east-1:123456789012:/keyspace/*"

无法对特定资源执行某些 Amazon Keyspaces 操作，例如，用于创建资源的操作。在这些情况下，您必须使用通配符 （*)。

"Resource": "*"

要使用标准驱动程序以编程方式连接到 Amazon Keyspaces，委托人必须有权SELECT访问系统表，因为大多数驱动程序都会在连接时读取系统密钥空间/表。例如，要向IAM用户授予进入的SELECTmytable权限mykeyspace，委托人必须同时拥有读取mytable和的权限system keyspace。要在单个语句中指定多个资源，请ARNs用逗号分隔。

"Resource": "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/mytable",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"

要查看 Amazon Keyspaces 资源类型及其列表ARNs，请参阅《服务授权参考》中的 Amazon Keyspaces 定义的资源（适用于 Apache Cassandra）。要了解您可以使用哪些操作来指定每种资源，请参阅 Amazon Keyspaces 定义ARN的操作（适用于 Apache Cassandra）。

条件键

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

在 Condition 元素（或 Condition 块）中，可以指定语句生效的条件。Condition 元素是可选的。您可以创建使用条件运算符（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。

如果您在一个语句中指定多个 Condition 元素，或在单个 Condition 元素中指定多个键，则 AWS 使用逻辑 AND 运算评估它们。如果您为单个条件键指定多个值，则使用逻辑OR运算来 AWS 评估条件。在授予语句的权限之前必须满足所有的条件。

在指定条件时，您也可以使用占位符变量。例如，仅当 IAM 用户使用其 IAM 用户名进行标记时，您才可为其授予访问资源的权限。有关更多信息，请参阅《IAM 用户指南》中的 IAM 策略元素：变量和标签。

AWS 支持全局条件密钥和特定于服务的条件密钥。要查看所有 AWS 全局条件键，请参阅《IAM用户指南》中的AWS 全局条件上下文密钥。

Amazon Keyspaces 定义了自己的一组条件键，还支持使用一些全局条件键。要查看所有 AWS 全局条件键，请参阅《IAM用户指南》中的AWS 全局条件上下文密钥。

所有 Amazon Keyspaces 操作都支持 aws:RequestTag/${TagKey}、aws:ResourceTag/${TagKey} 和 aws:TagKeys 条件键。有关更多信息，请参阅 基于标签的 Amazon Keyspaces 资源访问。

要查看 Amazon Keyspaces 条件键的列表，请参阅《服务授权参考》中的 Amazon Keyspaces（Apache Cassandra 兼容）的条件键。要了解您可以对哪些操作和资源使用条件键，请参阅 Amazon Keyspaces（Apache Cassandra 兼容）定义的操作。

示例

要查看 Amazon Keyspaces 基于身份的策略的示例，请参阅Amazon Keyspaces 基于身份的策略示例。

Amazon Keyspaces 基于资源的策略

Amazon Keyspaces 不支持基于资源的策略。要查看详细的基于资源的策略页面示例，请参阅 https://docs.aws.amazon.com/lambda/latest/dg/access-control-resource-based.html。

基于 Amazon Keyspaces 标签的授权

您可以使用标签管理对 Amazon Keyspaces 资源的访问。要管理基于标签的资源访问，您可以使用 cassandra:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键在策略的条件元素中提供标签信息。有关标记 Amazon Keyspaces 资源的更多信息，请参阅对 Amazon Keyspaces 资源使用标签和标注。

要查看基于身份的策略（用于根据资源上的标签来限制对该资源的访问）的示例，请参阅 基于标签的 Amazon Keyspaces 资源访问。

Amazon Key IAM spaces 角色

IAM角色是您内部具有特定权限 AWS 账户 的实体。

将临时凭证用于 Amazon Keyspaces

您可以使用临时凭证进行联合身份登录、代入 IAM 角色或代入跨账户角色。您可以通过调用AssumeRole或之类的 AWS STS API操作来获取临时安全证书GetFederationToken。

Amazon Keyspaces 支持使用 Github 存储库中提供的 AWS 签名版本 4 (Sigv4) 身份验证插件的临时证书，适用于以下语言：

有关实现身份验证插件以编程方式访问 Amazon Keyspaces 的示例和教程，请参阅使用 Cassandra 客户端驱动程序以编程方式访问 Amazon Keyspaces。

服务相关角色

服务相关角色允许 AWS 服务访问其他服务中的资源以代表您完成操作。服务相关角色显示在您的 IAM 账户中，并由该服务拥有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

有关创建或管理 Amazon Keyspaces 服务相关角色的详细信息，请参阅对 Amazon Keyspaces 使用服务相关角色。

服务角色

Amazon Keyspaces 不支持服务角色。