本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Location Service 基于身份的策略示例

默认情况下，用户和角色没有创建或修改 Amazon Location 资源的权限。他们也无法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或来执行任务 AWS API。要授予用户对其所需资源执行操作的权限，IAM管理员可以创建IAM策略。然后，管理员可以将IAM策略添加到角色中，用户可以代入这些角色。

要了解如何使用这些示例策略文档创建IAM基于身份的JSON策略，请参阅IAM用户指南中的创建IAM策略。

有关 Amazon Location 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《服务授权参考》中的 Amazon Location Service 的操作、资源和条件密钥。ARNs

策略最佳实践

基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 Amazon Location 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关中最佳做法的更多信息IAM，请参阅《IAM用户指南》IAM中的安全最佳实践。

使用 Amazon Location 控制

要访问 Amazon Location Service 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 Amazon Location 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

您无需为仅拨打 AWS CLI 或的用户设置最低控制台权限 AWS API。相反，只允许访问与他们尝试执行的API操作相匹配的操作。

为确保用户和角色可以使用 Amazon Location 控制台，请将以下策略添加到实体上。有关更多信息，请参阅《用户指南》中的向IAM用户添加权限。

以下政策允许访问 Amazon Location Service 控制台，以便能够在您的 AWS 账户中创建、删除、列出和查看有关 Amazon Location 资源的详细信息。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GeoPowerUser",
      "Effect": "Allow",
      "Action": [
        "geo:*"
      ],
      "Resource": "*"
    }
  ]
}

或者，您可以授予只读权限以简化只读访问。使用只读权限时，如果用户尝试写入操作（例如创建或删除资源），则会显示一条错误消息。有关示例，请参阅 跟踪器资源的只读策略。

允许用户查看他们自己的权限

此示例说明如何创建允许IAM用户查看附加到其用户身份的内联和托管策略的策略。此策略包括在控制台上或使用或以编程方式完成此操作的 AWS CLI 权限。 AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

在策略中使用 Amazon Location Service Service 资源

Amazon Location Service 对资源使用以下前缀：

使用以下ARN语法：

arn:Partition:geo:Region:Account:ResourcePrefix/ResourceName

有关格式的更多信息ARNs，请参阅 Amazon 资源名称 (ARNs) 和 AWS 服务命名空间。

示例

要查看亚马逊定位资源类型及其列表ARNs，请参阅服务授权参考中的 Amazon Location Service 定义的资源。要了解您可以为每种资源指定哪些操作，请参阅 Amazon Location Service 定义的操作。ARN

更新设备位置的权限

要更新多个跟踪器的设备位置，您需要向用户授予访问您的一个或多个跟踪器资源的权限。您还希望允许用户更新一批设备位置。

在本示例中，除了授予访问权限外 Tracker1 以及 Tracker2 资源，以下策略授予对资源使用geo:BatchUpdateDevicePosition操作的权限 Tracker1 以及 Tracker2 资源的费用。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ]
    }
  ]
}

如果您想限制用户只能更新特定设备的设备位置，则可以为该设备 ID 添加条件键。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker1",
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker2"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

跟踪器资源的只读策略

要为 AWS 账户中的所有跟踪器资源创建只读政策，您需要授予对所有跟踪器资源的访问权限。您还需要授予用户访问操作的权限，这些操作允许他们获取多台设备的设备位置，从一台设备获取设备位置并获取位置历史记录。

在这个示例中，以下策略授予对以下操作的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchGetDevicePosition",
        "geo:GetDevicePosition",
        "geo:GetDevicePositionHistory"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:tracker/*"
    }
  ]
}

创建地理围栏的策略

要创建允许用户创建地理围栏的策略，您需要向允许用户在地理围栏集合上创建一个或多个地理围栏的特定操作授予访问权限。

以下政策授予对以下操作的权限 Collection:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

地理围栏的只读策略

要为存储在 AWS 账户地理围栏集合中的地理围栏创建只读策略，您需要授予访问从存储地理围栏的地理围栏集合中读取的操作的访问权限。

以下政策授予对以下操作的权限 Collection:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetGeofences",
      "Effect": "Allow",
      "Action": [
        "geo:ListGeofences",
        "geo:GetGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection"
    }
  ]
}

渲染地图资源的权限

要授予足够的权限来渲染地图，你需要授予对地图图块、精灵、字形和样式描述符的访问权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetTiles",
      "Effect": "Allow",
      "Action": [
        "geo:GetMapTile",
        "geo:GetMapSprites",
        "geo:GetMapGlyphs",
        "geo:GetMapStyleDescriptor"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:map/Map"
    }
  ]
}

允许搜索操作的权限

要创建允许搜索操作的政策，您首先需要授予对 AWS 账户中地点索引资源的访问权限。您还需要授予访问权限，这些操作允许用户通过地理编码使用文本进行搜索，并通过反向地理编码使用位置进行搜索。

在本示例中，除了授予访问权限外 PlaceIndex，以下策略还授予对以下操作的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Search",
      "Effect": "Allow",
      "Action": [
        "geo:SearchPlaceIndexForPosition",
        "geo:SearchPlaceIndexForText"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:place-index/PlaceIndex"
    }
  ]
}

路线计算器的只读策略

您可以创建只读策略，允许用户访问路线计算器资源来计算路线。

在本示例中，除了授予访问权限外 ExampleCalculator，以下策略授予对以下操作的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RoutesReadOnly",
      "Effect": "Allow",
      "Action": [
        "geo:CalculateRoute"
      ],
      "Resource": "arn:aws:geo:us-west-2:accountID:route-calculator/ExampleCalculator"
    }
  ]
}

根据条件键控制资源访问权限

在创建IAM策略以授予使用地理围栏或设备位置的访问权限时，您可以使用条件运算符更精确地控制用户可以访问哪些地理围栏或设备。为此，您可以将地理围栏 ID 或设备 ID 包含在策略的 Condition 元素中。

以下示例策略演示了如何创建允许用户更新特定设备的设备位置的策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "UpdateDevicePositions",
      "Effect": "Allow",
      "Action": [
        "geo:BatchUpdateDevicePosition"
      ],
      "Resource": [
        "arn:aws:geo:us-west-2:account-id:tracker/Tracker"
      ],
      "Condition":{
        "ForAllValues:StringLike":{
          "geo:DeviceIds":[
            "deviceId"
          ]
        }
      }
    }
  ]
}

基于标签控制对资源的访问

当您创建IAM策略以授予使用您的 Amazon Loc ation 资源的权限时，您可以使用基于属性的访问控制来更好地控制用户可以修改、使用或删除哪些资源。为此，您可以将标签信息包含在策略 Condition 元素中，以便根据资源标签控制访问权限。

以下示例策略演示了如何创建允许用户创建地理围栏的策略。这允许以下操作在名为的地理围栏集合上创建一个或多个地理围栏 Collection:

但是，此策略仅在Condition以下情况下才使用元素授予权限 Collection tagOwner，，的值为该用户的用户名。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateGeofencesIfOwner",
      "Effect": "Allow",
      "Action": [
        "geo:BatchPutGeofence",
        "geo:PutGeofence"
      ],
      "Resource": "arn:aws:geo:us-west-2:account-id:geofence-collection/Collection",
      "Condition": {
                "StringEquals": {"geo:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

有关如何根据标签定义AWS资源访问权限的教程，请参阅《AWS Identity and Access Management 用户指南》。