本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
AWS MemoryDB 的托管策略
要向用户、群组和角色添加权限,使用 AWS 托管策略比自己编写策略要容易得多。创建仅为团队提供所需权限的 IAM 客户管理型策略需要时间和专业知识。要快速入门,您可以使用我们的 AWS 托管策略。这些政策涵盖常见用例,可在您的 AWS 账户中使用。有关 AWS 托管策略的更多信息,请参阅 IAM 用户指南中的AWS 托管策略。
AWS 服务维护和更新 AWS 托管策略。您无法更改 AWS 托管策略中的权限。服务偶尔会向 AWS 托管式策略添加额外权限以支持新特征。此类更新会影响附加策略的所有身份(用户、组和角色)。当启动新特征或新操作可用时,服务最有可能会更新 AWS 托管式策略。服务不会从 AWS 托管策略中移除权限,因此策略更新不会破坏您的现有权限。
此外,还 AWS 支持跨多个服务的工作职能的托管策略。例如,ReadOnlyAccess AWS 托管策略提供对所有 AWS 服务和资源的只读访问权限。当服务启动新功能时, AWS 会为新操作和资源添加只读权限。有关工作职能策略的列表和说明,请参阅 IAM 用户指南中的适用于工作职能的AWS 托管式策略。
AWS 托管策略:内存 DBService RolePolicy
您无法将内存DBServiceRolePolicy AWS 托管策略附加到账户中的身份。此策略是 M AWS emoryDB 服务相关角色的一部分。此角色允许服务管理您账户中的网络接口和安全组。
MemoryDB 使用此策略中的权限来管理 EC2 安全组和网络接口。这是管理 MemoryDB 集群所必需的。
权限详细信息
该策略包含以下权限。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "CreateMemoryDBTagsOnNetworkInterfaces", "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateNetworkInterface" }, "ForAllValues:StringEquals": { "aws:TagKeys": [ "AmazonMemoryDBManaged" ] } } }, { "Sid": "CreateNetworkInterfaces", "Effect": "Allow", "Action": [ "ec2:CreateNetworkInterface" ], "Resource": [ "arn:aws:ec2:*:*:network-interface/*", "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Sid": "DeleteMemoryDBTaggedNetworkInterfaces", "Effect": "Allow", "Action": [ "ec2:DeleteNetworkInterface", "ec2:ModifyNetworkInterfaceAttribute" ], "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "StringEquals": { "ec2:ResourceTag/AmazonMemoryDBManaged": "true" } } }, { "Sid": "DeleteNetworkInterfaces", "Effect": "Allow", "Action": [ "ec2:DeleteNetworkInterface", "ec2:ModifyNetworkInterfaceAttribute" ], "Resource": "arn:aws:ec2:*:*:security-group/*" }, { "Sid": "DescribeEC2Resources", "Effect": "Allow", "Action": [ "ec2:DescribeSecurityGroups", "ec2:DescribeNetworkInterfaces", "ec2:DescribeAvailabilityZones", "ec2:DescribeSubnets", "ec2:DescribeVpcs" ], "Resource": "*" }, { "Sid": "PutCloudWatchMetricData", "Effect": "Allow", "Action": [ "cloudwatch:PutMetricData" ], "Resource": "*", "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/MemoryDB" } } }, { "Sid": "ReplicateMemoryDBMultiRegionClusterData", "Effect": "Allow", "Action": [ "memorydb:ReplicateMultiRegionClusterData" ], "Resource": "arn:aws:memorydb:*:*:cluster/*" } ] }
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": "arn:aws-cn:ec2:*:*:network-interface/*", "Condition": { "StringEquals": { "ec2:CreateAction": "CreateNetworkInterface" }, "ForAllValues:StringEquals": { "aws:TagKeys": [ "AmazonMemoryDBManaged" ] } } }, { "Effect": "Allow", "Action": [ "ec2:CreateNetworkInterface" ], "Resource": [ "arn:aws-cn:ec2:*:*:network-interface/*", "arn:aws-cn:ec2:*:*:subnet/*", "arn:aws-cn:ec2:*:*:security-group/*" ] }, { "Effect": "Allow", "Action": [ "ec2:DeleteNetworkInterface", "ec2:ModifyNetworkInterfaceAttribute" ], "Resource": "arn:aws-cn:ec2:*:*:network-interface/*", "Condition": { "StringEquals": { "ec2:ResourceTag/AmazonMemoryDBManaged": "true" } } }, { "Effect": "Allow", "Action": [ "ec2:DeleteNetworkInterface", "ec2:ModifyNetworkInterfaceAttribute" ], "Resource": "arn:aws-cn:ec2:*:*:security-group/*" }, { "Effect": "Allow", "Action": [ "ec2:DescribeSecurityGroups", "ec2:DescribeNetworkInterfaces", "ec2:DescribeAvailabilityZones", "ec2:DescribeSubnets", "ec2:DescribeVpcs" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "cloudwatch:PutMetricData" ], "Resource": "*", "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/MemoryDB" } } } ] }
适用于 MemoryDB 的AWS托管(预定义)策略
AWS 通过提供由创建和管理的独立 IAM 策略来解决许多常见用例 AWS。托管策略可针对常见使用案例授予必要权限,因此,您无需自行调查具体需要哪些权限。有关更多信息,请参阅《IAM 用户指南》中的 AWS 托管式策略。
以下 AWS 托管策略是特定于 MemoryDB 的,您可以将其附加到账户中的用户:
AmazonMemoryDBReadOnlyAccess
您可以将 AmazonMemoryDBReadOnlyAccess
策略附加到 IAM 身份。此策略授予允许只读访问所有 MemoryDB 资源的管理权限。
AmazonMemoryDBReadOnlyAccess-授予对 MemoryDB 资源的只读访问权限。
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "memorydb:Describe*", "memorydb:List*" ], "Resource": "*" }] }
AmazonMemoryDBFull访问
您可以将 AmazonMemoryDBFullAccess
策略附加到 IAM 身份。此策略授予允许完全访问 MemoryDB 资源的管理权限。
AmazonMemoryDBFull访问权限-授予对 MemoryDB 资源的完全访问权限。
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": "memorydb:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws:iam::*:role/aws-service-role/memorydb.amazonaws.com/AWSServiceRoleForMemoryDB", "Condition": { "StringLike": { "iam:AWSServiceName": "memorydb.amazonaws.com" } } } ] }
您还可以创建自定义 IAM 策略,以授予执行 MemoryDB API 操作的相关权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。
MemoryDB 对托管策略的 AWS 更新
查看自该服务开始跟踪这些更改以来,MemoryDB AWS 托管策略更新的详细信息。有关此页面更改的自动提示,请订阅 MemoryDB 文档历史记录页面上的 RSS 源。
更改 | 描述 | 日期 |
---|---|---|
Memory DBService RolePolicy 添加了 memorydb: 的权限。ReplicateMultiRegionClusterData此权限将允许服务相关角色为 MemoryDB 多区域集群复制数据。 |
2024 年 1 月 12 日 | |
AmazonMemoryDBFull访问 – 添加策略 |
MemoryDB 添加了描述和列出受支持资源的新权限。MemoryDB 需要这些权限,才能查询账户中的所有支持资源。 |
10/07/2021 |
AmazonMemoryDBReadOnlyAccess – 添加策略 |
MemoryDB 添加了描述和列出受支持资源的新权限。MemoryDB 需要这些权限,才能通过查询账户中的所有受支持资源来创建基于账户的应用程序。 |
10/07/2021 |
MemoryDB 开始跟踪更改 |
服务启动 |
8/19/2021 |