本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS 支付密码学的工作原理 IAM

在使用管理IAM对 AWS 支付密码的访问权限之前，您应该了解 AWS 支付密码学有哪些IAM功能可供使用。要全面了解 AWS 支付密码学和其他 AWS 服务的使用方式IAM，请参阅《IAM用户指南》IAM中的 “与之配合使用的AWS 服务”。

AWS 支付密码学基于身份的政策

使用IAM基于身份的策略，您可以指定允许或拒绝的操作和资源，以及允许或拒绝操作的条件。 AWS 支付密码学支持特定的操作、资源和条件密钥。要了解您在JSON策略中使用的所有元素，请参阅IAM用户指南中的IAMJSON策略元素参考。

操作

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源执行操作，以及在什么条件下执行。

JSON策略Action元素描述了可用于在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API操作同名。也有一些例外，例如没有匹配API操作的仅限权限的操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为相关操作。

在策略中包含操作以授予执行关联操作的权限。

AWS 支付密码学中的策略操作在操作前使用以下前缀:payment-cryptography:. 例如，要授予某人执行 AWS 支付加密VerifyCardDataAPI操作的权限，您需要将该payment-cryptography:VerifyCardData操作包含在他们的策略中。策略语句必须包含 Action 或 NotAction 元素。 AWS Payment Cryptography 定义了自己的一组操作，这些操作描述了您可以使用此服务执行的任务。

要在单个语句中指定多项操作，请使用逗号将它们隔开，如下所示：

"Action": [
      "payment-cryptography:action1",
      "payment-cryptography:action2"

您也可以使用通配符 （*) 指定多个操作。例如，要指定以单词 List 开头的所有操作（例如 ListKeys 和 ListAliases），包括以下操作：

"Action": "payment-cryptography:List*"

要查看 AWS 支付加密操作列表，请参阅IAM用户指南中的AWS 支付密码学定义的操作。

资源

管理员可以使用 AWS JSON策略来指定谁有权访问什么。也就是说，哪个主体 可以对什么资源执行操作，以及在什么条件下执行。

ResourceJSON策略元素指定要应用操作的一个或多个对象。语句必须包含 Resource 或 NotResource 元素。最佳做法是，使用资源的 Amazon 资源名称 (ARN) 指定资源。对于支持特定资源类型（称为资源级权限）的操作，您可以执行此操作。

对于不支持资源级权限的操作（如列出操作），请使用通配符 (*) 指示语句应用于所有资源。

"Resource": "*"

付款加密密钥资源具有以下内容：ARN

arn:${Partition}:payment-cryptography:${Region}:${Account}:key/${keyARN}

有关格式的更多信息ARNs，请参阅 Amazon 资源名称 (ARNs) 和 AWS 服务命名空间。

例如，要在语句中指定arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h实例，请使用以下命令ARN：

"Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"

要指定属于特定账户的所有密钥，请使用通配符 (*)：

"Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/*"

某些 AWS 支付加密操作（例如用于创建密钥的操作）无法对特定资源执行。在这些情况下，您必须使用通配符 （*)。

"Resource": "*"

要在单个语句中指定多个资源，请使用逗号，如下所示：

"Resource": [
      "resource1",
      "resource2"

示例

要查看基于身份的 AWS 支付加密政策的示例，请参阅。AWS 支付密码学基于身份的策略示例

基于 AWS Payment Cryptography 标签的授权