本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS RAM 的术语和概念

以下概念有助于解释如何使用 AWS Resource Access Manager (AWS RAM) 来共享资源。

资源共享

利用 AWS RAM，您可通过创建资源共享 来共享资源。资源共享包含以下三个要素：

使用 AWS RAM 创建资源共享后，可以向资源共享中指定的主体授予访问该共享资源的权限。

共享账户

共享账户包含共享的资源，AWS RAM 管理员使用 AWS RAM 在其中创建 AWS 资源共享。

AWS RAM 管理员是 IAM 主体，其有权在 AWS 账户中创建和配置资源共享。由于 AWS RAM 的原理是将基于资源的策略附加到资源共享中的资源，因此，AWS RAM 管理员还必须有权对资源共享中包含的每种资源类型调用 AWS 服务中的 PutResourcePolicy 操作。

使用主体

使用账户 是共享资源的 AWS 账户。资源共享可以将整个账户指定为主体，或者对于某些资源类型，可以指定账户中的单个角色或用户。有关哪些资源类型支持此类共享的信息，请参阅可共享的资源 AWS，并查看可以与 IAM 角色和用户共享列。

AWS RAM 还支持服务主体作为资源共享的使用者。有关哪些资源类型支持此类共享的信息，请参阅可共享的资源 AWS，并查看可以与服务主体共享列。

使用账户中的主体只能执行以下两个 权限所允许的操作：

AWS RAM 支持以下 IAM 主体类型作为资源共享的使用者：

基于资源的策略

基于资源的策略是实施 IAM 策略语言的 JSON 文本文档。与附加到主体的基于身份的策略（如 IAM 角色或用户）不同，您可以将基于资源的策略附加到资源。AWS RAM 根据您为资源共享提供的信息，代表您创建基于资源的策略。您必须指定一个 Principal 策略元素来确定谁可以访问该资源。有关更多信息，请参见《IAM 用户指南》中的基于身份的策略和基于资源的策略。

将对 AWS RAM 生成的基于资源的策略以及所有其他 IAM 策略类型进行评估。这包括附加到尝试访问资源的主体的任何基于 IAM 身份的策略，以及可能适用于 AWS 账户的 AWS Organizations 的服务控制策略 (SCP)。由 AWS RAM 生成的基于资源的策略参与与所有其他 IAM 策略相同的策略评估逻辑。有关策略评估以及如何确定生成的权限的完整详细信息，请参阅《IAM 用户指南》中的策略评估逻辑。

AWS RAM 通过提供易于使用的基于抽象资源的策略，提供简单安全的资源共享体验。

对于支持基于资源的策略的资源类型，AWS RAM 会自动为您构建和管理基于资源的策略。对于给定资源，AWS RAM 通过组合包含资源的所有资源共享中的信息，构建基于该资源的策略。例如，假设一个 Amazon SageMaker 管道，您通过使用 AWS RAM 来共享它并将其包含在两个不同的资源共享中。您可以使用一个资源共享为整个组织提供只读访问权限。然后，您可以使用另一个资源共享，仅向单个账户授予 SageMaker 执行权限。AWS RAM 自动将这两组不同的权限组合成一个包含多个语句的资源策略。然后，它将组合的基于资源的策略附加到管道资源。您可以通过调用 GetResourcePolicy 操作来查看此底层资源策略。然后，AWS 服务使用该基于资源的策略来授权任何试图对共享资源执行操作的主体。

尽管您可以手动创建基于资源的策略并通过调用 PutResourcePolicy 将其附加到您的资源，但我们建议您使用 AWS RAM，因为它具有以下优点：

通过使用 AWS RAM，您甚至可以共享一些尚不支持基于资源的策略的资源类型。对于此资源类型，AWS RAM 自动生成一个基于资源的策略来表示实际权限。用户可以通过调用 GetResourcePolicy 来查看此表示形式。这包含以下资源类型：

AWS RAM 生成的基于资源的策略示例

如果您与单个账户 共享 EC2 Image Builder 镜像资源，则 AWS RAM 会生成如下例所示的策略，并将其附加到资源共享中包含的所有镜像资源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

如果您与其他 AWS 账户中的 IAM 角色或用户 共享 EC2 Image Builder 镜像资源，则 AWS RAM 会生成如下例所示的策略，并将其附加到资源共享中包含的所有镜像资源。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

如果您与组织中的所有账户或 OU 中的账户共享 EC2 Image Builder 镜像资源，则 AWS RAM 会生成如下例所示的策略，并将其附加到资源共享中包含的所有镜像资源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

在基于资源的策略中使用 "Principal": "*" 的影响

当您在基于资源的策略中包含 "Principal": "*" 时，该策略会向账户中包含该资源的所有 IAM 主体授予访问权限，但须遵守 Condition 元素施加的任何限制（如果存在）。适用于调用主体的任何策略中的明确 Deny 语句将覆盖此策略授予的权限。但是，在任何适用的身份策略、权限边界策略或会话策略中，隐式 Deny（意味着缺少显式 Allow）不会 导致对由此类基于资源的策略授予对操作访问权限的主体进行 Deny。

如果您的场景不希望出现这种行为，则您可以通过向影响相关角色和用户的身份策略、权限边界或会话策略添加显式 Deny 语句，限制这种行为。

托管权限

托管权限定义了主体可以在哪些条件下对资源共享中支持的资源类型执行哪些操作。创建资源共享时，您必须指定要对资源共享中包含的每种资源类型使用哪种托管权限。托管权限列出了主体可以对使用 AWS RAM 共享的资源执行的一组 actions 和条件。

您只能为资源共享中的每种资源类型附加一个托管权限。如果某个类型的某些资源使用一种托管权限，而相同类型的其他资源使用不同的托管权限，则无法创建资源共享。为此，您需要创建两个不同的资源共享并在它们之间分配资源，以便为每个资源集提供不同的托管权限。有两种不同类型的托管权限：

AWS RAM 将托管权限作为输入，为您共享的资源创建基于资源的策略。

托管权限版本

对托管权限的任何更改都表示为该托管权限的新版本。新版本是所有新资源共享的默认版本。每个托管权限始终有一个指定为默认版本的版本。当您或 AWS 创建新的托管权限版本时，您必须明确更新每个现有资源共享的托管权限。在此步骤中，您可以先评估更改，然后再将其应用于您的资源共享。所有新的资源共享将自动使用相应资源类型的新版托管权限。

创建或更新资源共享时，只能附加指定托管权限的默认版本。有关更多信息，请参阅将 AWS 托管权限更新到较新版本。