本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Snow Family 设备上IAM本地使用

AWS Identity and Access Management (IAM) 可帮助您安全地控制对 AWS Snowball Edge 设备上运行的 AWS 资源的访问权限。您可以使用IAM控制谁经过身份验证（登录）和授权（拥有权限）使用资源。

IAM在您的设备上本地支持。您可以使用本地IAM服务来创建新用户并向他们附加IAM策略。您可以使用这些策略以允许执行分配的任务所需的访问权限。例如，您可以允许用户传输数据，但限制他们创建与 Amazon EC2 兼容的新实例的能力。

此外，您还可以在设备上使用 AWS Security Token Service (AWS STS) 创建基于会话的本地凭证。有关该IAM服务的信息，请参阅《IAM用户指南》中的入门。

您设备的根凭证无法禁用，也不能使用账户中的策略明确拒绝 AWS 账户 根用户的访问权限。我们建议您保护根用户访问密钥并创建IAM用户凭证，以便与您的设备进行日常交互。

在 Snowball Edge 上使用 AWS CLI 和API操作

在 Snowball Edge 上使用 AWS CLI 或API操作发IAM出、、Amazon S3 和亚马逊EC2命令时，必须将指定region为 “。” AWS STSsnow 您可以使用命令本身aws configure或在命令本身内执行此操作，如以下示例所示。

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Or

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Snowball IAM AWS CLI Edge 上支持的命令列表

以下是 Snowball Edge 设备IAM支持的 AWS CLI 命令和选项子集的描述。如果某个命令或选项未在下方列出，则表明它不受支持。描述中注明了不支持的命令参数。

在 Snow Family 设备上支持的IAMAPI操作

以下是您可以在 Snowball Edge 上使用的IAMAPI操作，以及参考资料中对其描述的IAMAPI链接。

Snow Family 设备上支持的IAM策略版本和语法

以下是该政策的本地IAM支持版本 2012-10-17 和IAM策略语法的子集。

IAMSnow Family 设备上的策略示例

以下是授予对 Snowball Edge 设备的权限的策略示例。

允许在 Snow Family 设备上通过以下方式 GetUser 呼叫样本用户 IAM API

使用以下策略允许通过 GetUser 调用示例用户IAMAPI。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

允许在 Snow Family 设备API上完全访问亚马逊 S3

使用以下策略允许对 Amazon S3 的完全访问权限API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

允许对 Snow Family 设备上的 Amazon S3 存储桶进行读写权限

使用以下策略允许对特定存储桶进行读取和写入访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

允许在 Snow Family 设备上列出、获取和放置对 Amazon S3 存储桶的访问权限

使用以下策略允许对特定的 S3 存储桶进行列出、获取和放置访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::examplebucket/*"
        }
    ]
}

允许在 Snow Family 设备EC2API上完全访问亚马逊

使用以下策略允许对 Amazon 的完全访问权限EC2。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

允许在 Snow Family 设备上启动和停止与亚马逊EC2兼容的实例

使用以下策略允许访问启动和停止 Amazon EC2 实例。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

在 Snow Family 设备 DescribeImages 上拒绝所有来电 DescribeLaunchTemplates 但允许所有来电接听

使用以下策略拒绝调用 DescribeLaunchTemplates，但允许所有对 DescribeImages 的调用。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

在 Snow Family 设备上API通话的政策

列出您的 Snow 设备上可用的所有托管策略，包括您自己的客户定义的托管策略。更多详细信息，请参见 list-policies。

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy Snow Family 设备上的示例

信任策略会返回一组临时安全证书，您可以使用这些证书来访问通常可能无法访问的 AWS 资源。这些临时凭证由访问密钥 ID、秘密访问密钥和安全令牌组成。通常，您在账户中使用 AssumeRole 进行跨账户访问。

以下是信任策略的示例。有关信任策略的更多信息，请参阅 “AWS Security Token Service API参考” AssumeRole中的。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}