本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

極光基於身份的政策示例

依預設，權限集和角色沒有建立或修改 Aurora 資源的權限。他們也無法使用 AWS Management Console AWS CLI、或執行工作 AWS API。系統管理員必須建立IAM原則，以授與權限集和角色權限，才能對其所需的指定資源執行特定API作業。管理員接著必須將這些政策連接至需要這些許可的許可集或角色。

若要瞭解如何使用這些範例原則文件建立以IAM身分識別為基礎的JSON策略，請參閱使用IAM者指南中的JSON索引標籤上的建立策略。

政策最佳實務

以身分識別為基礎的政策決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon RDS 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

如需有關中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 A RDS urora 控制台

若要存取 Aurora 主控台，您必須擁有最少一組許可。這些許可必須允許您列出和檢視有關 Aurora 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。

您不需要為只對 AWS CLI 或撥打電話的使用者允許最低主控台權限 AWS API。相反地，只允許存取與您嘗試執行之API作業相符的動作。

為確保這些實體仍然可以使用 Aurora 主控台，請將下列 AWS 受管政策附加到實體。

AmazonRDSReadOnlyAccess

如需詳細資訊，請參閱《使用指南》中的〈將權限新增至IAM使用者〉。

使用主控台所需的許可

針對使用主控台的使用者，該使用者必須擁有一組符合最低限制的許可。這些許可允許使用者描述其 AWS 帳戶的 Aurora 資源，並提供其他相關資訊，包括 Amazon EC2 安全性和網路資訊。

如果您建立的IAM策略比所需的最低權限限制更嚴格，則控制台不會如同具有該IAM原則的使用者所預期運作。為確保這些使用者仍可使用主控台，也請將 AmazonRDSReadOnlyAccess 受管政策連接至使用者，如使用政策管理存取權所述。

您不需要為僅向 AWS CLI 或 Amazon 撥打電話的使用者允許最低主控台許可RDSAPI。

下列政策授予對根 AWS 帳戶所有 Aurora 資源的完整存取權：

AmazonRDSFullAccess             
         

允許使用者檢視他們自己的許可

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上或以程式設計方式使用或完成此動作的 AWS CLI 權限 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}