本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為 Amazon 配置訪問 CloudSearch

您可以使用 AWS Identity and Access Management (IAM) 存取政策來控制對 Amazon CloudSearch 組態服務和每個搜尋網域文件、搜尋和建議服務的存取。IAM 存取政策是一份 JSON 文件，其中明確列出許可，這些許可定義允許人員或程序執行的動作。如需 IAM 存取政策的簡介，請參閱 AWS IAM 政策概觀。

您可以獨立控制對 Amazon CloudSearch 組態服務 API 和網域服務 API 的存取。例如，您可能選擇限制誰可以修改您的生產網域組態，但允許團隊成員建立及管理其自身網域以進行開發和測試。同樣地，您可能將您的開發和測試網域設定為接受對上傳、搜尋及建議服務提交匿名請求，但鎖定您的生產網域使其僅接受由您的應用程式發出的已驗證請求。

AWS 收到請求時，會驗證該請求是否來自已知的 AWS 使用者，然後檢查相關政策以判定該使用者是否已獲授權使用請求的資源執行請求的動作。如果使用者未獲明確授予執行動作的許可，其請求將遭到拒絕。進行政策評估期間，若 AWS 遇到明確拒絕的狀況，拒絕效果將優先於任何實施中的明確允許效果。

為 Amazon 編寫訪問政策 CloudSearch

Amazon 同時 CloudSearch 支援使用者型政策和以資源為基礎的政策：

一般而言，我們建議您透過設定以使用者為基礎的政策來管理 Amazon CloudSearch API 的存取。這讓您得以集中一處管理所有各項許可，而且您需要進行的任何變更幾乎都能立即生效。不過，若要允許公開存取網域的搜尋服務或根據 IP 位址限制存取，您必須為網域設定以資源為基礎的政策 (建議您盡早將舊有的 IP 存取政策更換為以使用者為基礎的政策)。您也可使用以資源為基礎的政策，方便允許其他帳戶存取網域。請切記，處理網域以資源為基礎的政策變更，所需時間遠比以使用者為基礎的政策套用變更還要久。

IAM 主控台可協助您為 Amazon 撰寫以使用者為基礎和以資源為基礎的政策。 CloudSearch如需詳細資訊，請參閱管理 IAM 政策。

Amazon 訪問政策的內容 CloudSearch

您可以在 Amazon 的存取政策中指定下列資訊 CloudSearch：

如需 Amazon 存取政策的範例 CloudSearch，請參閱Amazon CloudSearch 政策示例。

Amazon CloudSearch ARN

政策的 Amazon Resource Name (ARN) 獨特指定將套用該政策的網域。ARN 是 AWS 用於識別資源的標準格式。ARN 當中的 12 位數號碼是您的 AWS 帳戶 ID。Amazon CloudSearch ARN 的形式arn:aws:cloudsearch:REGION:ACCOUNT-ID:domain/DOMAIN-NAME是這樣的。

以下清單說明 ARN 當中的可變元素：

例如，下列 ARN 會識別帳戶 111122223333 所擁有之us-east-1區movies域中的網域：

arn:aws:cloudsearch:us-east-1:111122223333:domain/movies

以下範例示範以使用者為基礎的政策如何使用 ARN 指定資源。

{
  "Version":"2012-10-17",           
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["cloudsearch:search"],
      "Resource": "arn:aws:cloudsearch:us-east-1:111122223333:domain/movies"
    }
  ]
}

網域的 ARN 會顯示在 Amazon CloudSearch 主控台的網域儀表板上，也可透過呼叫DescribeDomains取得。

Amazon CloudSearch 行動

您指定的動作會控制該陳述式適用於哪些 Amazon CloudSearch API。所有 Amazon CloudSearch 動作都以前綴cloudsearch:，例如cloudsearch:search. 以下清單列出支援的動作：

Amazon CloudSearch 政策示例

本節介紹 Amazon CloudSearch 存取政策的幾個範例。

授與 Amazon CloudSearch 組態服務的唯讀存取權

您可透過僅允許以下動作，授予唯讀存取組態服務。若您想要允許使用者檢視生產網域的組態但不得進行任何變更，這會非常受用。

下列以使用者為基礎的策略會授與帳戶 5555555555 所擁有之movies網域的組態服務的唯讀存取權。此政策使用萬用字元指定動作，因為其將授予存取所有開頭為 Describe 或 List 的動作。請注意，這樣做也會授予對爾後可能新增至 API 的任何描述或列出動作進行存取。

{
  "Version":"2012-10-17",           
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["cloudsearch:Describe*", 
                 "cloudsearch:List*"],
      "Resource": "arn:aws:cloudsearch:us-east-1:555555555555:domain/movies"
    }
  ]
}

授予所有 Amazon CloudSearch 組態服務動作的存取權

您可以透過包含授予所有 CloudSearch 組態服務動作存取權的Allow陳述式，授予對所有 Amazon 組態服務動作的存取權，而不授予網域服務動作的存取權。這讓您得以授予管理存取權，但不授權使用者上傳資料或從網域擷取資料。執行此操作的一種方法是使用萬用字元授予對所有 Amazon CloudSearch 動作的存取權，然後加入拒絕陳述式，以封鎖對網域服務動作的存取。下列以使用者為基礎的策略會授與該區域中 111122223333 帳戶擁有之所有網域的組態服務存取權。us-west-2

{
  "Version":"2012-10-17",           
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["cloudsearch:*"],
      "Resource": "arn:aws:cloudsearch:us-west-2:111122223333:domain/*"
    },
    {
      "Effect": "Deny",
      "Action": ["cloudsearch:document", 
                 "cloudsearch:search", 
                 "cloudsearch:suggest"],
      "Resource": "arn:aws:cloudsearch:us-west-2:111122223333:domain/*"
    }
  ]  
}

授予對所有 Amazon CloudSearch 服務的無限制訪問

您可以授予對所有 Amazon CloudSearch 服務的不受限制存取權，包括所有組態服務動作以及使用者型政策的所有網域服務。為此，動作、區域和網域名稱請指定萬用字元。下列政策可讓使用者存取 111122223333 帳戶擁有之任何區域中任何網域的所有 Amazon CloudSearch 動作。

{
  "Version":"2012-10-17",           
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["cloudsearch:*"],
      "Resource": "arn:aws:cloudsearch:*:111122223333:domain/*"
    }
  ]
}

授予將文件上傳到 Amazon CloudSearch 網域的權限

您可以指定cloudsearch:document動作，授與使用者將文件上載至搜尋網域的權限。例如，下列以使用者為基礎的策略可讓使用者將文件上傳至 111122223333 帳戶us-east-1所擁有的movies網域。

{
  "Version":"2012-10-17",           
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["cloudsearch:document"],
      "Resource": "arn:aws:cloudsearch:us-east-1:111122223333:domain/movies"
    }
  ]
}

將 Amazon CloudSearch 存取權授予另一個 AWS 帳戶

您有兩個選項可以設定 CloudSearch網域的跨帳戶存取：

本主題提供第二個選項的範例，即將以資源為基礎的原則新增至 CloudSearch 網域。假設帳戶 #1 為帳戶 ID 111111111111 所擁有，而帳戶 #2 為帳戶 ID 999999999999 所擁有。帳戶 #1 希望授予存取權讓帳戶 #2 使用 movies 網域的搜尋服務，共需要兩個步驟：

從選取的 IP 位址授予對 Amazon CloudSearch 網域的存取權

透過 Amazon CloudSearch 組態服務設定的資源型存取政策支援匿名存取，可讓您將未簽署的請求提交至搜尋網域的服務。若要允許選定的 IP 位址進行匿名存取，政策中的 Principal 值請使用萬用字元，Condition 元素則指定允許的 IP 位址。

如果您要建立以資源為基礎的政策，以授與來自 Amazon EC2 執行個體的請求的存取權，則需要指定執行個體的公有 IP 地址。

IP 位址是以標準無類別網域間路由 (CIDR) 格式指定。例如，10.24.34.0/24 指定範圍 10.24.34.0 - 10.24.34.255，而 10.24.34.0/32 指定單一 IP 地址 10.24.34.0。如需 CIDR 表示法的詳細資訊，請參閱 RFC 4632。

例如，下列政策授予存取 AWS 帳戶 111122223333 所擁有之movies網域的搜尋動作，從 IP 位址 192.0.2.0/32。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"search_only",
      "Effect":"Allow",
      "Principal":"*",
      "Action":["cloudsearch:search"],
      "Condition":{"IpAddress":{"aws:SourceIp":"192.0.2.0/32"}}
    }
  ]
}

授予 Amazon CloudSearch 網域搜尋服務的公開存取權

如果您的網域需要允許公開存取其搜尋端點，則可設定以資源為基礎無任何條件的政策。這會使得任何 IP 位址皆可傳送未經簽署的請求。

例如，下列政策授予公眾存取 AWS 帳戶 111122223333 所擁有的movies網域的搜尋動作。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"public_search",
      "Effect":"Allow",
      "Principal":"*",
      "Action":["cloudsearch:search"]
    }
  ]
}

CloudSearch 使用 AWS 管理主控台設定 Amazon 的存取

當 Amazon CloudSearch 更新存取政策時，您的網域會保持在Processing狀態。

設定 Amazon CloudSearch 的存取 AWS CLI

您可以使 Amazon CloudSearch . AWS CLI 如需有關安裝與設定 AWS CLI 的資訊，請參閱 AWS Command Line Interface 使用者指南。

更新以資源為基礎的存取政策需要一些時間才能完成。您可以使用 aws cloudsearch describe-service-access-policies 命令檢查政策的狀態。政策一旦套用之後，政策的狀態將變更為 Active。

您可以使用 aws cloudsearch describe-service-access-policies 命令擷取網域的政策。

使用 AWS 開發套件設定對網域各個端點的存取權

AWS 開發套件 (Android 和 iOS 開發套件除外) 支援 Amazon CloudSearch 設定 API 中定義的所有 Amazon CloudSearch 動作，包括。UpdateServiceAccessPolicies如需安裝與使用 AWS 開發套件的詳細資訊，請參閱 AWS 軟體開發套件。