政策最佳實務使用主控台允許使用者檢視他們自己的許可存取一個 Amazon S3 儲存貯體根據標籤存取 AWS DMS 資源

AWS Database Migration Service 身分型政策範例

根據預設，IAM 使用者和角色不具備建立或修改 AWS DMS 資源的許可。他們也無法使用 AWS Management Console AWS CLI或來執行任務 AWS API。IAM 管理員必須建立IAM政策，授予使用者和角色對所需指定資源執行特定API操作的許可。管理員接著必須將這些政策連接至需要這些許可的 IAM 使用者或群組。

若要了解如何使用這些範例政策文件建立以IAM身分為基礎的JSON政策，請參閱 IAM 使用者指南中的在 JSON 索引標籤上建立政策。

政策最佳實務

以身分為基礎的政策會判斷是否有人可以建立、存取或刪除您帳戶中 AWS DMS 的資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

開始使用 AWS 受管政策並邁向最低權限許可 – 若要開始將許可授予您的使用者和工作負載，請使用 AWS 受管政策，將許可授予許多常見使用案例。它們可在您的中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需詳細資訊，請參閱IAM《使用者指南》中的 AWS 受管政策或 AWS 任務函數的受管政策。
套用最低權限許可 – 當您使用 IAM 政策設定許可時，只會授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需使用 IAM 套用許可的詳細資訊，請參閱IAM《使用者指南》中的政策和許可IAM。
使用IAM政策中的條件來進一步限制存取 – 您可以在政策中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件來指定所有請求都必須使用傳送SSL。如果透過特定使用服務動作，您也可以使用條件來授予存取服務動作的權限 AWS 服務，例如 AWS CloudFormation。如需詳細資訊，請參閱IAM《使用者指南》中的IAMJSON政策元素：條件。
使用 IAM Access Analyzer 驗證您的IAM政策，以確保安全且功能許可 – IAM Access Analyzer 會驗證新的和現有的政策，使政策符合IAM政策語言 (JSON) 和IAM最佳實務。 IAMAccess Analyzer 提供超過 100 個政策檢查和可行的建議，以協助您撰寫安全且實用的政策。如需詳細資訊，請參閱IAM《使用者指南》中的使用 IAM Access Analyzer 驗證政策。
需要多重要素驗證 (MFA) – 如果您有需要 IAM使用者或中根使用者的案例 AWS 帳戶，請開啟 MFA 以獲得額外的安全性。若要在呼叫API操作MFA時要求，請將MFA條件新增至您的政策。如需詳細資訊，請參閱IAM《使用者指南》中的使用安全API存取MFA。

如需中最佳實務的詳細資訊IAM，請參閱《 IAM 使用者指南》中的安全最佳實務IAM。

使用 AWS DMS 主控台

下列政策可讓您存取 AWS DMS，包括 AWS DMS主控台，並指定其他 Amazon 服務所需的特定動作許可，例如 Amazon EC2。



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dms:*",
            "Resource": "arn:aws:dms:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases", 
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Get*",
                "cloudwatch:List*"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:FilterLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }
    ]
}

這些權限的細節可協助您更深入了解需要每項權限才能使用主控台的原因。

若要讓使用者列出其可用的 AWS KMS 金鑰和別名，以便在主控台中顯示，則需要下列區段。如果您知道KMS金鑰的 Amazon Resource Name (ARN)，而且只使用 AWS Command Line Interface ()，則不需要此項目AWS CLI。


{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases", 
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

某些需要角色與端點一起傳入的端點類型ARN需要以下區段。此外，如果未事先建立必要的 AWS DMS 角色， AWS DMS 主控台可以建立角色。若已事先設定所有角色，iam:GetRole 和 iam:PassRole 中會具備所有必要項目。如需角色的詳細資訊，請參閱建立要與搭配使用IAM的角色 AWS DMS。


{
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

下列區段是必要的，因為 AWS DMS 需要建立 Amazon EC2執行個體，並為建立的複寫執行個體設定網路。這些資源存在於客戶的帳戶，所以需要能夠代表客戶執行這些動作。


{
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

若要讓使用者檢視複寫執行個體指標，需要下列區段。


{
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Get*",
                "cloudwatch:List*"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

若要讓使用者檢視複寫日誌，需要此區段。


{
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:FilterLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

如果您使用 AWS DMS 主控台、 AWS Command Line Interface (AWS CLI) 或 AWS DMSAPI進行遷移，則需要將多個角色新增至您的帳戶。如需有關新增這些角色的詳細資訊，請參閱建立要與搭配使用IAM的角色 AWS DMS。

如需使用此政策進行存取之需求的詳細資訊 AWS DMS，請參閱 IAM 使用所需的許可 AWS DMS。

允許使用者檢視他們自己的許可

此範例會示範如何建立政策，允許 IAM 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台上完成此動作的許可，或使用 AWS CLI 或以程式設計方式完成此動作的許可 AWS API。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

存取一個 Amazon S3 儲存貯體

AWS DMS 使用 Amazon S3 儲存貯體做為資料庫遷移的中繼儲存體。通常， AWS DMS 為此會管理預設 S3 儲存貯體。不過，在某些情況下，特別是當您使用 AWS CLI 或 AWS DMS時API， AWS DMS 可讓您改為指定自己的 S3 儲存貯體。例如，您可以指定自己的 S3 儲存貯體，將資料遷移至 Amazon Redshift 目標端點。在這種情況下，您需要根據受 AWS管AmazonDMSRedshiftS3Role政策建立具有許可的角色。

下列範例顯示 AmazonDMSRedshiftS3Role 政策的版本。它允許 AWS DMS 授予您 AWS 帳戶中IAM的使用者存取其中一個 Amazon S3 儲存貯體。還可讓使用者新增、更新和刪除物件。

除了授予使用者 s3:PutObject、s3:GetObject 與 s3:DeleteObject 許可之外，政策也會授予 s3:ListAllMyBuckets、s3:GetBucketLocation 與 s3:ListBucket 許可。這些是主控台需要的額外許可。其他權限可讓 AWS DMS 管理儲存貯體生命週期。此外，需要執行 s3:GetObjectAcl 動作，才能複製物件。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:DeleteBucket",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:GetBucketAcl",
                "s3:PutBucketVersioning",
                "s3:GetBucketVersioning",
                "s3:PutLifecycleConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:DeleteBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::dms-*"
        }
    ]
}

如需根據此原則建立角色的詳細資訊，請參閱 Amazon S3 儲存貯體設定。

根據標籤存取 AWS DMS 資源

您可以在身分型政策中使用條件，以根據標籤控制存取 AWS DMS 資源。此範例會示範如何建立允許存取所有 AWS DMS 端點的政策。但是，只有在端點資料庫標籤 Owner 的值是該使用者的使用者名稱時，才會授予該許可。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dms:*",
            "Resource": "arn:aws:dms:*:*:endpoint/*",
            "Condition": {
                "StringEquals": {"dms:endpoint-tag/Owner": "${aws:username}"}
            }
        }
    ]
}

您可以將此政策連接到您帳戶中的 IAM 使用者。如果名為的使用者richard-roe嘗試存取 AWS DMS 端點，則端點資料庫必須加上標籤Owner=richard-roe或 owner=richard-roe。否則，此使用者便會被拒絕存取。條件標籤鍵 Owner 符合 Owner 和 owner，因為條件索引鍵名稱不區分大小寫。如需詳細資訊，請參閱IAM《使用者指南》中的IAMJSON政策元素：條件。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

AWS Database Migration Service 如何使用 IAM

資源型政策範例