政策最佳實務使用主控台允許使用者檢視他們自己的許可存取一個 Amazon S3 儲存貯體根據標籤存取 AWS DMS 資源

AWS Database Migration Service 身分型政策範例

根據預設，IAM使用者和角色沒有建立或修改 AWS DMS 資源的許可。他們也無法使用 AWS Management Console AWS CLI、或執行任務 AWS API。IAM 管理員必須建立IAM政策，授予使用者和角色許可，以對所需的指定資源執行特定API操作。然後，管理員必須將這些政策連接到需要這些許可IAM的使用者或群組。

若要了解如何使用這些範例政策文件建立IAM身分型JSON政策，請參閱 IAM 使用者指南 中的在 JSON索引標籤上建立政策。

政策最佳實務

身分型政策會決定是否有人可以在您的帳戶中建立、存取或刪除 AWS DMS 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

開始使用 AWS 受管政策並邁向最低權限許可 – 若要開始將許可授予您的使用者和工作負載，請使用 AWS 受管政策，將許可授予許多常見使用案例。它們可在您的中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需詳細資訊，請參閱 IAM 使用者指南 中的 AWS 受管政策或 AWS 受管政策。
套用最低權限許可 – 當您使用IAM政策設定許可時，只會授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需使用 IAM 套用許可的詳細資訊，請參閱 IAM 使用者指南 中的政策和許可IAM。
使用IAM政策中的條件來進一步限制存取：您可以將條件新增至政策，以限制對動作和資源的存取。例如，您可以撰寫政策條件來指定所有請求都必須使用傳送SSL。如果透過特定使用服務動作，例如 AWS 服務，您也可以使用條件來授予其存取權 AWS CloudFormation。如需詳細資訊，請參閱 IAM 使用者指南 中的IAMJSON政策元素：條件。
使用 IAM Access Analyzer 驗證您的IAM政策，以確保安全且功能許可 – IAM Access Analyzer 會驗證新的和現有的政策，讓政策遵循IAM政策語言（JSON）和IAM最佳實務。IAM Access Analyzer 提供超過 100 個政策檢查和可行的建議，協助您撰寫安全且功能正常的政策。如需詳細資訊，請參閱 IAM 使用者指南 中的IAM存取分析器政策驗證。
需要多重要素身分驗證（MFA） – 如果您有需要IAM使用者或根使用者的案例 AWS 帳戶，請開啟 MFA 以增加安全性。若要在呼叫API操作MFA時要求，請將MFA條件新增至您的政策。如需詳細資訊，請參閱 IAM 使用者指南 中的設定 MFA受保護的API存取。

如需中最佳實務的詳細資訊IAM，請參閱 IAM 使用者指南 中的安全最佳實務IAM。

使用 AWS DMS 主控台

下列政策可讓您存取 AWS DMS，包括 AWS DMS 主控台，並指定其他 Amazon 服務所需的特定動作的許可，例如 Amazon EC2。



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dms:*",
            "Resource": "arn:aws:dms:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases", 
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Get*",
                "cloudwatch:List*"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:FilterLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }
    ]
}

這些權限的細節可協助您更深入了解需要每項權限才能使用主控台的原因。

若要讓使用者列出其可用的 AWS KMS 金鑰和別名，以便在主控台中顯示，則需要下列區段。如果您知道 KMS金鑰的 Amazon Resource Name （ARN）且僅使用 AWS Command Line Interface （），則不需要此項目AWS CLI。


{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases", 
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

某些端點類型需要角色與端點一起傳入時ARN，需要以下區段。此外，如果未事先建立必要的 AWS DMS 角色，則 AWS DMS 主控台可以建立角色。若已事先設定所有角色，iam:GetRole 和 iam:PassRole 中會具備所有必要項目。如需角色的詳細資訊，請參閱建立要與 AWS CLI 和搭配使用IAM的角色 AWS DMS API。


{
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:PassRole",
                "iam:CreateRole",
                "iam:AttachRolePolicy"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

由於 AWS DMS 需要建立 Amazon EC2執行個體，並為建立的複寫執行個體設定網路，因此需要下列區段。這些資源存在於客戶的帳戶，所以需要能夠代表客戶執行這些動作。


{
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

若要讓使用者檢視複寫執行個體指標，需要下列區段。


{
            "Effect": "Allow",
            "Action": [
                "cloudwatch:Get*",
                "cloudwatch:List*"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

若要讓使用者檢視複寫日誌，需要此區段。


{
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:FilterLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "arn:aws:service:region:account:resourcetype/id"
        }

AWS DMS 主控台會建立數個角色，這些角色會在您使用 AWS DMS主控台時自動連接至 AWS 您的帳戶。如果您使用 AWS Command Line Interface （AWS CLI）或 AWS DMSAPI進行遷移，則需要將這些角色新增至您的帳戶。如需有關新增這些角色的詳細資訊，請參閱建立要與 AWS CLI 和搭配使用IAM的角色 AWS DMS API。

如需使用此政策存取之需求的詳細資訊 AWS DMS，請參閱 IAM 使用所需的許可 AWS DMS。

允許使用者檢視他們自己的許可

此範例示範如何建立政策，允許使用者檢視連接至其IAM使用者身分的內嵌和受管政策。此政策包含在主控台上完成此動作或使用或 AWS CLI 以程式設計方式完成此動作的許可 AWS API。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

存取一個 Amazon S3 儲存貯體

AWS DMS 使用 Amazon S3 儲存貯體做為資料庫遷移的中繼儲存體。通常， AWS DMS 會為此管理預設 S3 儲存貯體。不過，在某些情況下，特別是當您使用 AWS CLI 或 AWS DMS時API， AWS DMS 可讓您改為指定自己的 S3 儲存貯體。例如，您可以指定自己的 S3 儲存貯體，將資料遷移至 Amazon Redshift 目標端點。在此情況下，您需要根據 AWS受管AmazonDMSRedshiftS3Role政策建立具有許可的角色。

下列範例顯示 AmazonDMSRedshiftS3Role 政策的版本。它允許 AWS DMS 將 AWS 帳戶中IAM的使用者授予其中一個 Amazon S3 儲存貯體的存取權。還可讓使用者新增、更新和刪除物件。

除了授予使用者 s3:PutObject、s3:GetObject 與 s3:DeleteObject 許可之外，政策也會授予 s3:ListAllMyBuckets、s3:GetBucketLocation 與 s3:ListBucket 許可。這些是主控台需要的額外許可。其他許可允許 AWS DMS 管理儲存貯體生命週期。此外，需要執行 s3:GetObjectAcl 動作，才能複製物件。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:DeleteBucket",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:GetBucketPolicy",
                "s3:PutBucketPolicy",
                "s3:GetBucketAcl",
                "s3:PutBucketVersioning",
                "s3:GetBucketVersioning",
                "s3:PutLifecycleConfiguration",
                "s3:GetLifecycleConfiguration",
                "s3:DeleteBucketPolicy"
            ],
            "Resource": "arn:aws:s3:::dms-*"
        }
    ]
}

如需根據此原則建立角色的詳細資訊，請參閱 Amazon S3 儲存貯體設定。

根據標籤存取 AWS DMS 資源

您可以在身分型政策中使用條件，以根據標籤控制存取 AWS DMS 資源。此範例示範如何建立允許存取所有 AWS DMS端點的政策。但是，只有在端點資料庫標籤 Owner 的值是該使用者的使用者名稱時，才會授予該許可。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dms:*",
            "Resource": "arn:aws:dms:*:*:endpoint/*",
            "Condition": {
                "StringEquals": {"dms:endpoint-tag/Owner": "${aws:username}"}
            }
        }
    ]
}

您可以將此政策連接至您帳戶中IAM的使用者。如果名為的使用者richard-roe嘗試存取 AWS DMS 端點，則端點資料庫必須加上標籤Owner=richard-roe或 owner=richard-roe。否則，此使用者便會被拒絕存取。條件標籤鍵 Owner 符合 Owner 和 owner，因為條件索引鍵名稱不區分大小寫。如需詳細資訊，請參閱 IAM 使用者指南 中的IAMJSON政策元素：條件。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

AWS Database Migration Service 如何使用 IAM

資源型政策範例