本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS Global Accelerator 的 Identity and Access Management

AWS Identity and Access Management (IAM) 是一種 AWS 服務，可協助管理員安全地控制對 AWS 資源的存取，包括 AWS Global Accelerator 資源。管理員使用 IAM 控制誰是身分驗證(已登入) 和已授權(具有權限) 來使用全域加速器資源。IAM 是 AWS 帳戶內含的一項功能，無須額外付費。

主題

概念與術語

身分驗證— 若要登入 AWS，您必須使用以下登入資料：根使用者登入資料 (不建議)、IAM 使用者登入資料，或使用 IAM 角色的臨時登入資料。若要進一步了解這些實體，請參閱什麼是身分驗證？。

存取控制— AWS 管理員使用政策來控制對 AWS 資源的存取，例如全球加速器中的加速器。如需進一步了解，請參閱什麼是存取控制？和什麼是政策？。

為了協助您了解 IAM 運作方式的基本知識，請檢閱以下詞彙：

若要檢視驗證和存取控制程序的圖表，請參閱了解 IAM 的運作方式中的IAM 使用者指南。如需 AWS 如何決定是否允許請求的詳細資訊，請參閱Policy Evaluation Logic中的IAM 使用者指南。

主控台存取、驗證管理和存取控制所需的權限

若要使用全球加速器或管理授權和為自己或他人存取控制，您必須擁有正確的許可。

建立全域加速器所需的權限

若要建立 AWS Global Accelerator 速器，使用者必須具有建立與全域加速器相關聯的服務連結角色的權限。

若要確保使用者具有在全域加速器中建立加速器的正確權限，請將原則附加至使用者，如下所示。

{
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "globalaccelerator.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
      ],
      "Resource": "arn:aws:iam::*:role/aws-service-role/globalaccelerator.amazonaws.com/AWSServiceRoleForGlobalAccelerator*"
    }

使用全域加速器主控台所需的許可

若要存取 AWS Global Accelerator 主控台，您必須擁有一組最基本的許可，讓您可以列出和檢視 AWS 帳戶中全球加速器資源的詳細資訊。如果您建立比最低必要許可更嚴格的身分類型許可政策，則對於具有該政策的實體而言，主控台將無法如預期運作。

為確保那些實體仍可使用全球加速器主控台或 API 動作，請也將以下 AWS 受管政策連接至使用者，如在 JSON 標籤上建立政策：

        GlobalAcceleratorReadOnlyAccess
        GlobalAcceleratorFullAccess

附加第一個原則，GlobalAcceleratorReadOnlyAccess，如果使用者只需要在主控台中檢視資訊，或呼叫使用List*或Describe*操作。

附加第二個原則，GlobalAcceleratorFullAccess，提供給需要建立或更新加速器的使用者。此完整存取政策包括FULL權限，以及describe權限和 Elastic Load Balancing。

以下是完整存取原則：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "globalaccelerator:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstances",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeSubnets",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DeleteNetworkInterface"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteSecurityGroup",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSServiceName": "GlobalAccelerator"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:DescribeLoadBalancers",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}

驗證管理所需的權限

若要管理自己的登入資料，例如密碼、存取金鑰和多重驗證 (MFA) 裝置，您的管理員必須授與您必要的許可。若要查看包含這些許可的政策，請參閱允許使用者自行管理其認證。

身為 AWS 管理員，您需要完整存取 IAM 的權限，您才能在 IAM 中建立和管理使用者、群組、角色和政策。您應該使用AdministratorAccessAWS 受管政策，其中包含對所有 AWS 的完整存取權。此政策不提供對 AWS Billing and Cost Management 主控台的存取權，也不允許需要 AWS 帳戶根使用者登入資料的任務。如需詳細資訊，請參閱「」需要 AWS 帳戶根使用者登入資料的 AWS 任務中的AWS 一般參考資料。

存取控制所需的權限

如果管理員提供您 IAM 使用者登入資料，則管理員已將政策連接到 IAM 使用者來控制您可以存取哪些資源。若要在 AWS 管理主控台中檢視連接到使用者身分的政策，您必須擁有以下許可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": [
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Sid": "ListUsersViewGroupsAndPolicies",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

如果您需要額外許可，請要求管理員更新您的政策，以允許您存取所需的動作。

瞭解全球加速器如何搭配 IAM 使用

服務可與 IAM 搭配運作，以多種方式：

驗證與存取控制疑難排解

請使用以下資訊來協助您診斷和修復使用 IAM 時發生的常見問題。

我未獲授權，不得在全域加速器中執行動作

若 AWS 管理主控台告知您並未獲得執行動作的授權，您必須聯絡提供您使用者名稱和密碼的管理員。

下列範例會在名為my-user-name會嘗試使用主控台執行globalaccelerator:CreateAccelerator動作，但沒有權限：

User: arn:aws:iam::123456789012:user/my-user-name is not authorized to perform: aws-globalaccelerator:CreateAccelerator on resource: my-example-accelerator

在這種情況下，要求管理員更新您的政策，以允許您存取my-example-accelerator資源使用aws-globalaccelerator:CreateAccelerator動作。

我是管理員，想要允許其他人存取全域加速器

若要允許其他人存取全球加速器，您必須針對需要存取的人員或應用程式建立 IAM 實體 (使用者或角色)。他們將使用該實體的登入資料來存取 AWS。您接著必須將原則連線到實體，在全域加速器中授與正確的許可。

若要立即開始，請參閱入門 IAM。

我想要了解 IAM 而無需成為專家

若要進一步了解 IAM 詞彙、概念和程序，請參閱下列主題：

標籤型政策

設計 IAM 政策時，您可能會透過授予對特定資源的存取來設定精密許可。隨著您管理的資源數量增加，此任務變得越來越困難。標記加速器並在政策陳述式條件中使用標籤，可讓此任務更輕鬆。您可以對具有特定標籤的任何加速器大量授予存取。然後，您會在建立加速器或稍後更新加速器時，對相關的加速器重複套用此標籤。

可以將標記連接到資源或在請求中將標記傳遞至支援標記的服務。在全域加速器中，只有加速器可以包含標籤。在建立 IAM 政策時，可使用標記條件鍵來控制以下項目：

關於標籤條件索引鍵的完整語法和語義，請參閱使用 IAM 標籤控制存取中的IAM 使用者指南。

例如，全域加速器GlobalAcceleratorFullAccess受管使用者政策可提供使用者在任何資源上執行任何全域加速器動作的許可。以下政策會限制此能力，拒絕未授權的使用者許可，禁止在任何生產加速器。除了受管使用者政策之外，客戶的管理員必須將此 IAM 政策連接到未授權的 IAM 使用者。

{ 
   "Version":"2012-10-17",
   "Statement":[ 
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:RequestTag/stage":"prod"
            }
         }
      },
      { 
         "Effect":"Deny",
         "Action":"*",
         "Resource":"*",
         "Condition":{ 
            "ForAnyValue:StringEquals":{ 
               "aws:ResourceTag/stage":"prod"
            }
         }
      }
   ]
}