步驟 1：設定許可 - Amazon QuickSight

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

步驟 1：設定許可

重要

Amazon QuickSight 有用於嵌入分析的新 API：GenerateEmbedUrlForAnonymousUser和GenerateEmbedUrlForRegisteredUser.

您仍然可以使用GetDashboardEmbedUrl和 GetSessionEmbedUrl API 嵌入儀表板和 QuickSight 控制台，但它們不包含最新的嵌入功能。如需最新的 up-to-date 嵌入體驗，請參閱將 QuickSight 分析內嵌到您的應用程式中。

在以下章節中，您可以了解如何為後端應用程式或 Web 伺服器設定許可。這個任務需要有 IAM 的管理存取權。

每個存取某個使用者都會 QuickSight 擔任一個角色，讓他們能夠存 QuickSight 取主控台工作階段的 Amazon 權限和權限。為了實現這一點，請在您的 AWS 帳戶中建立 IAM 角色。將 IAM 政策與此角色建立關聯，以提供許可給擔任此角色的任何使用者。新增quicksight:RegisterUser權限以確保讀取器能以唯讀 QuickSight 方式存取，且無法存取任何其他資料或建立功能。IAM 角色也需要提供可擷取主控台工作階段 URL 的許可。對於這一點，您新增 quicksight:GetSessionEmbedUrl。

下列範例政策提供搭配 IdentityType=IAM 使用的許可。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "quicksight:RegisterUser",
      "Resource": "*",
      "Effect": "Allow"
    },
    {
      "Action": "quicksight:GetSessionEmbedUrl",
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

下列範例政策提供擷取主控台工作階段 URL 的許可。如果您要在使用者存取內嵌工作階段之前建立使用者，則可以不帶 quicksight:RegisterUser 使用政策。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight:GetSessionEmbedUrl"
            ],
            "Resource": "*"
        }
    ]
}

如果您使用 QUICKSIGHT 作為您的 identityType，並提供使用者的 Amazon Resource Name (ARN)，您還需要在政策中允許 quicksight:GetAuthCode 動作。下列範例政策提供此許可。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "quicksight:GetSessionEmbedUrl",
        "quicksight:GetAuthCode"
      ],
      "Resource": "*"
    }
  ]
}

您的應用程式的 IAM 身分必須有相關聯的信任政策，以允許存取至您剛建立的角色。這表示當使用者存取您的應用程式時，您的應用程式可以代表使用者擔任該角色，並在中佈建使用者 QuickSight。以下範例顯示稱為 embedding_quicksight_console_session_role 的角色，其前面有範例政策做為資源。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::11112222333:role/embedding_quicksight_console_session_role"
    }
}

如需 OpenID Connect 或 SAML 身分驗證的信任政策詳細資訊，請參閱 IAM 使用者指南的下列各節：