本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

的術語和概念 AWS RAM

下列概念有助於說明如何使用 AWS Resource Access Manager (AWS RAM) 來共用資源。

資源共享

您可以透過建立資源共用 AWS RAM 來使用 共用資源。資源共享具有下列三個元素：

使用 AWS RAM 建立資源共享之後，資源共享中指定的主體可以獲得共享資源的存取權。

共用帳戶

共用帳戶包含共用的資源，而 AWS RAM 管理員會在其中使用 建立 AWS 資源共用 AWS RAM。

AWS RAM 管理員是具有在 中建立和設定資源共用許可的 IAM 主體 AWS 帳戶。由於 AWS RAM 的運作方式是將資源型政策連接至資源共享中的資源， AWS RAM 管理員也必須具有許可，才能 AWS 服務 針對資源共享中包含的每個資源類型，在 中呼叫 PutResourcePolicy操作。

取用主體

耗用帳戶是共用資源 AWS 帳戶 的 。資源共用可以將整個帳戶指定為主體，或指定為帳戶中的某些資源類型、個別角色或使用者。如需有關哪些資源類型支援這種共用類型的資訊，請參閱 可共用 AWS 的資源和檢視可與 IAM 角色和使用者共用欄。

AWS RAM 也支援服務主體做為資源共享的取用者。如需有關哪些資源類型支援這種共用類型的資訊，請參閱 可共用 AWS 的資源和檢視與服務主體共用欄。

耗用帳戶中的主體只能執行下列兩個許可允許的這些動作：

AWS RAM 支援下列 IAM 主體類型作為資源共用的取用者：

以資源為基礎政策

資源型政策是實作 IAM 政策語言的 JSON 文字文件。與您連接到主體的身分型政策不同，例如 IAM 角色或使用者，您會將資源型政策連接到 資源。 會根據您為資源共享提供的資訊，代表您 AWS RAM 撰寫資源型政策。您必須指定Principal政策元素，以決定誰可以存取資源。如需詳細資訊，請參閱《IAM 使用者指南》中的身分型政策和資源型政策。

產生的資源型政策 AWS RAM 會與所有其他 IAM 政策類型一起評估。這包括連接到嘗試存取資源之主體的任何 IAM 身分型政策，以及 AWS Organizations 可能適用於 的服務控制政策 (SCPs) AWS 帳戶。所產生的資源型政策會 AWS RAM 參與與所有其他 IAM 政策相同的政策評估邏輯。如需政策評估的完整詳細資訊，以及如何判斷產生的許可，請參閱《IAM 使用者指南》中的政策評估邏輯。

AWS RAM 透過提供easy-to-use抽象資源型政策，提供簡單且安全的資源共享體驗。

對於支援資源型政策的資源類型， AWS RAM 會自動為您建構和管理資源型政策。對於指定的資源， AWS RAM 會結合來自包含該資源之所有資源共用的資訊，以建置資源型政策。例如，請考慮您使用 共用的 Amazon SageMaker AI 管道， AWS RAM 並包含在兩個不同的資源共用中。您可以使用一個資源共享來提供整個組織的唯讀存取權。然後，您可以使用其他資源共享，僅將 SageMaker AI 執行許可授予單一帳戶。 AWS RAM 會自動將這兩組不同的許可組合為具有多個陳述式的單一資源政策。然後，它會將合併的資源型政策連接到管道資源。您可以透過呼叫 GetResourcePolicy操作來檢視此基礎資源政策。 AWS 服務 然後使用該資源型政策來授權任何嘗試對共用資源執行動作的委託人。

雖然您可以手動建立以資源為基礎的政策，並呼叫 將其連接至您的資源PutResourcePolicy，但我們建議您使用 AWS RAM ，因為它提供下列優點：

透過使用 AWS RAM，您甚至可以共用一些尚不支援資源型政策的資源類型。對於這類資源類型， AWS RAM 會自動產生以資源為基礎的政策，以表示實際的許可。使用者可以呼叫 來檢視此表示GetResourcePolicy。這包括下列資源類型：

AWS RAM 產生的資源型政策範例

如果您與個別帳戶共用 EC2 Image Builder 映像資源， AWS RAM 會產生如下所示的政策，並將其連接到資源共用中包含的任何映像資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

如果您與不同 中的 IAM 角色或使用者共用 EC2 Image Builder 映像資源 AWS 帳戶， AWS RAM 會產生如下所示的政策，並將其連接至資源共用中包含的任何映像資源。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

如果您與組織中的所有帳戶或 OU 帳戶共用 EC2 Image Builder 映像資源， AWS RAM 會產生如下所示的政策，並將其連接到資源共用中包含的任何映像資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

在資源型政策"Principal": "*"中使用 的含意

當您將 包含在以資源為基礎的政策"Principal": "*"中時，政策會授予 帳戶中包含資源的所有 IAM 主體存取權，如果存在，則受Condition元素施加的任何限制所約束。適用於呼叫主體的任何政策中的明確Deny陳述式會覆寫此政策授予的許可。不過，任何適用的身分政策、許可界限政策或工作階段政策中的隱含 Deny（表示缺少明確的 Allow) 不會導致 Deny被此類資源型政策授予存取 動作的委託人。

如果您的案例不想要此行為，則可以將明確Deny陳述式新增至會影響相關角色和使用者的身分政策、許可界限或工作階段政策，來限制此行為。

受管許可

受管許可定義主體可以在資源共享中支援的資源類型上執行的動作。當您建立資源共用時，您必須指定要針對資源共用中包含的每個資源類型使用哪個受管許可。受管許可會列出主體可以使用 共用資源執行的一組 actions和 條件 AWS RAM。

您只能為資源共享中的每個資源類型連接一個受管許可。您無法建立資源共享，其中特定類型的部分資源使用一個受管許可，而相同類型的其他資源使用不同的受管許可。若要這樣做，您需要建立兩個不同的資源共享，並在其中分割資源，為每個集提供不同的受管許可。受管許可有兩種類型：

AWS RAM 接受 受管許可做為輸入，為您共用的資源撰寫以資源為基礎的政策。

受管許可版本

受管許可的任何變更都會顯示為該受管許可的新版本。新版本是所有新資源共用的預設值。每個受管許可一律有一個指定為預設版本的版本。當您或 AWS 建立新的受管許可版本時，您必須明確更新每個現有資源共享的受管許可。您可以在此步驟中將變更套用至資源共享之前進行評估。所有新的資源共享都會自動使用對應資源類型的受管許可新版本。

當您建立或更新資源共享時，您只能連接指定受管許可的預設版本。如需詳細資訊，請參閱將 AWS 受管許可更新至較新版本。