本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

的術語和概念AWS RAM

以下概念可以說明您可以如何使用AWS Resource Access Manager(AWS RAM) 分享您的資源。

資源共享

您使用共用資源AWS RAM通過創建資源共享。資源共用具有下列三個元素：

使用後AWS RAM若要建立資源共用，可以授與資源共用中指定的主參與者存取共用的資源。

共享帳號

該共用帳號包含共用的資源，其中AWS RAM管理員可以建立AWS通過使用資源共享AWS RAM。

一個AWS RAM管理員是 IAM 主體，具有在中建立和設定資源共用的權限AWS 帳戶。因為AWS RAM通過連接到資源為基礎的政策到資源共享的資源，AWS RAM系統管理員也必須具有呼叫的權限PutResourcePolicy在中的作業AWS 服務資源共用中包含的每個資源類型。

消耗主參與者

該消費帳戶是AWS 帳戶共用資源的目標。資源共用可以將整個帳號指定為主參與者，或針對某些資源類型，指定帳號中的個別角色或使用者。如需有關哪些資源類型支援此類型共用的資訊，請參閱可共享的 AWS 資源並檢視可與 IAM 角色和使用者共用欄。

AWS RAM也支援作為資源共用取用者的服務主體。如需有關哪些資源類型支援此類型共用的資訊，請參閱可共享的 AWS 資源並檢視可以與服務主體共用欄。

消費帳戶中的主參與者只能執行允許的動作都以下權限的：

AWS RAM作為資源共用取用者，支援下列 IAM 主體類型：

以資源為基礎政策

以資源為基礎的政策是指您實作 IAM 政策語言的 JSON 文字文件。與您連接到主體的以身分為基礎的政策，這些身分包括像是 IAM 角色或使用者，這些身分包括像是 IAM 角色。AWS RAM根據您為資源共用提供的資訊，代表您撰寫以資源為基礎的政策。您必須指定Principal決定誰可以存取資源的原則元素。如需詳細資訊，請參閱以身分為基礎和以資源為基礎的政策在IAM User Guide。

由所產生的資源型政策AWS RAM會與所有其他 IAM 政策類型一起進行評估。這包括任何附加至嘗試存取資源之主體的 IAM 身分識別政策，以及AWS Organizations這可能適用於AWS 帳戶。以資源為基礎的政策AWS RAM參與與與所有其他 IAM 政策相同的政策評估邏輯。如需原則評估的完整詳細資訊，以及如何判斷產生的權限，請參閱政策評估邏輯在IAM User Guide。

AWS RAM通過提供簡單安全的資源共享體驗 easy-to-use 以資源為基礎的抽象政策。

對於那些支援以資源為基礎的政策的資源類型，AWS RAM自動為您建構和管理以資源為基礎的政策。對於給定的資源，AWS RAM結合來自所有包含該資源之資源共用的資訊，以建置以資源為基礎的政策。例如，考慮一個亞馬遜 SageMaker 您使用的管道共用AWS RAM並包含在兩個不同的資源共用中。您可以使用一個資源共用來提供整個組織的唯讀存取權。然後，您可以使用其他資源共享僅授予 SageMaker 對單個帳戶的執行權限。AWS RAM自動將這兩組不同的權限組合成具有多個陳述式的單一資源策略。然後它連接到管線資源的組合政策。您可以呼叫GetResourcePolicy操作。AWS 服務然後使用該資源型政策來授權嘗試對共用資源執行動作的任何主參與者。

雖然您可以手動建立以資源為基礎的政策，並透過呼叫將其附加到您的資源PutResourcePolicy，我們建議您使用AWS RAM因為它具有以下優點：

通過使用AWS RAM，您甚至可以共用某些尚未支援以資源為基礎的政策的資源類型。對於此類資源類型，AWS RAM會自動產生以資源為基礎的策略，做為實際權限的表示。用戶可以通過調用查看此表示GetResourcePolicy。這包括以下資源類型：

的例子AWS RAM產生的資源型政策

如果您與個人共用 EC2 Image Builder 映像資源帳戶,AWS RAM產生類似下列範例的原則，並將其附加至資源共用中包含的任何影像資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
        }
    ]
}

如果您共用 EC2 Image Builder 映像資源IAM 角色或使用者在不同的AWS 帳戶,AWS RAM產生類似下列範例的原則，並將其附加至資源共用中包含的任何影像資源。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/MySampleRole"
      },
      "Action": [
          "imagebuilder:GetImage",
          "imagebuilder:ListImages",
      ],
      "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
    }
  ]
}

如果您與組織中的所有帳戶共用 EC2 Image Builder 映像資源，或與帳戶共用 OU，AWS RAM產生類似下列範例的原則，並將其附加至資源共用中包含的任何影像資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "imagebuilder:GetImage",
                "imagebuilder:ListImages",
            ],
            "Resource": "arn:aws:imagebuilder:us-east-1:123456789012:image/testimage/1.0.0/44"
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-123456789"
                }
            }
        }
    ]
}

使用的含義"Principal": "*"在資源型政策中

當您包含"Principal": "*"在以資源為基礎的政策中，該政策會授予對包含資源之帳戶中所有 IAM 主體的存取權，但受到Condition元素 (如果存在)。明確的Deny任何套用至呼叫主體的原則中的陳述式都會覆寫此原則所授與的權限。然而，一個隱含的 Deny（意味著缺乏一個明確的 Allow) 在任何適用的身分識別原則、權限界限原則或工作階段原則中不在一個中的結果Deny這些動作以資為基礎的政策是指這些動作的主參與者。

如果這種行為不適合您的案例，那麼您可以通過添加一個來限制此行為明確的 Deny對影響相關角色和使用者的身分識別原則、權限界限或工作階段原則的陳述。

受管的權限

受管理的權限定義主參與者在資源共用中支援的資源類型在哪些情況下可以執行的動作。當您建立資源共用時，您必須指定資源共用中包括的每個資源類型的受管理許可。受管理的權限會列出一組actions和條件主參與者可以使用共用的資源執行AWS RAM。

您只能為資源共用中的每個資源類型附加一個受管理的權限。您無法建立資源共用，其中某些特定類型的資源使用一個 Managed 權限，而相同類型的其他資源則使用不同的 Managed 權限。若要這麼做，您需要建立兩個不同的資源共用，並在其中分割資源，並賦予每個資源集不同的 Managed 權限。受管理的權限類型有兩種：

AWS RAM需要受管理的權限作為輸入來編寫資源型政策為您共享的資源。

受管的權限版本

對受管理權限的任何變更都會以該受管理權限的新版本表示。新版本是所有新資源共用的預設版本。每個受管理的權限永遠都有一個版本指定為預設版本。當你或AWS建立新的受管理權限版本，您必須明確更新每個現有資源共用的 Managed 權限。在此步驟中，您可以先評估變更，然後再將變更套用至資源共用。所有新資源共用都會自動針對對應的資源類型使用新版受管理權限。

建立或更新資源共用時，您只能附加指定受管理權限的預設版本。如需詳細資訊，請參閱 將AWS受管理的權限更新至較新版本。