本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 資源總管 身分型政策範例

預設情況下，AWS Identity and Access Management(IAM) 主體 (如角色、群組和使用者) 沒有建立或修改資源總管資源的許可。他們也無法使用AWS Management Console、AWS Command Line Interface (AWS CLI) 或AWS API 執行工作。IAM 管理員必須建立 IAM 政策必須授予主體授予主體許可，授予主體在指定資源上執行特定 API 操作的所需許可。然後，管理員必須將這些政策指派這些政策指派給需要這些許可的 IAM 主體。

若要提供存取權，請新增許可到您的使用者、群組或角色：

若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》中的在 JSON 索引標籤上建立政策。

政策最佳實務

以身分為基礎的政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除資源總管理器資源。這些動作可能會讓您的 AWS 帳戶 產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

有關 IAM 中最佳實務的詳細資訊，請參閱 IAM 使用者指南中的 IAM 安全最佳實務。

使用資源總管主控台

若要在主AWS 資源總管控台中搜尋主體，他們必須擁有最基本的一組許可。如果您未建立具有最低必要許可的基於身分的政策，則對於帳戶中的主體而言，Resource Explorer 主控台將無法如預期運作。

您可以使用名為AWSResourceExplorerReadOnlyAccess的AWS受管理策略授與使用 Resource Explorer 主控台來使用帳戶中的任何檢視進行搜尋的能力。若要授與僅使用單一檢視進行搜尋的權限授與資源總管檢視的存取權以進行搜尋，請參閱以下兩節中的和範例。

對於僅呼叫 AWS CLI 或 AWS API 的主體，您不需要允許其最基本主控台許可。相反地，您可以選擇僅授與主參與者需要執行之 API 作業相符的動作的存取權。

根據標籤授予檢視的存取權

在此範例中，您想要授予您帳戶中的主體的存取權授AWS 帳戶予您帳戶中的主體。若要這麼做，您可以將 IAM 身分型政策指派給您希望能夠在資源總管中搜尋的主體。下列 IAM 政策範例會授予任何請求的存取權，其中附加至呼叫主體的標Search-Group籤與請求中使用的檢視相同標籤的值完全相符。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "resource-explorer-2:GetView",
                "resource-explorer-2:Search"
            ],
            "Resource": "arn:aws:resource-explorer-2:*:*:view/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Search-Group": "${aws:PrincipalTag/Search-Group}"}
            }
        }
    ]
}

您可以將此政策指派給您帳戶中的 IAM 主體。如果具有標籤的主參與者Search-Group=A嘗試使用「資源總管」檢視進行搜尋，則也必須標記檢視Search-Group=A。如果不是，則主體會被拒絕存取。條件標籤鍵 Search-Group 符合 Search-group 和 search-group，因為條件索引鍵名稱不區分大小寫。如需詳細資訊，請參閱《IAM 使用者指南》中的 IAM JSON 政策元素：條件。

授予根據標籤建立檢視的存取權

在此範例中，您只想要允許標記為與索引相同的主參與者能夠在包含索引的AWS 區域檢視中建立檢視。若要這麼做，請建立以識別為基礎的權限，以允許主參與者使用檢視進行搜尋。

現在您已可以準備授予建立檢視的許可。您可以將此範例中的陳述式新增至您用來授與適當主體Search權限的相同權限原則。根據連接至主參與者 (呼叫檢視要與之相關聯之作業和索引) 的標籤，允許或拒絕動作。下列範例 IAM 政策會拒絕任何建立檢視表的請求，當連接到呼叫者主體的Allow-Create-View標記值與建立檢視的區域中附加至索引的相同標記的值不完全相符時，建立檢視表。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "resource-explorer-2:CreateView",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {"aws:ResourceTag/Allow-Create-View": "${aws:PrincipalTag/Allow-Create-View}"}
            }
        }
    ]
}

允許主參與者檢視他們自己的許可

此範例會示範如何建立政策，允許 IAM 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台上，或是使用 AWS CLI 或 AWS API 透過編寫程式的方式完成此動作的許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}