本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

在 Snow Family 裝置上IAM本機使用

AWS Identity and Access Management （IAM） 可協助您安全地控制 AWS Snowball Edge 對裝置上執行之 AWS 資源的存取。您可以使用 IAM 來控制誰經過驗證 （登入） 和授權 （具有許可） 來使用 資源。

IAM 在您的裝置本機支援 。您可以使用本機IAM服務來建立新的使用者，並將IAM政策連接至使用者。您可以使用這些政策來允許執行指派任務所需的存取權。例如，您可以讓使用者能夠傳輸資料，但限制他們建立新的 Amazon EC2相容執行個體的能力。

此外，您可以在裝置上使用 AWS Security Token Service （AWS STS） 建立本機工作階段型憑證。如需 IAM服務的相關資訊，請參閱 IAM 使用者指南 中的入門。

您裝置的根憑證無法停用，且您無法在帳戶中使用政策明確拒絕存取 AWS 帳戶 根使用者。我們建議您保護根使用者存取金鑰，並建立IAM使用者憑證，以便與裝置進行日常互動。

在 Snowball Edge 上使用 AWS CLI 和 API操作

使用 AWS CLI 或 API操作在 Snowball Edge 上發出 IAM AWS STS、、Amazon S3 和 Amazon EC2命令時，您必須將 指定region為「」snow。 您可以使用 aws configure或在命令本身內執行此操作，如下列範例所示。

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

或

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Snowball Edge 上支援的IAM AWS CLI 命令清單

以下是 Snowball Edge 裝置上IAM支援的 AWS CLI 命令和選項子集的描述。如果某命令或選項未在以下列出，則不受支援。命令不支援的參數會在描述中註明。

Snow Family 裝置上的支援IAMAPI操作

以下是您可以搭配 Snowball Edge 使用IAMAPI的操作，以及其在IAMAPI參考中的描述連結。

Snow Family 裝置上支援IAM的政策版本和文法

以下是IAM政策的本機IAM支援版本 2012-10-17 和政策文法的子集。

IAM Snow Family 裝置上的政策範例

以下是授予 Snowball Edge 裝置許可的政策範例。

允許 Snow Family 裝置上的範例使用者透過 GetUser 呼叫 IAM API

使用下列政策允許範例使用者透過 GetUser 呼叫 IAM API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

允許 Snow Family 裝置上的 Amazon S3 API 完整存取權

使用下列政策允許完整存取 Amazon S3 API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

允許讀取和寫入 Snow Family 裝置上的 Amazon S3 儲存貯體

使用下列政策允許對特定儲存貯體的讀取和寫入存取權。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

允許在 Snow Family 裝置上列出、取得和放置對 Amazon S3 儲存貯體的存取權

使用下列政策允許清單、取得和放置特定 S3 儲存貯體的存取權。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

允許 Snow Family 裝置上的 Amazon EC2 API 完整存取權

使用下列政策允許完整存取 Amazon EC2。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

允許存取啟動和停止 Snow Family 裝置上的 Amazon EC2相容執行個體

使用下列政策允許存取啟動和停止 Amazon EC2執行個體。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

拒絕對 的呼叫， DescribeLaunchTemplates 但允許 Snow Family DescribeImages 裝置上的 的所有呼叫

使用下列政策拒絕對 DescribeLaunchTemplates 的呼叫，但允許對 DescribeImages 的所有呼叫。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Snow Family 裝置上的API呼叫政策

列出 Snow 裝置上可用的所有受管政策，包括您自己的客戶定義的受管政策。list-policies 中的更多詳細資訊。

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy Snow Family 裝置上的範例

信任政策會傳回一組臨時安全憑證，您可以使用這些憑證來存取您通常無法存取 AWS 的資源。這些臨時登入資料由存取金鑰 ID、私密存取金鑰和安全字符組成。通常，您可以在帳戶中使用 AssumeRole 進行跨帳戶存取。

下列是信任政策的範例。如需信任政策的詳細資訊，請參閱 參考 AssumeRole中的 。 AWS Security Token Service API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}