Autorisations d'API Amazon DocumentDB : référence des actions, des ressources et des conditions

Utilisez les sections suivantes comme référence lorsque vous configurez Utilisation de politiques basées sur l'identité (politiques IAM) pour Amazon DocumentDB et rédigez des politiques d'autorisation que vous pouvez associer à une identité IAM (politiques basées sur l'identité).

La liste suivante répertorie chaque opération d'API Amazon DocumentDB. La liste comprend les actions correspondantes pour lesquelles vous pouvez accorder des autorisations pour effectuer l'action, la AWS ressource pour laquelle vous pouvez accorder les autorisations et les clés de condition que vous pouvez inclure pour un contrôle d'accès précis. Vous spécifiez les actions dans le champ Action de la politique, la valeur de ressource dans le champ Resource de la politique, et les conditions dans le champ Condition de la politique. Pour plus d’informations sur les conditions, consultez Spécification de conditions dans une politique.

Vous pouvez utiliser des clés AWS de condition larges dans vos politiques Amazon DocumentDB pour exprimer des conditions. Pour obtenir la liste complète des touches AWS-wide, consultez la section Clés disponibles dans le guide de l'utilisateur IAM.

Vous pouvez tester les politiques IAM à l'aide du simulateur de politiques IAM. Il fournit automatiquement une liste des ressources et des paramètres requis pour chaque AWS action, y compris les actions Amazon DocumentDB. Le simulateur de politique IAM détermine les autorisations requises pour chacune des actions que vous spécifiez. Pour plus d'informations sur le simulateur de politique IAM, voir Tester les politiques IAM avec le simulateur de politique IAM dans le guide de l'utilisateur IAM.

Note

Pour indiquer une action, utilisez le préfixe rds: suivi du nom de l'opération d'API (par exemple, rds:CreateDBInstance).

Vous trouverez ci-dessous la liste des opérations d'API Amazon RDS ainsi que leurs actions, ressources et clés de condition associées.

Actions Amazon DocumentDB qui prennent en charge les autorisations au niveau des ressources

Les autorisations au niveau des ressources permettent de spécifier les ressources sur lesquelles les utilisateurs sont autorisés à effectuer des actions. Amazon DocumentDB prend partiellement en charge les autorisations au niveau des ressources. Cela signifie que pour certaines actions Amazon DocumentDB, vous pouvez contrôler le moment où les utilisateurs sont autorisés à utiliser ces actions en fonction des conditions qui doivent être remplies ou des ressources spécifiques que les utilisateurs sont autorisés à utiliser. Par exemple, vous pouvez accorder aux utilisateurs l'autorisation de modifier uniquement des instances spécifiques.

La liste suivante répertorie les opérations de l'API Amazon DocumentDB ainsi que leurs actions, ressources et clés de condition associées.

Note

Pour certaines fonctionnalités de gestion, Amazon DocumentDB utilise une technologie opérationnelle partagée avec Amazon RDS. Pour plus d'actions et d'autorisations Amazon DocumentDB, reportez-vous à la section Actions, ressources et clés de condition pour Amazon RDS dans la référence d'autorisation de service.

Opérations et actions de l'API Amazon DocumentDB	Ressources	Clés de condition
AddTagsToResource rds:AddTagsToResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ApplyPendingMaintenanceAction rds:ApplyPendingMaintenanceAction	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
Copier DB ClusterSnapshot rds:CopyDBClusterSnapshot	Instantané du cluster arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBCluster rds:CreateDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
Créer une base de données ClusterParameterGroup rds:CreateDBClusterParameterGroup	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
Créer une base de données ClusterSnapshot rds:CreateDBClusterSnapshot	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	Instantané du cluster arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBInstance rds:CreateDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
Créer une base de données SubnetGroup rds:CreateDBSubnetGroup	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DeleteDBInstance rds:DeleteDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
Supprimer B SubnetGroup rds:DeleteDBSubnetGroup	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
Décrit B ClusterParameterGroups rds:DescribeDBClusterParameterGroups	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
Décrit B ClusterParameters rds:DescribeDBClusterParameters	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusters rds:DescribeDBClusters	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
Décrit B ClusterSnapshotAttributes rds:DescribeDBClusterSnapshotAttributes	Instantané du cluster arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
Décrit B SubnetGroups rds:DescribeDBSubnetGroups	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribePendingMaintenanceActions rds:DescribePendingMaintenanceActions	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
FailoverDBCluster rds:FailoverDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
ListTagsForResource rds:ListTagsForResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ModifyDBCluster rds:ModifyDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
Modifier la base de données ClusterParameterGroup rds:ModifyDBClusterParameterGroup	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
Modifier la base de données ClusterSnapshotAttribute rds:ModifyDBClusterSnapshotAttribute	Instantané du cluster arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
ModifyDBInstance rds:ModifyDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
RebootDBInstance rds:RebootDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
RemoveTagsFromResource rds:RemoveTagsFromResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
Réinitialiser DB ClusterParameterGroup rds:ResetDBClusterParameterGroup	Groupe de paramètres du cluster arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
Restaurer la base de données ClusterFromSnapshot rds:RestoreDBClusterFromSnapshot	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	Instantané du cluster arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
Restaurer la base de données ClusterToPointInTime rds:RestoreDBClusterToPointInTime	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	Groupe de sous-réseaux arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag

Actions Amazon DocumentDB qui ne prennent pas en charge les autorisations au niveau des ressources

Vous pouvez utiliser toutes les actions Amazon DocumentDB dans une politique IAM pour accorder ou refuser aux utilisateurs l'autorisation d'utiliser cette action. Cependant, toutes les actions Amazon DocumentDB ne prennent pas en charge les autorisations au niveau des ressources, qui vous permettent de spécifier les ressources sur lesquelles une action peut être effectuée. Les actions d'API Amazon DocumentDB suivantes ne prennent actuellement pas en charge les autorisations au niveau des ressources. Par conséquent, pour utiliser ces actions dans une politique IAM, vous devez autoriser les utilisateurs à utiliser toutes les ressources nécessaires à l'action en utilisant un * caractère générique pour l'Resourceélément de votre déclaration.

• rds:DescribeDBClusterSnapshots

• rds:DescribeDBInstances