Identifiez les AWS ressources avec Amazon Resource Names (ARNs)

Amazon Resource Names (ARNs) identifie les AWS ressources de manière unique. Nous avons besoin d'un ARN moment où vous devez spécifier une ressource sans ambiguïté dans l'ensemble AWS, par exemple dans les IAM politiques, les balises Amazon Relational Database Service (AmazonRDS) et les appels. API

ARNformat

Voici les formats généraux pourARNs. Les formats spécifiques dépendent de la ressource. Pour utiliser unARN, remplacez italicized texte contenant les informations spécifiques à la ressource. Sachez que ARNs pour certaines ressources, omettez la région, l'identifiant du compte, ou les deux.

arn:partition:service:region:account-id:resource-id
arn:partition:service:region:account-id:resource-type/resource-id
arn:partition:service:region:account-id:resource-type:resource-id

partition

Partition dans laquelle se trouve la ressource. Une partition est un groupe de AWS régions. Chaque AWS compte est limité à une partition.

Les partitions prises en charge sont les suivantes :

• aws- AWS Régions

• aws-cn - Régions chinoises

• aws-us-gov - AWS GovCloud (US) Régions

web

L'espace de noms du service qui identifie le AWS produit.

region

Code de région. Par exemple, indiquez us-east-2 pour la région USA Est (Ohio). Pour obtenir la liste des codes de région, consultez Points de terminaison régionaux dans Références générales AWS.

id-compte

L'ID du AWS compte propriétaire de la ressource, sans les traits d'union. Par exemple, 123456789012.

type de ressource

Type de ressource. Par exemple, vpc pour un cloud privé virtuel (VPC).

resource-id

Identificateur de la ressource. Il s'agit du nom de la ressource, de l'ID de la ressource ou d'un chemin de ressource. Certains identificateurs de ressources incluent une ressource parent (sub-resource-type/parent-resource/sub-resource) ou un qualificatif tel qu'une version (resource-type:resource-name:qualifier).

Exemples

IAMutilisateur

arn:aws:iam :123456789012:utilisateur/johndoe

SNSsujet

arn:aws:sns :us-east-1:123456789012:example-sns-topic-name

VPC

arn:aws:ec2 :us-east-1:123456789012:vpc/vpc-0e9801d129EXAMPLE

Rechercher le ARN format d'une ressource

Le format exact d'un ARN dépend du service et du type de ressource. Certaines ressources ARNs peuvent inclure un chemin, une variable ou un caractère générique. Pour rechercher le ARN format d'une AWS ressource spécifique, ouvrez la référence d'autorisation du service, ouvrez la page du service et accédez au tableau des types de ressources.

Chemins dans ARNs

La ressource ARNs peut inclure un chemin. Par exemple, dans Amazon S3, l'identificateur de ressource est un nom d'objet qui peut inclure des barres obliques (/) pour former un chemin d'accès. De même, les noms IAM d'utilisateur et les noms de groupes peuvent inclure des chemins. Seuls les caractères alphanumériques et les caractères suivants sont autorisés dans les IAM chemins : barre oblique (/), plus (), égal (+), virgule (=), point (,), at (.), trait de soulignement (@) et tiret (_). -

Utilisation de caractères génériques dans les chemins

Les chemins peuvent inclure un caractère générique, à savoir un astérisque (*). Par exemple, si vous rédigez une IAM politique, vous pouvez spécifier tous les IAM utilisateurs dont le chemin product_1234 utilise un caractère générique comme suit :

arn:aws:iam::123456789012:user/Development/product_1234/*

De même, vous pouvez spécifier user/* pour indiquer tous les utilisateurs ou group/* pour indiquer tous les groupes, comme dans les exemples suivants :

"Resource":"arn:aws:iam::123456789012:user/*"
"Resource":"arn:aws:iam::123456789012:group/*"

L'exemple suivant illustre ARNs un compartiment Amazon S3 dans lequel le nom de la ressource inclut un chemin :

arn:aws:s3:::my_corporate_bucket/*
arn:aws:s3:::my-corporate-bucket/Development/*

Utilisation incorrecte des caractères génériques

Vous ne pouvez pas utiliser de caractère générique dans la partie du ARN qui indique le type de ressource, tel que le terme user dans un IAMARN. Par exemple, ce qui suit n'est pas autorisé.

arn:aws:iam::123456789012:u*   <== not allowed