Actions, ressources et clés de condition pour Amazon Aurora DSQL

Amazon Aurora DSQL (préfixe de service :dsql) fournit les ressources, actions et clés de contexte de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

• Découvrez comment configurer ce service.

• Affichez la liste des opérations d'API disponibles pour ce service.

• Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Actions définies par Amazon Aurora DSQL

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Niveau d'accès du tableau Actions décrit la manière dont l'action est classée (liste, lecture, gestion des autorisations ou balisage). Cette classification peut vous aider à comprendre le niveau d'accès accordé par une action utilisée dans une politique. Pour plus d'informations sur les niveaux d'accès, consultez la section Niveaux d'accès dans les résumés des politiques.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AddPeerCluster	Accorde l'autorisation d'ajouter un cluster homologue à un cluster multirégional	Écrire	Cluster*		dsql:PutMultiRegionProperties
CreateCluster	Accorde l'autorisation de créer de nouveaux clusters	Écrire	Cluster*		iam:CreateServiceLinkedRole
				aws:RequestTag/${TagKey} aws:TagKeys dsql:WitnessRegion
DbConnect	Accorde l'autorisation de se connecter à la base de données	Écrire	Cluster*
DbConnectAdmin	Accorde l'autorisation de se connecter à la base de données avec le rôle d'administrateur. La connexion à un autre rôle nécessite une DbConnect autorisation	Écrire	Cluster*
DeleteCluster	Autorise la suppression d'un cluster et de toutes ses données	Écrire	Cluster*
GetBackupJob	Accorde l'autorisation d'obtenir le statut d'une tâche de sauvegarde d'un cluster Aurora DSQL	Lecture	Cluster*
GetCluster	Accorde l'autorisation d'obtenir des informations sur un cluster	Lecture	Cluster*
GetRestoreJob	Accorde l'autorisation d'obtenir l'état d'une tâche de restauration d'un cluster Aurora DSQL	Lecture	Cluster*
GetVpcEndpointServiceName	Accorde l'autorisation de récupérer le nom du service de point de terminaison VPC pour un cluster	Lecture	Cluster*
ListClusters	Accorde l'autorisation de récupérer une liste de clusters	Liste
ListTagsForResource	Accorde l'autorisation de répertorier toutes les balises d'une ressource SQL Aurora	Lecture	Cluster*
PutMultiRegionProperties	Autorise la mise à jour des propriétés multirégionales d'un cluster	Écrire	Cluster*
PutWitnessRegion	Accorde l'autorisation de configurer et de mettre à jour la région témoin d'un cluster multirégional	Écrire	Cluster*		dsql:PutMultiRegionProperties
				dsql:WitnessRegion
RemovePeerCluster	Accorde l'autorisation de supprimer un cluster homologue d'un cluster multirégional	Écrire	Cluster*		dsql:PutMultiRegionProperties
StartBackupJob	Accorde l'autorisation de démarrer une tâche de sauvegarde pour un cluster SQL Aurora	Écrire	Cluster*
StartRestoreJob	Accorde l'autorisation de démarrer une tâche de restauration pour un cluster Aurora DSQL	Écrire	Cluster*		dsql:CreateCluster iam:CreateServiceLinkedRole
StopBackupJob	Autorise l'arrêt d'une tâche de sauvegarde pour un cluster Aurora DSQL	Écrire	Cluster*
StopRestoreJob	Autorise l'arrêt d'une tâche de restauration pour un cluster Aurora DSQL	Écrire	Cluster*
TagResource	Accorde l'autorisation d'ajouter des balises aux ressources SQL Aurora	Identification	Cluster*
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Accorde l'autorisation de supprimer des balises des ressources SQL Aurora	Identification	Cluster*
				aws:TagKeys
UpdateCluster	Accorde l'autorisation de modifier les attributs du cluster	Écrire	Cluster*
				dsql:WitnessRegion

Types de ressources définis par Amazon Aurora DSQL

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
Cluster	arn:${Partition}:dsql:${Region}:${Account}:cluster/${Identifier}	aws:ResourceTag/${TagKey}

Clés de condition pour Amazon Aurora DSQL

Amazon Aurora DSQL définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d’application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez la section Clés contextuelles de condition AWS globales.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction de la paire de clés et de valeurs d'identification autorisée dans la demande.	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction des identifications associées à la ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction d'une liste de clés d'identification autorisées dans la demande.	ArrayOfString
dsql:WitnessRegion	Filtre l'accès par région témoin des clusters multirégionaux	Chaîne