Utilizzo delle chiavi di condizione IAM con Amazon Aurora DSQL

Quando si concedono le autorizzazioni in Aurora DSQL, è possibile specificare le condizioni che determinano l'effetto di una politica di autorizzazioni. Di seguito sono riportati alcuni esempi di come è possibile utilizzare le chiavi di condizione nelle politiche di autorizzazione di Aurora DSQL.

Esempio 1: concedere l'autorizzazione per creare un cluster in uno specifico Regione AWS

La seguente politica concede l'autorizzazione a creare cluster nelle regioni Stati Uniti orientali (Virginia settentrionale) e Stati Uniti orientali (Ohio). Questa policy utilizza la risorsa ARN per limitare le regioni consentite, quindi Aurora DSQL può creare cluster solo se tale ARN è specificato nella sezione della policy. Resource

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": ["dsql:CreateCluster"], 
            "Resource": [
                "arn:aws:dsql:us-east-1:*:cluster/*",
                "arn:aws:dsql:us-east-2:*:cluster/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Esempio 2: concedere l'autorizzazione per creare un cluster multiregionale in s specifici Regione AWS

La seguente politica concede l'autorizzazione a creare cluster multiregionali nelle regioni Stati Uniti orientali (Virginia settentrionale) e Stati Uniti orientali (Ohio). Questa politica utilizza la risorsa ARN per limitare le regioni consentite, quindi Aurora DSQL può creare cluster multiregionali solo se questo ARN è specificato nella sezione della politica. Resource Tieni presente che la creazione di cluster multiregionali richiede anche lePutMultiRegionProperties, PutWitnessRegion e le autorizzazioni in ciascuna regione specificata. AddPeerCluster

JSON

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dsql:CreateCluster",
          "dsql:PutMultiRegionProperties",
          "dsql:PutWitnessRegion",
          "dsql:AddPeerCluster"
        ],
        "Resource": [
           "arn:aws:dsql:us-east-1:123456789012:cluster/*",
           "arn:aws:dsql:us-east-2:123456789012:cluster/*"
        ]
      }
    ]
}

Esempio 3: concedere l'autorizzazione per creare un cluster multiregionale con una regione di riferimento specifica

La seguente politica utilizza una chiave di dsql:WitnessRegion condizione Aurora DSQL e consente a un utente di creare cluster multiregionali con una regione di riferimento negli Stati Uniti occidentali (Oregon). Se non si specifica la dsql:WitnessRegion condizione, è possibile utilizzare qualsiasi regione come regione di riferimento.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dsql:CreateCluster",
                "dsql:PutMultiRegionProperties",
                "dsql:AddPeerCluster"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dsql:PutWitnessRegion"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*",
            "Condition": {
                "StringEquals": {
                    "dsql:WitnessRegion": [
                        "us-west-2"
                    ]
                }
            }
        }
    ]
}