Utilizzo delle chiavi di condizione IAM con Amazon Aurora DSQL

Quando concedi le autorizzazioni in Aurora DSQL, puoi specificare le condizioni che determinano l'effetto di una politica di autorizzazioni. Di seguito sono riportati alcuni esempi di come è possibile utilizzare le chiavi di condizione nelle politiche di autorizzazione di Aurora DSQL.

Esempio 1: concedere l'autorizzazione per creare un cluster in uno specifico Regione AWS

La seguente politica concede l'autorizzazione a creare cluster nelle regioni Stati Uniti orientali (Virginia settentrionale) e Stati Uniti orientali (Ohio). Questa policy utilizza la risorsa ARN per limitare le regioni consentite, quindi Aurora DSQL può creare cluster solo se tale ARN è specificato nella sezione della policy. Resource

JSON

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
        {
            "Action": ["dsql:CreateCluster"], 
            "Resource": [
                "arn:aws:dsql:us-east-1:*:cluster/*",
                "arn:aws:dsql:us-east-2:*:cluster/*"
            ],
            "Effect": "Allow"
        }
    ]
}

Esempio 2: concedere l'autorizzazione per creare un cluster multiregionale in s specifici Regione AWS

La seguente politica concede l'autorizzazione a creare cluster multiregionali nelle regioni Stati Uniti orientali (Virginia settentrionale) e Stati Uniti orientali (Ohio). Questa politica utilizza la risorsa ARN per limitare le regioni consentite, quindi Aurora DSQL può creare cluster multiregionali solo se questo ARN è specificato nella sezione della politica. Resource Tieni presente che la creazione di cluster multiregionali richiede anche lePutMultiRegionProperties, PutWitnessRegion e le autorizzazioni in ciascuna regione specificata. AddPeerCluster

JSON

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dsql:CreateCluster",
          "dsql:PutMultiRegionProperties",
          "dsql:PutWitnessRegion",
          "dsql:AddPeerCluster"
        ],
        "Resource": [
           "arn:aws:dsql:us-east-1:123456789012:cluster/*",
           "arn:aws:dsql:us-east-2:123456789012:cluster/*"
        ]
      }
    ]
}

Esempio 3: concedere l'autorizzazione per creare un cluster multiregionale con una regione di riferimento specifica

La seguente politica utilizza una chiave di dsql:WitnessRegion condizione Aurora DSQL e consente a un utente di creare cluster multiregionali con una regione di riferimento negli Stati Uniti occidentali (Oregon). Se non si specifica la dsql:WitnessRegion condizione, è possibile utilizzare qualsiasi regione come regione di riferimento.

JSON

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dsql:CreateCluster",
                "dsql:PutMultiRegionProperties",
                "dsql:AddPeerCluster"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dsql:PutWitnessRegion"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*",
            "Condition": {
                "StringEquals": {
                    "dsql:WitnessRegion": [
                        "us-west-2"
                    ]
                }
            }
        }
    ]
}