AWS 관리형 정책: AmazonDataZoneFullAccess

AmazonDataZoneFullAccess정책을 IAM ID에 연결할 수 있습니다.

이 정책은 DataZone 를 통해 Amazon에 대한 전체 액세스를 제공합니다 AWS Management Console.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

• datazone— 주도자에게 를 DataZone 통해 Amazon에 대한 전체 액세스 권한을 부여합니다. AWS Management Console

• kms— 보안 주체가 별칭을 나열하고 키를 설명할 수 있도록 허용합니다.

• s3— 보안 주체가 Amazon 데이터를 저장할 기존 S3 버킷을 선택하거나 새 S3 버킷을 생성할 수 있습니다. DataZone

• ram— 보안 주체가 Amazon DataZone 도메인을 공유할 수 있습니다. AWS 계정

• iam— 보안 주체가 역할을 나열하고 전달하며 정책을 가져올 수 있습니다.

• sso— 주도자가 활성화된 지역을 가져올 수 있습니다. AWS IAM Identity Center

• secretsmanager— 보안 주체가 특정 접두사를 사용하여 암호를 만들고, 태그를 지정하고, 나열할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonDataZoneStatement",
            "Effect": "Allow",
            "Action": [
                "datazone:*"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "ReadOnlyStatement",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:ListAliases",
                "iam:ListRoles",
                "sso:DescribeRegisteredRegions",
                "s3:ListAllMyBuckets",
                "redshift:DescribeClusters",
                "redshift-serverless:ListWorkgroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "secretsmanager:ListSecrets"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "BucketReadOnlyStatement",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "CreateBucketStatement",
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        },
        {
            "Sid": "RamCreateResourceStatement",
            "Effect": "Allow",
            "Action": [
                "ram:CreateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "datazone:Domain"
                }
            }
        },
        {
            "Sid": "RamResourceStatement",
            "Effect": "Allow",
            "Action": [
                "ram:DeleteResourceShare",
                "ram:AssociateResourceShare",
                "ram:DisassociateResourceShare",
                "ram:RejectResourceShareInvitation"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ram:ResourceShareName": [
                        "DataZone*"
                    ]
                }
            }
        },
        {
            "Sid": "RamResourceReadOnlyStatement",
            "Effect": "Allow",
            "Action": [
                "ram:GetResourceShares",
                "ram:GetResourceShareInvitations",
                "ram:GetResourceShareAssociations",
                "ram:ListResourceSharePermissions"
            ],
            "Resource": "*"
        },
        {
            "Sid": "IAMPassRoleStatement",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Sid": "IAMGetPolicyStatement",
            "Effect": "Allow",
            "Action": "iam:GetPolicy",
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZoneRedshiftAccessPolicy*"
            ]
        },
        {
            "Sid": "DataZoneTagOnCreateDomainProjectTags",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:TagResource"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:AmazonDataZone-*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonDataZoneDomain",
                        "AmazonDataZoneProject"
                    ]
                },
                "StringLike": {
                    "aws:RequestTag/AmazonDataZoneDomain": "dzd_*",
                    "aws:ResourceTag/AmazonDataZoneDomain": "dzd_*"
                }
            }
        },
        {
            "Sid": "DataZoneTagOnCreate",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:TagResource"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:AmazonDataZone-*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonDataZoneDomain"
                    ]
                },
                "StringLike": {
                    "aws:RequestTag/AmazonDataZoneDomain": "dzd_*",
                    "aws:ResourceTag/AmazonDataZoneDomain": "dzd_*"
                }
            }
        },
        {
            "Sid": "CreateSecretStatement",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:AmazonDataZone-*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/AmazonDataZoneDomain": "dzd_*"
                }
            }
        }
    ]
}

정책 고려 사항 및 제한

AmazonDataZoneFullAccess정책에서 다루지 않는 특정 기능이 있습니다.

• 자체 AWS KMS 키로 Amazon DataZone 도메인을 생성하는 경우 도메인을 성공적으로 생성하고, 해당 키를 사용하여 kms:CreateGrant 다른 Amazon ( DataZoneAPIs예: 및) 을 호출할 수 있는 권한이 있어야 합니다. kms:GenerateDataKey kms:Decrypt listDataSources createDataSource 또한 해당 키의kms:CreateGrant, kms:Decryptkms:GenerateDataKey, 및 kms:DescribeKey 리소스 정책에 대한 권한도 있어야 합니다.

  기본 서비스 소유 KMS 키를 사용하는 경우에는 필요하지 않습니다.

  자세한 내용은 AWS Key Management Service 단원을 참조하십시오.

• Amazon DataZone 콘솔 내에서 역할 생성 및 업데이트 기능을 사용하려면 관리자 권한이 있거나 역할을 생성하고 IAM 정책을 생성/업데이트하는 데 필요한 IAM 권한이 있어야 합니다. 필수 권한에는iam:CreateRole,, iam:CreatePolicyiam:CreatePolicyVersion, iam:DeletePolicyVersion 권한이 포함됩니다. iam:AttachRolePolicy

• AWS IAM Identity Center 사용자 로그인이 활성화된 상태로 DataZone Amazon에서 새 도메인을 생성하거나 Amazon의 기존 도메인에 대해 도메인을 활성화하는 경우 DataZone sso:CreateManagedApplicationInstancesso:DeleteManagedApplicationInstance, 및 에 대한 권한이 있어야 합니다sso:PutApplicationAssignmentConfiguration.

• DataZoneAmazon에서 AWS 계정 연결 요청을 수락하려면 ram:AcceptResourceShareInvitation 권한이 있어야 합니다.