Amazon DocumentDB API 권한: 작업, 리소스 및 조건 참조 - Amazon DocumentDB

문서의 영문과 번역 사이에 충돌이 있는 경우에는 영문 버전을 따릅니다. 번역 버전은 기계 번역을 사용하여 제공합니다.

Amazon DocumentDB API 권한: 작업, 리소스 및 조건 참조

정책을 이용한 액세스 관리 및 IAM 자격 증명에 연결할 수 있는 쓰기 권한 정책(자격 증명 기반 정책)을 설정할 때 다음 단원을 참조하십시오.

표를 보면 Amazon DocumentDB API 작업이 각각 나열되어 있습니다. 실행 권한을 부여할 수 있는 대상 작업과 권한을 부여할 수 있는 대상 AWS 리소스, 그리고 세부적인 액세스 제어를 위해 추가할 수 있는 조건 키가 포함되어 있습니다. 정책의 Action 필드에서 작업을 지정하고, Resource 필드에서 리소스 값을 지정하고, Condition 필드에서 조건을 지정합니다. 조건에 대한 자세한 내용은 정책에서 조건 지정 단원을 참조하십시오.

Amazon DocumentDB 정책에서 AWS 차원 조건 키를 사용하여 조건을 표시할 수 있습니다. AWS 차원 키의 전체 목록은 IAM 사용 설명서사용할 수 있는 키 단원을 참조하십시오.

IAM 정책 시뮬레이터로 IAM 정책을 테스트할 수 있습니다. 이 시뮬레이터는 Amazon DocumentDB 작업을 포함하여 각 AWS 작업에 필요한 리소스 및 파라미터 목록을 자동으로 제공합니다. 또한 IAM 정책은 사용자가 지정하는 작업마다 필요한 권한을 결정합니다. IAM 정책 시뮬레이터에 대한 자세한 내용은 IAM 사용 설명서IAM 정책 시뮬레이터로 IAM 정책 테스트를 참조하십시오.

참고

작업을 지정하려면 rds: 접두사 다음에 API 작업 이름을 사용합니다(예: rds:CreateDBInstance).

다음 표에는 Amazon RDS API 작업과 관련 작업, 리소스 및 조건 키가 나와 있습니다.

리소스 수준 권한을 지원하는 Amazon DocumentDB 작업

리소스 수준 권한이 있으면 사용자가 작업을 수행할 수 있는 리소스를 지정할 수 있습니다. Amazon DocumentDB에서는 리소스 수준 권한을 부분적으로 지원합니다. 즉, 필요 조건을 지정하거나 사용 가능한 특정 리소스를 지정하여 사용자가 특정 Amazon DocumentDB 작업을 사용할 수 있는지 여부를 제어할 수 있습니다. 예를 들어 특정 인스턴스로 제한된 변경 권한을 사용자에게 부여할 수 있습니다.

다음 표에는 Amazon DocumentDB API 작업과 관련 작업, 리소스 및 조건 키가 나와 있습니다.

일부 관리 기능의 경우 Amazon RDS와 공유하는 운영 기술이 Amazon DocumentDB에 사용됩니다.

Amazon DocumentDB API 작업 리소스 조건 키

AddTagsToResource

rds:AddTagsToResource

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ApplyPendingMaintenanceAction

rds:ApplyPendingMaintenanceAction

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

CopyDBClusterSnapshot

rds:CopyDBClusterSnapshot

클러스터 스냅샷

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBCluster

rds:CreateDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

CreateDBClusterParameterGroup

rds:CreateDBClusterParameterGroup

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

CreateDBClusterSnapshot

rds:CreateDBClusterSnapshot

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

클러스터 스냅샷

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

CreateDBInstance

rds:CreateDBInstance

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

CreateDBSubnetGroup

rds:CreateDBSubnetGroup

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DeleteDBInstance

rds:DeleteDBInstance

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

DeleteDBSubnetGroup

rds:DeleteDBSubnetGroup

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DescribeDBClusterParameterGroups

rds:DescribeDBClusterParameterGroups

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

DescribeDBClusterParameters

rds:DescribeDBClusterParameters

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

DescribeDBClusters

rds:DescribeDBClusters

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

DescribeDBClusterSnapshotAttributes

rds:DescribeDBClusterSnapshotAttributes

클러스터 스냅샷

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

DescribeDBSubnetGroups

rds:DescribeDBSubnetGroups

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

DescribePendingMaintenanceActions

rds:DescribePendingMaintenanceActions

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

FailoverDBCluster

rds:FailoverDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

ListTagsForResource

rds:ListTagsForResource

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ModifyDBCluster

rds:ModifyDBCluster

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-name

rds:cluster-tag

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterParameterGroup

rds:ModifyDBClusterParameterGroup

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

ModifyDBClusterSnapshotAttribute

rds:ModifyDBClusterSnapshotAttribute

클러스터 스냅샷

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

ModifyDBInstance

rds:ModifyDBInstance

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:DatabaseClass

rds:db-tag

RebootDBInstance

rds:RebootDBInstance

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

RemoveTagsFromResource

rds:RemoveTagsFromResource

인스턴스

arn:aws:rds:region:account-id:db:db-instance-name

rds:db-tag

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

ResetDBClusterParameterGroup

rds:ResetDBClusterParameterGroup

클러스터 파라미터 그룹

arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name

rds:cluster-pg-tag

RestoreDBClusterFromSnapshot

rds:RestoreDBClusterFromSnapshot

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

클러스터 스냅샷

arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name

rds:cluster-snapshot-tag

RestoreDBClusterToPointInTime

rds:RestoreDBClusterToPointInTime

Cluster

arn:aws:rds:region:account-id:cluster:db-cluster-instance-name

rds:cluster-tag

Subnet Group

arn:aws:rds:region:account-id:subgrp:subnet-group-name

rds:subgrp-tag

리소스 수준 권한을 지원하지 않는 Amazon DocumentDB 작업

IAM 정책에서 모든 Amazon DocumentDB 작업을 사용하여 해당 작업을 사용하기 위한 사용자 권한을 부여하거나 거부할 수 있습니다. 하지만 모든 Amazon DocumentDB 작업이 리소스 수준 권한을 지원하는 것은 아닙니다. 여기에서 리소스 수준 권한이란 작업이 가능한 리소스를 지정할 수 있는 권한을 말합니다. 현재 다음 Amazon DocumentDB API 작업은 리소스 수준 권한을 지원하지 않습니다. 따라서 IAM 정책에서 이 작업을 사용하려면 명령문에 Resource 요소의 * 와일드카드를 사용하여 작업에 모든 리소스를 사용할 수 있는 사용자 권한을 부여해야 합니다.

  • rds:DescribeDBClusterSnapshots

  • rds:DescribeDBInstances