Amazon DocumentDB API 권한: 작업, 리소스 및 조건 참조

IAM ID에 연결할 수 있는 Amazon DocumentDB에 대한 ID 기반 정책(IAM 정책) 사용 및 쓰기 권한 정책(ID 기반 정책)을 설정할 때 다음 단원을 참조하십시오.

다음 목록에는 각 Amazon DocumentDB API 작업이 각각 나열되어 있습니다. 목록에는 작업 수행 권한을 부여할 수 있는 해당 작업, 권한을 부여할 수 있는 AWS 리소스, 세분화된 액세스 제어를 위해 포함할 수 있는 조건 키가 포함되어 있습니다. 정책의 Action 필드에서 작업을 지정하고, Resource 필드에서 리소스 값을 지정하고, Condition 필드에서 조건을 지정합니다. 조건에 대한 자세한 내용은 정책에서 조건 지정 단원을 참조하십시오.

Amazon DocumentDB 정책에서 AWS-wide 조건 키를 사용하여 조건을 표현할 수 있습니다. AWS-wide 키의 전체 목록은 IAM 사용 설명서의 사용 가능한 키를 참조하십시오.

IAM 정책은 IAM 정책 시뮬레이터로 테스트할 수 있습니다. Amazon DocumentDB AWS 작업을 포함하여 각 작업에 필요한 리소스 및 파라미터 목록을 자동으로 제공합니다. 또한 IAM 정책 시뮬레이터 정책은 사용자가 지정하는 작업마다 필요한 권한을 결정합니다. IAM 정책 테스트에 대한 자세한 내용은 IAM 사용 설명서의 IAM 정책 시뮬레이터로 IAM 정책 테스트 단원을 참조하십시오.

참고

작업을 지정하려면 rds: 접두사 다음에 API 작업 명칭을 사용합니다(예: rds:CreateDBInstance).

다음 표에는 Amazon RDS API 작업을 비롯한 관련 작업과 리소스, 그리고 조건 키가 나와 있습니다.

리소스 수준 권한을 지원하는 Amazon DocumentDB 작업

리소스 수준 권한은 사용자가 작업을 수행할 수 있는 리소스를 지정하는 기능을 제공합니다. Amazon DocumentDB는 리소스 수준 권한을 부분적으로 지원합니다. 즉, 필요 조건을 지정하거나 사용 가능한 특정 리소스를 지정하여 사용자가 특정 Amazon DocumentDB 작업 사용할 수 있는지를 제어할 수 있습니다. 예를 들어 특정 인스턴스로 제한된 변경 권한을 사용자에게 부여할 수 있습니다.

다음 표에는 Amazon DocumentDB API 작업을 비롯한 관련 작업과 리소스, 그리고 조건 키가 나와 있습니다.

참고

일부 관리 기능의 경우 Amazon DocumentDB는 Amazon RDS와 공유되는 운영 기술을 사용합니다. Amazon DocumentDB 작업 및 권한에 대한 자세한 내용은 서비스 인증 참조의 Amazon RDS용 작업, 리소스 및 조건 키를 참조하십시오.

Amazon DocumentDB API 작업 및 작업	리소스	조건 키
AddTagsToResource rds:AddTagsToResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ApplyPendingMaintenanceAction rds:ApplyPendingMaintenanceAction	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
CopyDB ClusterSnapshot rds:CopyDBClusterSnapshot	클러스터 스냅샷 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBCluster rds:CreateDBCluster	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DB 생성하기 ClusterParameterGroup rds:CreateDBClusterParameterGroup	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DB 생성 ClusterSnapshot rds:CreateDBClusterSnapshot	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	클러스터 스냅샷 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBInstance rds:CreateDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
DB 생성 SubnetGroup rds:CreateDBSubnetGroup	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DeleteDBInstance rds:DeleteDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
삭제됨 B SubnetGroup rds:DeleteDBSubnetGroup	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
B 설명하기 ClusterParameterGroups rds:DescribeDBClusterParameterGroups	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
B에 대해 설명해 주세요. ClusterParameters rds:DescribeDBClusterParameters	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusters rds:DescribeDBClusters	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
B에 대해 설명해 주세요. ClusterSnapshotAttributes rds:DescribeDBClusterSnapshotAttributes	클러스터 스냅샷 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
B에 대해 설명해 주세요. SubnetGroups rds:DescribeDBSubnetGroups	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribePendingMaintenanceActions rds:DescribePendingMaintenanceActions	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
FailoverDBCluster rds:FailoverDBCluster	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
ListTagsForResource rds:ListTagsForResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ModifyDBCluster rds:ModifyDBCluster	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DB 수정 ClusterParameterGroup rds:ModifyDBClusterParameterGroup	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DB 수정 ClusterSnapshotAttribute rds:ModifyDBClusterSnapshotAttribute	클러스터 스냅샷 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
ModifyDBInstance rds:ModifyDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
RebootDBInstance rds:RebootDBInstance	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
RemoveTagsFromResource rds:RemoveTagsFromResource	Instance arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DB 재설정 ClusterParameterGroup rds:ResetDBClusterParameterGroup	클러스터 파라미터 그룹 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DB 복원 ClusterFromSnapshot rds:RestoreDBClusterFromSnapshot	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	클러스터 스냅샷 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
DB 복원 ClusterToPointInTime rds:RestoreDBClusterToPointInTime	클러스터 arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	서브넷 그룹 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag

리소스 수준 권한을 지원하지 않는 Amazon DocumentDB 작업

작업 사용 권한의 부여 여부를 결정하는 IAM 정책에서는 모든 Amazon DocumentDB 작업을 사용할 수 있습니다. 하지만 모든 Amazon DocumentDB 작업이 리소스 수준 권한을 지원하는 것은 아닙니다. 여기에서 리소스 수준 권한이란 작업이 가능한 리소스를 지정할 수 있는 권한을 말합니다. 현재 다음 Amazon DocumentDB API 작업은 리소스 수준 권한을 지원하지 않습니다. 따라서 IAM 정책에서 이러한 작업을 사용하려면 Resource 요소에 * 와일드카드를 사용하여 해당 작업 리소스를 모두 사용할 수 있는 권한을 사용자에게 부여해야 합니다.

• rds:DescribeDBClusterSnapshots

• rds:DescribeDBInstances