Política do IAM para evitar a compra de capacidade reservada do DynamoDB

Com a capacidade reservada do Amazon DynamoDB, você paga uma taxa única antecipada e se compromete a pagar por um nível mínimo de utilização, com uma economia significativa, ao longo de um período. Você pode usar o AWS Management Console para visualizar e comprar capacidade reservada. No entanto, talvez você não queira que todos os usuários em sua organização possam adquirir capacidade reservada. Para obter mais informações sobre capacidade reservada, consulte Preços do Amazon DynamoDB.

O DynamoDB fornece as seguintes operações de API para controlar o acesso ao gerenciamento de capacidade reservada:

• dynamodb:DescribeReservedCapacity: retorna as compras de capacidade reservada que estão em vigor no momento.

• dynamodb:DescribeReservedCapacityOfferings: retorna detalhes sobre os planos de capacidade reservada que são oferecidos no momento pela AWS.

• dynamodb:PurchaseReservedCapacityOfferings: executa uma compra real de capacidade reservada.

O AWS Management Console usa essas ações da API para exibir as informações de capacidade reservada e para fazer compras. Você não pode chamar essas operações de um programa de aplicação, pois elas podem ser acessadas somente pelo console. No entanto, é possível permitir ou negar o acesso a essas operações em uma política de permissões do IAM.

A política a seguir permite que os usuários visualizem ofertas de capacidade reservada e ofertas atuais usando o AWS Management Console, mas novas compras são negadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowReservedCapacityDescriptions",
            "Effect": "Allow",
            "Action": [
                "dynamodb:DescribeReservedCapacity",
                "dynamodb:DescribeReservedCapacityOfferings"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:123456789012:*"
        },
        {
            "Sid": "DenyReservedCapacityPurchases",
            "Effect": "Deny",
            "Action": "dynamodb:PurchaseReservedCapacityOfferings",
            "Resource": "arn:aws:dynamodb:us-west-2:123456789012:*"
        }
    ]
}

Observe que esta política usa o caractere curinga (*) para permitir permissões de descrição para todos, e para negar a compra de capacidade reservada do DynamoDB para todos.