AWSCleanRoomsReadOnlyAccess AWSCleanRoomsFullAccess AWSCleanRoomsFullAccessNoQuerying AWSCleanRoomsMLReadOnlyAccess AWSCleanRoomsMLFullAccess Atualizações da política

AWS políticas gerenciadas para AWS Clean Rooms

Uma política AWS gerenciada é uma política autônoma criada e administrada por AWS. AWS as políticas gerenciadas são projetadas para fornecer permissões para muitos casos de uso comuns, para que você possa começar a atribuir permissões a usuários, grupos e funções.

Lembre-se de que as políticas AWS gerenciadas podem não conceder permissões de privilégio mínimo para seus casos de uso específicos porque elas estão disponíveis para uso de todos os AWS clientes. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da específicas para seus casos de uso.

Você não pode alterar as permissões definidas nas políticas AWS gerenciadas. Se AWS atualizar as permissões definidas em uma política AWS gerenciada, a atualização afetará todas as identidades principais (usuários, grupos e funções) às quais a política está anexada. AWS é mais provável que atualize uma política AWS gerenciada quando uma nova AWS service (Serviço da AWS) for lançada ou novas operações de API forem disponibilizadas para serviços existentes.

Para obter mais informações, consulte Políticas gerenciadas pela AWS no Guia do usuário do IAM.

AWS política gerenciada: `AWSCleanRoomsReadOnlyAccess`

Você pode conectar AWSCleanRoomsReadOnlyAccess às suas entidades principais do IAM.

Essa política concede permissões somente leitura aos recursos e metadados em uma colaboração AWSCleanRoomsReadOnlyAccess.

Detalhes de permissão

Esta política inclui as seguintes permissões:

CleanRoomsRead – Permite que as entidades principais tenham acesso somente leitura ao serviço.
ConsoleDisplayTables— Permite que os diretores tenham acesso somente para leitura aos AWS Glue metadados necessários para mostrar dados sobre as AWS Glue tabelas subjacentes no console.
ConsoleLogSummaryQueryLogs – Permite que as entidades principais vejam os logs de consultas.
ConsoleLogSummaryObtainLogs – Permite que as entidades principais recuperem os resultados do log.


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CleanRoomsRead",
			"Effect": "Allow",
			"Action": [
				"cleanrooms:BatchGet*",
				"cleanrooms:Get*",
				"cleanrooms:List*"
			],
			"Resource": "*"
		},
		{
			"Sid": "ConsoleDisplayTables",
			"Effect": "Allow",
			"Action": [
				"glue:GetDatabase",
				"glue:GetDatabases",
				"glue:GetTable",
				"glue:GetTables",
				"glue:GetPartition",
				"glue:GetPartitions",
				"glue:GetSchema",
				"glue:GetSchemaVersion",
				"glue:BatchGetPartition"
			],
			"Resource": "*"
		},
		{
			"Sid": "ConsoleLogSummaryQueryLogs",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/cleanrooms*"
		},
		{
			"Sid": "ConsoleLogSummaryObtainLogs",
			"Effect": "Allow",
			"Action": [
				"logs:GetQueryResults"
			],
			"Resource": "*"
		}
	]
}

AWS política gerenciada: `AWSCleanRoomsFullAccess`

Você pode conectar AWSCleanRoomsFullAccess às suas entidades principais do IAM.

Essa política concede permissões administrativas que permitem acesso total (leitura, gravação e atualização) aos recursos e metadados em uma AWS Clean Rooms colaboração. Essa política inclui acesso para realizar consultas.

Detalhes de permissão

Esta política inclui as seguintes permissões:

CleanRoomsAccess— Concede acesso total a todas as ações em todos os recursos do AWS Clean Rooms.
PassServiceRole – Concede acesso para passar um perfil de serviço somente para o serviço (condição PassedToService) que tem "cleanrooms" em seu nome.
ListRolesToPickServiceRole— Permite que os diretores listem todas as suas funções para escolher uma função de serviço ao usar AWS Clean Rooms.
GetRoleAndListRolePoliciesToInspectServiceRole – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ListPoliciesToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
GetPolicyToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ConsoleDisplayTables— Permite que os diretores tenham acesso somente para leitura aos AWS Glue metadados necessários para mostrar dados sobre as AWS Glue tabelas subjacentes no console.
ConsolePickQueryResultsBucketListAll – Permite que as entidades principais escolham um bucket do Amazon S3 em uma lista de todos os buckets do S3 disponíveis nos quais seus resultados de consulta são gravados.
SetQueryResultsBucket – Permite que as entidades principais escolham um bucket do S3 no qual os resultados de consulta são gravados.
ConsoleDisplayQueryResults – Permite que as entidades principais mostrem ao cliente os resultados de consulta, lidos do bucket do S3.
WriteQueryResults – Permite que as entidades principais gravem os resultados de consulta em um bucket S3 de propriedade do cliente.
EstablishLogDeliveries— Permite que os diretores entreguem registros de consulta ao grupo de registros do Amazon CloudWatch Logs de um cliente.
SetupLogGroupsDescribe— Permite que os diretores usem o processo de criação de grupos de CloudWatch logs do Amazon Logs.
SetupLogGroupsCreate— Permite que os diretores criem um grupo de CloudWatch logs do Amazon Logs.
SetupLogGroupsResourcePolicy— Permite que os diretores configurem uma política de recursos no grupo de CloudWatch registros do Amazon Logs.
ConsoleLogSummaryQueryLogs – Permite que as entidades principais vejam os logs de consultas.
ConsoleLogSummaryObtainLogs – Permite que as entidades principais recuperem os resultados do log.


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CleanRoomsAccess",
			"Effect": "Allow",
			"Action": [
				"cleanrooms:*"
			],
			"Resource": "*"
		},
		{
			"Sid": "PassServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "arn:aws:iam::*:role/service-role/*cleanrooms*",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ListRolesToPickServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:ListRoles"
			],
			"Resource": "*"
		},
		{
			"Sid": "GetRoleAndListRolePoliciesToInspectServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:ListRolePolicies",
				"iam:ListAttachedRolePolicies"
			],
			"Resource": "arn:aws:iam::*:role/service-role/*cleanrooms*"
		},
		{
			"Sid": "ListPoliciesToInspectServiceRolePolicy",
			"Effect": "Allow",
			"Action": [
				"iam:ListPolicies"
			],
			"Resource": "*"
		},
		{
			"Sid": "GetPolicyToInspectServiceRolePolicy",
			"Effect": "Allow",
			"Action": [
				"iam:GetPolicy",
				"iam:GetPolicyVersion"
			],
			"Resource": "arn:aws:iam::*:policy/*cleanrooms*"
		},
		{
			"Sid": "ConsoleDisplayTables",
			"Effect": "Allow",
			"Action": [
				"glue:GetDatabase",
				"glue:GetDatabases",
				"glue:GetTable",
				"glue:GetTables",
				"glue:GetPartition",
				"glue:GetPartitions",
				"glue:GetSchema",
				"glue:GetSchemaVersion",
				"glue:BatchGetPartition"
			],
			"Resource": "*"
		},
		{
			"Sid": "ConsolePickQueryResultsBucketListAll",
			"Effect": "Allow",
			"Action": [
				"s3:ListAllMyBuckets"
			],
			"Resource": "*"
		},
		{
			"Sid": "SetQueryResultsBucket",
			"Effect": "Allow",
			"Action": [
				"s3:GetBucketLocation",
				"s3:ListBucketVersions"
			],
			"Resource": "arn:aws:s3:::cleanrooms-queryresults*"
		},
		{
			"Sid": "WriteQueryResults",
			"Effect": "Allow",
			"Action": [
				"s3:ListBucket",
				"s3:PutObject"
			],
			"Resource": "arn:aws:s3:::cleanrooms-queryresults*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ConsoleDisplayQueryResults",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject"
			],
			"Resource": "arn:aws:s3:::cleanrooms-queryresults*"
		},
		{
			"Sid": "EstablishLogDeliveries",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogDelivery",
				"logs:GetLogDelivery",
				"logs:UpdateLogDelivery",
				"logs:DeleteLogDelivery",
				"logs:ListLogDeliveries"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsDescribe",
			"Effect": "Allow",
			"Action": [
				"logs:DescribeLogGroups"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsCreate",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogGroup"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/cleanrooms*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsResourcePolicy",
			"Effect": "Allow",
			"Action": [
			  "logs:DescribeResourcePolicies",
				"logs:PutResourcePolicy"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ConsoleLogSummaryQueryLogs",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/cleanrooms*"
		},
		{
			"Sid": "ConsoleLogSummaryObtainLogs",
			"Effect": "Allow",
			"Action": [
				"logs:GetQueryResults"
			],
			"Resource": "*"
		}
	]
}

AWS política gerenciada: `AWSCleanRoomsFullAccessNoQuerying`

Você pode conectar AWSCleanRoomsFullAccessNoQuerying às suas IAM principals.

Detalhes de permissão

Esta política inclui as seguintes permissões:

CleanRoomsAccess— Concede acesso total a todas as ações em todos os recursos AWS Clean Rooms, exceto para consultas em colaborações.
CleanRoomsNoQuerying – Nega explicitamente StartProtectedQuery e UpdateProtectedQuery para evitar consultas.
PassServiceRole – Concede acesso para passar um perfil de serviço somente para o serviço (condição PassedToService) que tem "cleanrooms" em seu nome.
ListRolesToPickServiceRole— Permite que os diretores listem todas as suas funções para escolher uma função de serviço ao usar AWS Clean Rooms.
GetRoleAndListRolePoliciesToInspectServiceRole – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ListPoliciesToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
GetPolicyToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ConsoleDisplayTables— Permite que os diretores tenham acesso somente para leitura aos AWS Glue metadados necessários para mostrar dados sobre as AWS Glue tabelas subjacentes no console.
EstablishLogDeliveries— Permite que os diretores entreguem registros de consulta ao grupo de registros do Amazon CloudWatch Logs de um cliente.
SetupLogGroupsDescribe— Permite que os diretores usem o processo de criação de grupos de CloudWatch logs do Amazon Logs.
SetupLogGroupsCreate— Permite que os diretores criem um grupo de CloudWatch logs do Amazon Logs.
SetupLogGroupsResourcePolicy— Permite que os diretores configurem uma política de recursos no grupo de CloudWatch registros do Amazon Logs.
ConsoleLogSummaryQueryLogs – Permite que as entidades principais vejam os logs de consultas.
ConsoleLogSummaryObtainLogs – Permite que as entidades principais recuperem os resultados do log.
cleanrooms— gerencie colaborações, modelos de análise, tabelas configuradas, associações e recursos associados dentro do AWS Clean Rooms serviço. Execute várias operações, como criar, atualizar, excluir, listar e recuperar informações sobre esses recursos.
iam— Passe funções de serviço com nomes contendo cleanrooms "" para o AWS Clean Rooms serviço. Liste funções, políticas e inspecione funções de serviço e políticas relacionadas ao AWS Clean Rooms serviço.
glue— recupere informações sobre bancos de dados, tabelas, partições e esquemas do. AWS Glue Isso é necessário para que o AWS Clean Rooms serviço exiba e interaja com as fontes de dados subjacentes.
logs— Gerencie entregas de registros, grupos de registros e políticas de recursos para o CloudWatch Logs. Consulte e recupere registros relacionados ao AWS Clean Rooms serviço. Essas permissões são necessárias para fins de monitoramento, auditoria e solução de problemas no serviço.

A política também nega explicitamente as ações cleanrooms:StartProtectedQuery e cleanrooms:UpdateProtectedQuery impede que os usuários executem ou atualizem diretamente as consultas protegidas, o que deve ser feito por meio de mecanismos controlados. AWS Clean Rooms


{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "CleanRoomsAccess",
			"Effect": "Allow",
			"Action": [
				"cleanrooms:BatchGetCollaborationAnalysisTemplate",
				"cleanrooms:BatchGetSchema",
				"cleanrooms:BatchGetSchemaAnalysisRule",
				"cleanrooms:CreateAnalysisTemplate",
				"cleanrooms:CreateCollaboration",
				"cleanrooms:CreateConfiguredTable",
				"cleanrooms:CreateConfiguredTableAnalysisRule",
				"cleanrooms:CreateConfiguredTableAssociation",
				"cleanrooms:CreateMembership",
				"cleanrooms:DeleteAnalysisTemplate",
				"cleanrooms:DeleteCollaboration",
				"cleanrooms:DeleteConfiguredTable",
				"cleanrooms:DeleteConfiguredTableAnalysisRule",
				"cleanrooms:DeleteConfiguredTableAssociation",
				"cleanrooms:DeleteMember",
				"cleanrooms:DeleteMembership",
				"cleanrooms:GetAnalysisTemplate",
				"cleanrooms:GetCollaboration",
				"cleanrooms:GetCollaborationAnalysisTemplate",
				"cleanrooms:GetConfiguredTable",
				"cleanrooms:GetConfiguredTableAnalysisRule",
				"cleanrooms:GetConfiguredTableAssociation",
				"cleanrooms:GetMembership",
				"cleanrooms:GetProtectedQuery",
				"cleanrooms:GetSchema",
				"cleanrooms:GetSchemaAnalysisRule",
				"cleanrooms:ListAnalysisTemplates",
				"cleanrooms:ListCollaborationAnalysisTemplates",
				"cleanrooms:ListCollaborations",
				"cleanrooms:ListConfiguredTableAssociations",
				"cleanrooms:ListConfiguredTables",
				"cleanrooms:ListMembers",
				"cleanrooms:ListMemberships",
				"cleanrooms:ListProtectedQueries",
				"cleanrooms:ListSchemas",
				"cleanrooms:UpdateAnalysisTemplate",
				"cleanrooms:UpdateCollaboration",
				"cleanrooms:UpdateConfiguredTable",
				"cleanrooms:UpdateConfiguredTableAnalysisRule",
				"cleanrooms:UpdateConfiguredTableAssociation",
				"cleanrooms:UpdateMembership",
				"cleanrooms:ListTagsForResource",
				"cleanrooms:UntagResource",
				"cleanrooms:TagResource"
			],
			"Resource": "*"
		},
		{
			"Sid": "CleanRoomsNoQuerying",
			"Effect": "Deny",
			"Action": [
				"cleanrooms:StartProtectedQuery",
				"cleanrooms:UpdateProtectedQuery"
			],
			"Resource": "*"
		},
		{
			"Sid": "PassServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "arn:aws:iam::*:role/service-role/*cleanrooms*",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ListRolesToPickServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:ListRoles"
			],
			"Resource": "*"
		},
		{
			"Sid": "GetRoleAndListRolePoliciesToInspectServiceRole",
			"Effect": "Allow",
			"Action": [
				"iam:GetRole",
				"iam:ListRolePolicies",
				"iam:ListAttachedRolePolicies"
			],
			"Resource": "arn:aws:iam::*:role/service-role/*cleanrooms*"
		},
		{
			"Sid": "ListPoliciesToInspectServiceRolePolicy",
			"Effect": "Allow",
			"Action": [
				"iam:ListPolicies"
			],
			"Resource": "*"
		},
		{
			"Sid": "GetPolicyToInspectServiceRolePolicy",
			"Effect": "Allow",
			"Action": [
				"iam:GetPolicy",
				"iam:GetPolicyVersion"
			],
			"Resource": "arn:aws:iam::*:policy/*cleanrooms*"
		},
		{
			"Sid": "ConsoleDisplayTables",
			"Effect": "Allow",
			"Action": [
				"glue:GetDatabase",
				"glue:GetDatabases",
				"glue:GetTable",
				"glue:GetTables",
				"glue:GetPartition",
				"glue:GetPartitions",
				"glue:GetSchema",
				"glue:GetSchemaVersion",
				"glue:BatchGetPartition"
			],
			"Resource": "*"
		},
		{
			"Sid": "EstablishLogDeliveries",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogDelivery",
				"logs:GetLogDelivery",
				"logs:UpdateLogDelivery",
				"logs:DeleteLogDelivery",
				"logs:ListLogDeliveries"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsDescribe",
			"Effect": "Allow",
			"Action": [
				"logs:DescribeLogGroups"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsCreate",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogGroup"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/cleanrooms*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "SetupLogGroupsResourcePolicy",
			"Effect": "Allow",
			"Action": [
			  "logs:DescribeResourcePolicies",
				"logs:PutResourcePolicy"
			],
			"Resource": "*",
			"Condition": {
				"ForAnyValue:StringEquals": {
					"aws:CalledVia": "cleanrooms.amazonaws.com"
				}
			}
		},
		{
			"Sid": "ConsoleLogSummaryQueryLogs",
			"Effect": "Allow",
			"Action": [
				"logs:StartQuery"
			],
			"Resource": "arn:aws:logs:*:*:log-group:/aws/cleanrooms*"
		},
		{
			"Sid": "ConsoleLogSummaryObtainLogs",
			"Effect": "Allow",
			"Action": [
				"logs:GetQueryResults"
			],
			"Resource": "*"
		}
	]
}

AWS política gerenciada: `AWSCleanRoomsMLReadOnlyAccess`

Você pode conectar AWSCleanRoomsMLReadOnlyAccess às suas entidades principais do IAM.

Essa política concede permissões somente leitura aos recursos e metadados em uma colaboração AWSCleanRoomsMLReadOnlyAccess.

Esta política inclui as seguintes permissões:

CleanRoomsConsoleNavigation— Concede acesso para visualizar as telas do AWS Clean Rooms console.
CleanRoomsMLRead— Permite que os diretores tenham acesso somente para leitura ao serviço Clean Rooms ML.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CleanRoomsConsoleNavigation",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetCollaboration",
                "cleanrooms:GetConfiguredAudienceModelAssociation",
                "cleanrooms:GetMembership",
                "cleanrooms:ListAnalysisTemplates",
                "cleanrooms:ListCollaborationAnalysisTemplates",
                "cleanrooms:ListCollaborationConfiguredAudienceModelAssociations",
                "cleanrooms:ListCollaborations",
                "cleanrooms:ListConfiguredTableAssociations",
                "cleanrooms:ListConfiguredTables",
                "cleanrooms:ListMembers",
                "cleanrooms:ListMemberships",
                "cleanrooms:ListProtectedQueries",
                "cleanrooms:ListSchemas",
                "cleanrooms:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CleanRoomsMLRead",
            "Effect": "Allow",
            "Action": [
                "cleanrooms-ml:Get*",
                "cleanrooms-ml:List*"
            ],
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: `AWSCleanRoomsMLFullAccess`

Você pode conectar AWSCleanRoomsMLFullAcces às suas entidades principais do IAM. Essa política concede permissões administrativas que permitem acesso total (leitura, gravação e atualização) aos recursos e metadados necessários ao Clean Rooms ML.

Detalhes de permissão

Esta política inclui as seguintes permissões:

CleanRoomsMLFullAccess— Concede acesso a todas as ações do Clean Rooms ML.
PassServiceRole – Concede acesso para passar um perfil de serviço somente para o serviço (condição PassedToService) que tem "cleanrooms-ml" em seu nome.
CleanRoomsConsoleNavigation— Concede acesso para visualizar as telas do AWS Clean Rooms console.
CollaborationMembershipCheck— Quando você inicia um trabalho de geração de público (segmento semelhante) em uma colaboração, o serviço Clean Rooms ML liga ListMembers para verificar se a colaboração é válida, se o chamador é um membro ativo e se o proprietário do modelo de público configurado é um membro ativo. Essa permissão é sempre necessária; o SID de navegação do console só é necessário para usuários do console.
AssociateModels— Permite que os diretores associem um modelo de ML de salas limpas à sua colaboração.
TagAssociations: permite que as entidades principais adicionem tags à associação entre um modelo de semelhanças e uma colaboração.
ListRolesToPickServiceRole— Permite que os diretores listem todas as suas funções para escolher uma função de serviço ao usar AWS Clean Rooms.
GetRoleAndListRolePoliciesToInspectServiceRole – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ListPoliciesToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
GetPolicyToInspectServiceRolePolicy – Permite que as entidades principais vejam o perfil de serviço e a política correspondente no IAM.
ConsoleDisplayTables— Permite que os diretores tenham acesso somente para leitura aos AWS Glue metadados necessários para mostrar dados sobre as AWS Glue tabelas subjacentes no console.
ConsolePickOutputBucket: permite que as entidades principais selecionem buckets do Amazon S3 para saídas configuradas do modelo de público.
ConsolePickS3Location: permite que as entidades principais selecionem o local em um bucket para saídas configuradas do modelo de público.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CleanRoomsMLFullAccess",
            "Effect": "Allow",
            "Action": [
                "cleanrooms-ml:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PassServiceRole",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/cleanrooms-ml*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "cleanrooms-ml.amazonaws.com"
                }
            }
        },
        {
            "Sid": "CleanRoomsConsoleNavigation",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:GetCollaboration",
                "cleanrooms:GetConfiguredAudienceModelAssociation",
                "cleanrooms:GetMembership",
                "cleanrooms:ListAnalysisTemplates",
                "cleanrooms:ListCollaborationAnalysisTemplates",
                "cleanrooms:ListCollaborationConfiguredAudienceModelAssociations",
                "cleanrooms:ListCollaborations",
                "cleanrooms:ListConfiguredTableAssociations",
                "cleanrooms:ListConfiguredTables",
                "cleanrooms:ListMembers",
                "cleanrooms:ListMemberships",
                "cleanrooms:ListProtectedQueries",
                "cleanrooms:ListSchemas",
                "cleanrooms:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CollaborationMembershipCheck",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:ListMembers"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": ["cleanrooms-ml.amazonaws.com"]
                }
            }
        },
        {
            "Sid": "AssociateModels",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:CreateConfiguredAudienceModelAssociation"
            ],
            "Resource": "*"
        },
        {
            "Sid": "TagAssociations",
            "Effect": "Allow",
            "Action": [
                "cleanrooms:TagResource"
            ],
            "Resource": "arn:aws:cleanrooms:*:*:membership/*/configuredaudiencemodelassociation/*"
        },
        {
            "Sid": "ListRolesToPickServiceRole", 
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GetRoleAndListRolePoliciesToInspectServiceRole",
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:ListRolePolicies",
                "iam:ListAttachedRolePolicies"
            ],
            "Resource": [
                "arn:aws:iam::*:role/service-role/cleanrooms-ml*",
                "arn:aws:iam::*:role/role/cleanrooms-ml*"
            ]
        },
        {
            "Sid": "ListPoliciesToInspectServiceRolePolicy",
            "Effect": "Allow",
            "Action": [
                "iam:ListPolicies"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GetPolicyToInspectServiceRolePolicy",
            "Effect": "Allow",
            "Action": [
                "iam:GetPolicy",
                "iam:GetPolicyVersion"
            ],
            "Resource": "arn:aws:iam::*:policy/*cleanroomsml*"
        },
        {
            "Sid": "ConsoleDisplayTables", 
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:GetSchema",
                "glue:GetSchemaVersion",
                "glue:BatchGetPartition"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ConsolePickOutputBucket",
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ConsolePickS3Location",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*cleanrooms-ml*"
        }
    ]
}

AWS Clean Rooms atualizações nas políticas AWS gerenciadas

Veja detalhes sobre as atualizações das políticas AWS gerenciadas AWS Clean Rooms desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações nessa página, assine o feed RSS na página Histórico do AWS Clean Rooms documento.

Alteração	Descrição	Data
AWSCleanRoomsFullAccessNoQuerying: atualizar para uma política existente.	adicionado a .cleanrooms:BatchGetSchemaAnalysisRuleCleanRoomsAccess	13 de maio de 2024
AWSCleanRoomsFullAccess: atualizar para uma política existente.	A ID da declaração foi atualizada AWSCleanRoomsFullAccess de ConsolePickQueryResultsBucket para SetQueryResultsBucket nesta política para representar melhor as permissões, pois as permissões são necessárias para definir o intervalo de resultados da consulta com e sem o console.	21 de março de 2024
AWSCleanRoomsMLReadOnlyAccess – Nova política AWSCleanRoomsMLFullAccess – Nova política	Adição de AWSCleanRoomsMLReadOnlyAccess e AWSCleanRoomsMLFullAccess para compatibilidade com o AWS Clean Rooms ML.	29 de novembro de 2023
AWSCleanRoomsFullAccessNoQuerying: atualizar para uma política existente.	Adicionados cleanrooms:CreateAnalysisTemplatecleanrooms:GetAnalysisTemplate,,cleanrooms:UpdateAnalysisTemplate, cleanrooms:DeleteAnalysisTemplate,cleanrooms:ListAnalysisTemplates,cleanrooms:GetCollaborationAnalysisTemplate,cleanrooms:BatchGetCollaborationAnalysisTemplate, e cleanrooms:ListCollaborationAnalysisTemplates para CleanRoomsAccess habilitar o novo recurso de modelos de análise.	31 de julho de 2023
AWSCleanRoomsFullAccessNoQuerying: atualizar para uma política existente.	Adicionado cleanrooms:ListTagsForResource, cleanrooms:UntagResource e cleanrooms:TagResource para CleanRoomsAccess habilitar a marcação de recursos.	21 de março de 2023
AWS Clean Rooms começou a rastrear alterações	AWS Clean Rooms começou a rastrear as mudanças em suas políticas AWS gerenciadas.	12 de janeiro de 2023

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Exemplos de políticas baseadas em identidade

Solução de problemas

AWS políticas gerenciadas para AWS Clean Rooms

AWS política gerenciada: AWSCleanRoomsReadOnlyAccess

AWS política gerenciada: AWSCleanRoomsFullAccess

AWS política gerenciada: AWSCleanRoomsFullAccessNoQuerying

AWS política gerenciada: AWSCleanRoomsMLReadOnlyAccess

AWS política gerenciada: AWSCleanRoomsMLFullAccess

AWS Clean Rooms atualizações nas políticas AWS gerenciadas

AWS política gerenciada: `AWSCleanRoomsReadOnlyAccess`

AWS política gerenciada: `AWSCleanRoomsFullAccess`

AWS política gerenciada: `AWSCleanRoomsFullAccessNoQuerying`

AWS política gerenciada: `AWSCleanRoomsMLReadOnlyAccess`

AWS política gerenciada: `AWSCleanRoomsMLFullAccess`