使用 IAM 的 AWS 服务
下面列出的 AWS 服务根据其 AWS 产品类别分组，包含所支持的 IAM 功能的信息：
-
服务 – 您可以选择一项服务的名称，以查看有关该服务的 IAM 授权和访问权限的 AWS 文档。
-
操作 – 您可以指定策略中的各项操作。如果服务不支持此功能，则可视化编辑器中将选中所有操作。在 JSON 策略文档中，您必须在
*元素中使用Action。有关每项服务中的操作列表，请参阅AWS 服务的操作、资源和条件键。 -
资源级权限 – 您可以使用 ARN 在策略中指定各个资源。如果服务不支持此功能，则策略可视化编辑器中将选中所有资源。在 JSON 策略文档中，您必须在
*元素中使用Resource。某些操作 (如List*操作) 不支持指定 ARN，因为它们被设计为返回多个资源。如果某项服务只针对部分资源支持此功能，将在表格中用黄色单元格标明。有关更多信息，请参阅该服务的文档。 -
基于资源的策略 – 您可以将基于资源的策略附加到服务中的某项资源。基于资源的策略包含
Principal元素，用于指定可以访问此资源的 IAM 身份。有关更多信息，请参阅基于身份的策略和基于资源的策略。 -
根据标签进行授权 – 您可以在策略的条件中使用资源标签。例如，您可以创建一个策略，对标签所有者授予对已标记的 Amazon RDS 资源的完全访问权限。可使用条件键 (例如
rds:db-tag/Owner) 实现此目的。 -
临时凭证 – 利用联合身份验证、跨账户角色或服务角色登录的用户可以访问此服务。调用 AWS STS API 操作（如 AssumeRole 或 GetFederationToken）可以获得临时安全凭证。有关更多信息，请参阅临时安全凭证。
-
服务相关角色 – 服务相关角色为服务授予访问其他服务中资源的权限，以代表您完成操作。选择
Yes链接可查看文档，了解支持这些角色的服务。有关更多信息，请参阅使用服务相关角色。 -
更多信息 – 如果服务不能完全支持某项功能，您可以检查该条目的脚注，查看限制以及相关信息的链接。
计算服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Batch | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Elastic Compute Cloud (Amazon EC2) | 是 | 是 | 否 | 是 | 是 | 是¹ |
| Amazon EC2 Auto Scaling | 是 | 是 | 否 | 是 | 是 | 是 |
| AWS Elastic Beanstalk | 是 | 是 | 否 | 是 | 是 | 是 |
| Amazon Elastic Container Registry (Amazon ECR) | 是 | 是 | 是 | 是 | 是 | 否 |
| Amazon Elastic Container Service (Amazon ECS) | 是 | 是² | 否 | 否 | 是 | 是 |
| Amazon Elastic Kubernetes Service (Amazon EKS) | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Elastic Inference | 是 | 是 | 是 | 否 | 否 | 否 |
| Elastic Load Balancing | 是 | 是 | 否 | 是 | 是 | 是 |
| AWS Lambda | 是 | 是 | 是 | 否 | 是 | 是³ |
| Amazon Lightsail | 是 | 是 | 否 | 是 | 是 | 否 |
¹ 无法使用 AWS 管理控制台创建 Amazon EC2 服务相关角色，这些角色只能用于以下功能：计划实例、Spot 实例请求、Spot 队列请求
² 仅某些 Amazon EC2 操作支持资源级权限。
³ AWS Lambda 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。
存储服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Backup | 是 | 是 | 是 | 否 | 是 | 否 |
| Amazon Elastic Block Store (Amazon EBS) | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Elastic File System (Amazon EFS) | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon FSx | 是 | 是 | 否 | 是 | 是 | 是 |
| Amazon S3 Glacier | 是 | 是 | 是 | 是 | 是 | 否 |
| AWS Import/Export | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS Migration Hub | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Simple Storage Service (Amazon S3) | 是 | 是 | 是 | 是¹ | 是 | 否 |
| AWS Snowball | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS Snowball 边缘 | 是 | 否 | 否 | 否 | 否 | 否 |
| AWS Storage Gateway | 是 | 是 | 否 | 是 | 是 | 否 |
¹ Amazon S3 仅为对象资源支持基于标签的授权。
数据库服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon DynamoDB | 是 | 是 | 否 | 否 | 是 | 是 |
| Amazon ElastiCache | 是 | 否¹ | 否 | 否 | 是 | 是 |
| Amazon Quantum Ledger Database (Amazon QLDB) | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Redshift | 是 | 是 | 否 | 否 | 是 | 是 |
| Amazon Relational Database Service (Amazon RDS) | 是 | 是 | 否 | 是 | 是 | 是 |
| Amazon RDS 数据 API | 是 | 否 | 否 | 否 | 是 | 否 |
| Amazon SimpleDB | 是 | 是 | 否 | 否 | 是 | 否 |
¹ 您无法在策略中指定 ElastiCache 资源 ARN，但在为集群或复制做种时，您可以指定具有 ElastiCache actions.group 的 Amazon S3 ARN。
开发人员工具服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Cloud9 | 是 | 是 | 是 | 是 | 是 | 是 |
| CodeBuild | 是 | 是 | 否 | 否 | 是 | 否 |
| CodeCommit | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS CodeDeploy | 是 | 是 | 否 | 否 | 是 | 否 |
| CodePipeline | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS CodeStar | 是 | 是¹ | 否 | 是 | 是 | 否 |
| AWS CodeStar 通知 | 是 | 是 | 否 | 是 | 是 | 是 |
| AWS X-Ray | 是 | 否 | 否 | 否 | 是 | 否 |
安全、身份和合规性服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Certificate Manager 私有证书颁发机构 (ACM) | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Artifact | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Certificate Manager (ACM) | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS CloudHSM | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS CloudHSM Classic | 是 | 否 | 否 | 否 | 否 | 否 |
| Amazon Cognito | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Directory Service | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon GuardDuty | 是 | 是 | 否 | 否 | 是 | 是 |
| AWS Identity and Access Management (IAM) | 是 | 是 | 是¹ | 是² | 是³ | 否 |
| Amazon Inspector | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS Key Management Service (AWS KMS) | 是 | 是 | 是 | 否 | 是 | 是 |
| Amazon Macie | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS Resource Access Manager (AWS RAM) | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Secrets Manager | 是 | 是 | 是 | 是 | 是 | 否 |
| AWS Security Hub | 是 | 是 | 否 | 否 | 是 | 是 |
| AWS Single Sign-On (AWS SSO) | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS Security Token Service (AWS STS) | 是 | 是⁴ | 否 | 是 | 是⁵ | 否 |
| AWS Shield Advanced | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS WAF | 是 | 是 | 否 | 否 | 是 | 是 |
¹ IAM 仅支持一种类型的基于资源的策略（称为角色信任策略），这种策略附加到 IAM 角色。有关更多信息，请参阅 向用户授予切换角色的权限。
² IAM 仅为用户和角色资源支持基于标签的访问控制。
³ 只能使用临时凭证调用 IAM 的一部分 API 操作。有关更多信息，请参阅比较您的 API 选项
⁴ AWS STS 没有“资源”，但允许以类似的方式限制用户访问。有关更多信息，请参阅根据名称拒绝访问临时安全凭证。
⁵ 仅 AWS STS 的一部分 API 操作支持使用临时凭证进行调用。有关更多信息，请参阅比较您的 API 选项。
机器学习服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Comprehend | 是 | 否 | 否 | 是 | 是 | 否 |
| AWS DeepRacer | 是 | 否 | 否 | 否 | 是 | 是 |
| Forecast | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Lex | 是 | 是 | 否 | 否 | 是 | 是 |
| Amazon Machine Learning | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Personalize | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Polly | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Rekognition | 是 | 是 | 否 | 否 | 否 | 否 |
| Amazon SageMaker | 是 | 是 | 否 | 是¹ | 是 | 否 |
| Amazon Textract | 是 | 是 | 否 | 否 | 否 | 否 |
| Amazon Transcribe | 是 | 否 | 否 | 否 | 是 | 否 |
| Amazon Translate | 是 | 否 | 否 | 否 | 是 | 否 |
¹ Amazon SageMaker 不支持将基于标签的授权用于调用 InvokeEndpoint。
管理和治理服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Application Auto Scaling | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS Auto Scaling | 是 | 否 | 否 | 否 | 是 | 是 |
| AWS CloudFormation | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS CloudTrail | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon CloudWatch | 是 | 是 | 否 | 是 | 是 | 是¹ |
| Amazon CloudWatch Events | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon CloudWatch Logs | 是 | 是 | 是 | 是 | 是 | 否 |
| AWS Config | 是 | 是² | 否 | 是 | 是 | 是 |
| Amazon 数据生命周期管理器 | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Health | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS OpsWorks | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS OpsWorks for Chef Automate | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Organizations | 是 | 是 | 否 | 否 | 是 | 是 |
| AWS 资源组 | 是 | 是 | 否 | 是 | 是³ | 否 |
| AWS Service Catalog | 是 | 否 | 否 | 是⁴ | 是 | 否 |
| AWS Systems Manager | 是 | 是 | 否 | 是 | 是 | 是 |
| AWS Trusted Advisor | 是⁵ | 是 | 否 | 否 | 是 | 是 |
¹ 无法使用 AWS 管理控制台创建 Amazon CloudWatch 服务相关角色，这些角色仅支持警报操作功能。
² 对于多账户多区域数据聚合和 AWS Config 规则，AWS Config 支持资源级权限。有关支持的资源列表，请参阅 AWS Config API 指南的多账户多区域数据聚合和 AWS Config 规则部分。
³ 用户可以通过允许 AWS 资源组 操作的策略担任角色。
⁴ AWS Service Catalog 仅为 API 操作与输入中的一个资源匹配的操作支持基于标签的访问控制。
⁵ 针对 Trusted Advisor 的 API 访问通过 AWS Support API 执行，并受 AWS Support IAM 策略的控制。
迁移和传输服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Application Discovery Service | 是 | 否 | 否 | 否 | 否 | 是 |
| AWS Database Migration Service | 是 | 是 | 是¹ | 是 | 是 | 否 |
| AWS Migration Hub | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Server Migration Service | 是 | 否 | 否 | 否 | 是 | 是 |
¹ 您可以创建和修改附加到您创建的 AWS KMS 加密密钥的策略，以加密迁移到支持的目标终端节点的数据。支持的目标终端节点包括 Amazon Redshift 和 Amazon S3。有关更多信息，请参阅 AWS Database Migration Service 用户指南 中的创建和使用 AWS KMS 密钥以加密 Amazon Redshift 目标数据和创建 AWS KMS 密钥以加密 Amazon S3 目标对象。
移动服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Amplify | 是 | 是 | 否 | 是 | 否 | 否 |
| AWS Device Farm | 是 | 是 | 否 | 是 | 是 | 否 |
网络和内容分发服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon API Gateway | 是 | 是 | 是 | 是 | 是 | 是 |
| 是 | 是 | 否 | 是 | 是 | 是 | |
| 是¹ | 是 | 否 | 是 | 是 | 是⁴ | |
| 是 | 是 | 否 | 否 | 是 | 否 | |
| AWS Direct Connect | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Global Accelerator | 是 | 是 | 否 | 否 | 是 | 是 |
| Amazon Route 53 | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Route 53 Resolver | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Virtual Private Cloud (Amazon VPC) | 是 | 是² | 是³ | 否 | 是 | 否 |
¹ CloudFront 不支持用于创建 CloudFront 密钥对的操作级权限。必须使用 AWS 账户根用户创建 CloudFront 密钥对。有关更多信息，请参阅 Amazon CloudFront 开发人员指南中的为您的受信任签署人创建 CloudFront 密钥对。
² 在 IAM 用户策略中，您不能将权限限制到特定的 Amazon VPC 终端节点。包含 ec2:*VpcEndpoint* 或 ec2:DescribePrefixLists API 操作的任何 Action 元素都必须指定“"Resource":
"*"”。有关更多信息，请参阅 Amazon VPC 用户指南 中的控制终端节点的使用。
³ Amazon VPC 支持将单个资源策略附加到 VPC 终端节点来限制可通过该终端节点访问的内容。有关使用基于资源的策略控制特定 Amazon VPC 终端节点访问资源的更多信息，请参阅 Amazon VPC 用户指南 中的使用终端节点策略。
⁴ Amazon CloudFront 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。
媒体服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Elastic Transcoder | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Elemental MediaConnect | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Elemental MediaConvert | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Elemental MediaLive | 是 | 是 | 是 | 是 | 是 | 否 |
| AWS Elemental MediaPackage | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS Elemental MediaStore | 是 | 是 | 是 | 否 | 是 | 否 |
| AWS Elemental MediaTailor | 是 | 是 | 否 | 是 | 是 | 否 |
| Kinesis Video Streams | 是 | 是 | 否 | 是 | 是 | 否 |
分析服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Athena | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon CloudSearch | 是 | 是 | 否 | 否 | 是 | 否 |
| AWS Data Pipeline | 是 | 否 | 否 | 是 | 是 | 否 |
| Amazon Elasticsearch Service | 是 | 是 | 是 | 否 | 是 | 是 |
| Amazon EMR | 是 | 否 | 否 | 是 | 是 | 是 |
| AWS Glue | 是 | 是 | 是 | 是 | 是 | 否 |
| Amazon Kinesis Data Analytics | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Kinesis Data Firehose | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Kinesis Data Streams | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Managed Streaming for Apache Kafka (MSK) | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon QuickSight | 是 | 是 | 否 | 否 | 是 | 否 |
应用程序集成服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon MQ | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Simple Notification Service (Amazon SNS) | 是 | 是 | 是 | 否 | 是 | 否 |
| Amazon Simple Queue Service (Amazon SQS) | 是 | 是 | 是 | 否 | 是 | 否 |
| AWS Step Functions | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Simple Workflow Service (Amazon SWF) | 是 | 是 | 否 | 是 | 是 | 否 |
业务应用程序服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Alexa for Business | 是 | 是 | 否 | 否 | 是 | 否 |
| Amazon Chime | 是 | 否 | 否 | 否 | 是 | 是 |
| Amazon WorkMail | 是 | 否 | 否 | 否 | 是 | 是 |
卫星服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Ground Station | 是 | 是 | 否 | 是 | 是 | 否 |
物联网服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS IoT | 是 | 是 | 是¹ | 是 | 是 | 否 |
| AWS IoT Analytics | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS IoT Events | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS IoT Greengrass | 是 | 是 | 否 | 是 | 是 | 否 |
| AWS IoT Things Graph | 是 | 否 | 否 | 否 | 是 | 否 |
¹ 连接到 AWS IoT 的设备通过 X.509 证书或 Amazon Cognito 身份进行身份验证。您可以将 AWS IoT 策略附加到 X.509 证书或 Amazon Cognito 身份以控制设备有权执行哪些操作。有关更多信息，请参阅 AWS IoT 开发人员指南 中的 AWS IoT 的安全和身份。
机器人服务
区块链服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Managed Blockchain | 是 | 是 | 否 | 否 | 是 | 否 |
游戏开发服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon GameLift | 是 | 否 | 否 | 否 | 是 | 否 |
AR 和 VR 服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Sumerian | 是 | 是 | 否 | 否 | 是 | 否 |
客户参与服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon Connect | 是 | 是 | 否 | 否 | 是 | 是 |
| Amazon Pinpoint | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon Simple Email Service (Amazon SES) | 是 | 是¹ | 是 | 是 | 是² | 否 |
¹ 您只能在引用与发送电子邮件相关的操作（如 ses:SendEmail 或 ses:SendRawEmail）的策略语句中使用资源级权限。对于引用任何其他操作的策略语句，Resource 元素只能包含 *。
² 仅 Amazon SES API 支持临时安全凭证。Amazon SES SMTP 接口不支持从临时安全凭证派生的 SMTP 凭证。
最终用户计算服务
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| Amazon AppStream | 是 | 否 | 否 | 否 | 是 | 否 |
| Amazon AppStream 2.0 | 是 | 是 | 否 | 是 | 是 | 否 |
| Amazon WAM | 是 | 否 | 否 | 否 | 是 | 否 |
| Amazon WorkDocs | 是 | 否 | 否 | 否 | 是 | 否 |
| Amazon WorkLink | 是 | 是 | 是 | 否 | 是 | 是 |
| Amazon WorkSpaces | 是 | 是 | 否 | 是 | 是 | 否 |
其他资源
| 服务 | 操作 | 资源级权限 | 基于资源的策略 | 根据标签进行授权 | 临时凭证 | 服务相关角色 |
| AWS Billing and Cost Management | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS Marketplace | 是 | 否 | 否 | 否 | 是 | 否 |
| AWS Support | 是 | 否 | 否 | 否 | 是 | 是 |
