AWS 的托管策略 AWS AppSync - AWS AppSync
AWSAppSyncInvokeFullAccessAWSAppSyncSchemaAuthorAWSAppSyncPushToCloudWatchLogsAWSAppSyncAdministratorAWSAppSyncServiceRolePolicy策略更新

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS 的托管策略 AWS AppSync

要向用户、群组和角色添加权限，使用 AWS 托管策略比自己编写策略要容易得多。创建IAM客户托管策略以仅向您的团队提供他们所需的权限需要时间和专业知识。要快速入门，您可以使用我们的 AWS 托管策略。这些策略涵盖常见使用案例，可在您的 AWS 账户中使用。有关 AWS 托管策略的更多信息，请参阅《IAM用户指南》中的AWS 托管策略。

AWS 服务维护和更新 AWS 托管策略。您无法更改 AWS 托管策略中的权限。服务偶尔会向 AWS 托管策略添加其他权限以支持新功能。此类更新会影响附加策略的所有身份（用户、组和角色）。当推出新功能或有新操作可用时，服务最有可能更新 AWS 托管策略。服务不会从 AWS 托管策略中移除权限，因此策略更新不会破坏您的现有权限。

此外，还 AWS 支持跨多个服务的工作职能的托管策略。例如，ReadOnlyAccess AWS 托管策略提供对所有 AWS 服务和资源的只读访问权限。当服务启动一项新功能时， AWS 会为新操作和资源添加只读权限。有关工作职能策略的列表和说明，请参阅《IAM用户指南》中的工作职能AWS 托管策略。

AWS 托管策略： AWSAppSyncInvokeFullAccess

使用AWSAppSyncInvokeFullAccess AWS 托管策略允许您的管理员通过控制台或独立访问 AWS AppSync 服务。

您可以将该AWSAppSyncInvokeFullAccess策略附加到您的IAM身份。

权限详细信息

该策略包含以下权限。

  • AWS AppSync— 允许对中的所有资源具有完全的管理访问权限 AWS AppSync

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appsync:GraphQL",
                "appsync:GetGraphqlApi",
                "appsync:ListGraphqlApis",
                "appsync:ListApiKeys"
            ],
            "Resource": "*"
        }
    ]
}

AWS 托管策略： AWSAppSyncSchemaAuthor

使用AWSAppSyncSchemaAuthor AWS 托管策略允许IAM用户访问创建、更新和查询其 GraphQL 架构。有关用户可以使用这些权限执行哪些操作的信息，请参阅使用 GraphQL APIs 设计 AWS AppSync。

您可以将该AWSAppSyncSchemaAuthor策略附加到您的IAM身份。

权限详细信息

该策略包含以下权限。

  • AWS AppSync - 允许执行以下操作：

    • 创建 GraphQL 架构

    • 允许创建、修改和删除 GraphQL 类型、解析器和函数

    • 评估请求和响应模板逻辑

    • 使用运行时系统和上下文评估代码

    • 向 GraphQL 发送 GraphQL 查询 APIs

    • 检索 GraphQL 数据

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appsync:GraphQL",
                "appsync:CreateResolver",
                "appsync:CreateType",
                "appsync:DeleteResolver",
                "appsync:DeleteType",
                "appsync:GetResolver",
                "appsync:GetType",
                "appsync:GetDataSource",
                "appsync:GetSchemaCreationStatus",
                "appsync:GetIntrospectionSchema",
                "appsync:GetGraphqlApi",
                "appsync:ListTypes",
                "appsync:ListApiKeys",
                "appsync:ListResolvers",
                "appsync:ListDataSources",
                "appsync:ListGraphqlApis",
                "appsync:StartSchemaCreation",
                "appsync:UpdateResolver",
                "appsync:UpdateType",
                "appsync:TagResource",
                "appsync:UntagResource",
                "appsync:ListTagsForResource",
                "appsync:CreateFunction",
                "appsync:UpdateFunction",
                "appsync:GetFunction",
                "appsync:DeleteFunction",
                "appsync:ListFunctions",
                "appsync:ListResolversByFunction",
                "appsync:EvaluateMappingTemplate",
                "appsync:EvaluateCode"
            ],
            "Resource": "*"
        }
    ]
}

AWS 托管策略： AWSAppSyncPushToCloudWatchLogs

AWS AppSync 使用 Amazon CloudWatch 通过生成可用于排查和优化 GraphQL 请求的日志来监控应用程序的性能。有关更多信息，请参阅 CloudWatch 用于监控和记录 GraphQL 数据 API。

使用AWSAppSyncPushToCloudWatchLogs AWS 托管策略 AWS AppSync 允许将日志推送到IAM用户的 CloudWatch 账户。

您可以将该AWSAppSyncPushToCloudWatchLogs策略附加到您的IAM身份。

权限详细信息

该策略包含以下权限。

  • CloudWatch Logs— AWS AppSync 允许创建具有指定名称的日志组和流。 AWS AppSync将日志事件推送到指定的日志流。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

AWS 托管策略： AWSAppSyncAdministrator

使用AWSAppSyncAdministrator AWS 托管策略允许您的管理员访问 AWS AppSync除 AWS 控制台之外的所有内容。

你可以附加AWSAppSyncAdministrator到你的IAM实体。 AWS AppSync 还将此策略附加到允许其代表您执行操作的服务角色。

权限详细信息

该策略包含以下权限。

  • AWS AppSync— 允许对中的所有资源具有完全的管理访问权限 AWS AppSync

  • IAM - 允许执行以下操作：

    • 创建服务相关角色 AWS AppSync 以允许代表您分析其他服务中的资源

    • 删除服务相关角色

    • 将服务相关角色传递给其他 AWS 服务，以便日后代入该角色并代表您执行操作

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appsync:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "appsync.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "appsync.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:DeleteServiceLinkedRole",
                "iam:GetServiceLinkedRoleDeletionStatus"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/appsync.amazonaws.com/AWSServiceRoleForAppSync*"
        }
    ]
}

AWS 托管策略： AWSAppSyncServiceRolePolicy

使用AWSAppSyncServiceRolePolicy AWS 托管策略允许访问 AWS AppSync使用或管理的 AWS 服务和资源。

你无法附着AWSAppSyncServiceRolePolicy在你的IAM实体上。此策略附加到允许代表您执行操作 AWS AppSync 的服务相关角色。有关更多信息，请参阅 的服务相关角色 AWS AppSync。

权限详细信息

该策略包含以下权限。

  • X-Ray— AWS AppSync AWS X-Ray 用于收集有关在您的应用程序中提出的请求的数据。有关更多信息，请参阅 AWS X-Ray 用于跟踪中的请求 AWS AppSync。

    该策略允许执行以下操作：

    • 检索采样规则及其结果

    • 将跟踪数据发送到 X-Ray 进程守护程序

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "xray:PutTraceSegments",
                "xray:PutTelemetryRecords",
                "xray:GetSamplingTargets",
                "xray:GetSamplingRules",
                "xray:GetSamplingStatisticSummaries"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

对 AWS 托管式策略的AWS AppSync 更新

查看 AWS AppSync 自该服务开始跟踪这些更改以来 AWS 托管策略更新的详细信息。要获得有关此页面变更的自动提醒，请订阅 “ AWS AppSync 文档历史记录” 页面上的订阅RSS源。

更改 描述 日期

AWSAppSyncSchemaAuthor – 对现有策略的更新

添加了 EvaluateCode 策略操作，以允许用户使用运行时系统和上下文评估代码。

 2023 年 2 月 7 日

AWSAppSyncSchemaAuthor – 对现有策略的更新

添加了策略操作以允许列出、获取、创建、更新和删除函数API。

添加了 EvaluateMappingTemplate 策略操作，以允许用户评估请求和响应解析器映射模板逻辑。

添加了策略操作以允许资源标记。

 2022 年 8 月 25 日

AWS AppSync 开始跟踪更改

AWS AppSync 开始跟踪其 AWS 托管策略的更改。

 2022 年 8 月 25 日