将基于身份的策略(IAM 策略)用于 Amazon Comprehend - Amazon Comprehend

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

将基于身份的策略(IAM 策略)用于 Amazon Comprehend

本主题提供了基于身份的策略的示例,这些示例展示了账户管理员如何将权限策略附加到 IAM 身份(即用户、组和角色),从而授予执行 Amazon Comprehend 操作的权限。

重要

以下是使用 Amazon Comprehend 文档分析操作所需的权限:

{ "Version": "2012-10-17", "Statement": [{ "Sid": "AllowDetectActions", "Effect": "Allow", "Action": [ "comprehend:DetectEntities", "comprehend:DetectKeyPhrases", "comprehend:DetectDominantLanguage", "comprehend:DetectSentiment", "comprehend:DetectSyntax" ], "Resource": "*" } ] }

该策略中的一个语句授予使用DetectEntitiesDetectKeyPhrasesDetectDominantLanguageDetectSentiment, 和DetectSyntax行动。具有此策略的用户将无法在您的账户中执行批量操作或异步操作。

该策略不指定 Principal 元素,因为在基于身份的策略中,未指定获取权限的委托人。附加了策略的用户是隐式委托人。向 IAM 角色附加权限策略后,该角色的信任策略中标识的委托人将获取权限。

有关显示所有 Amazon Comprehend API 操作及其适用的资源的表,请参阅Amazon Comprehend 的操作、资源和条件键中的服务授权参考.

使用 KMS 加密所需的权限

要在异步任务中完全使用 Amazon 密钥管理服务 (KMS) 进行数据和任务加密,您需要为如下策略中所示的操作授予权限:

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "kms:CreateGrant" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "kms:Decrypt", "kms:GenerateDatakey" ], "Effect": "Allow", "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": [ "s3.region.amazonaws.com" ] } } } ] }

当您使用 Amazon Comprehend 创建异步任务时,您将使用存储在 Amazon S3 上的输入数据。使用 S3,您可以选择加密存储的数据,这些数据由 S3 加密,而不是 Amazon Comprehend 加密。如果您提供,我们可以解密和读取加密的输入数据kms:Decrypt对 Amazon Comprehend 任务使用的数据访问角色加密原始输入数据的密钥的权限。

您还可以选择使用 KMS 客户管理的密钥 (CMK) 对 S3 上的输出结果以及作业处理期间使用的存储卷进行加密。执行此操作时,您可以对两种类型的加密使用相同的 KMS 密钥,但这不是必需的。创建任务时,可以使用单独的字段来指定用于输出加密和卷加密的密钥,您甚至可以使用其他账户的 KMS 密钥。

使用 KMS 加密时,kms:CreateGrant卷加密需要权限kms:GenerateDataKey输出数据加密需要权限。要读取加密的输入(如输入数据已被 Amazon S3 加密时),kms:Decrypt权限是必需的。IAM 角色需要根据需要授予这些权限。但是,如果密钥来自与当前使用的账户不同的账户,则该 kms 密钥的 KMS 密钥策略还必须将这些权限授予作业的数据访问角色。

使用 Amazon Comprehend 控制台所需的权限

权限参考表列出 Amazon Comprehend API 操作并显示每个操作所需的权限。有关Amazon Comprehend API 权限的更多信息,请参阅Amazon Comprehend API 权限:操作、资源和条件参考.

要使用 Amazon Comprehend 控制台,您需要为如下策略中所示的操作授予权限:

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "comprehend:*", "iam:ListRoles", "iam:GetRole", "s3:ListAllMyBuckets", "s3:ListBucket", "s3:GetBucketLocation" ], "Effect": "Allow", "Resource": "*" } ] }

Amazon Comprehend 控制台出于以下原因需要上述其他权限:

  • iam列出您的账户可用 IAM 角色的权限。

  • s3权限,以访问包含用于主题建模的数据的 Amazon S3 存储桶和对象。

使用控制台创建异步批处理作业或主题建模作业时,您可以选择让控制台为您的任务创建 IAM 角色。要创建 IAM 角色,必须向用户授予以下额外权限,以创建 IAM 角色和策略,以及将策略附加到角色:

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "iam:CreateRole", "iam:CreatePolicy", "iam:AttachRolePolicy" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "iam:PassRole" ], "Effect": "Allow", "Resource": "arn:aws:iam::*:role/*Comprehend*" } ] }

Amazon Comprehend 控制台出于以下原因需要上述其他权限:

  • iam创建角色和策略以及附加角色和策略的权限。这些区域有:iam:PassRole操作使控制台能够将角色传递给 Amazon Comprehend。

适用于Amazon Comprehend 的 AWS 托管(预定义

AWS 通过提供由 AWS 创建和管理的独立 IAM 策略来解决许多常用案例。这些 AWS 托管策略可针对常用案例授予必要的权限,使您免去调查所需权限的工作。有关更多信息,请参阅 。AWS 托管策略中的IAM 用户指南.

以下 AWS 托管策略 (您可以将它们附加到您账户中的用户) 特定于 Amazon Comprehend:

  • ComprehendFullAccess— 授予对 Amazon Comprehend 资源的完全访问权,包括运行主题建模任务。包括列出和获取 IAM 角色的权限。

  • ComprehendReadOnly— 授予运行所有 Amazon Comprehend 操作的权限StartDominantLanguageDetectionJobStartEntitiesDetectionJobStartKeyPhrasesDetectionJobStartSentimentDetectionJobStartTargetedSentimentDetectionJob, 和StartTopicsDetectionJob.

您需要对任何将使用 Amazon Comprehend 的用户应用以下附加政策:

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "iam:PassRole" ], "Effect": "Allow", "Resource": "arn:aws:iam::*:role/*Comprehend*" } ] }

您可以通过登录到 IAM 控制台并在该控制台中搜索特定策略来查看托管权限策略。

当您使用 AWS SDK 或 AWS CLI 时,可以使用这些策略。

此外,您还可以创建您自己的自定义 IAM 策略,以授予 Amazon Comprehend 操作和资源的相关权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。

异步操作所需的基于角色的权限

要使用 Amazon Comprehend 异步操作,您必须授予 Amazon Comprehend 对包含您的文档集合的 Amazon S3 存储桶的访问权限。为此,您可以在账户中创建一个数据访问角色,并使用信任策略来信任 Amazon Comprehend 服务委托人。有关创建角色的更多信息,请参阅创建向 AWS 服务委托权限的角色中的AWS Identity and Access Management s.

下面显示您创建的角色的示例信任策略。帮助混淆代理问题防范,您可以使用一个或多个全局条件上下文键来限制权限的范围。设置aws:SourceAccount值添加到您的账户 ID。如果您将ArnEquals条件下,设置aws:SourceArn值转换为任务的 ARN。对于 ARN 中的任务编号使用通配符,因为 Amazon Comprehend 会在创建任务时生成此编号。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "comprehend.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "ArnEquals": { "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*" } } } ] }

创建角色之后,为该角色创建访问策略。这应该会授予 Amazon S3GetObjectListBucket对包含您的输入数据的 Amazon S3 存储桶和 Amazon S3 的权限PutObject对您的 Amazon S3 输出数据存储桶的权限。

客户托管式策略示例

本节的用户策略示例介绍如何授予各 Amazon Comprehend 操作的权限。当您使用 AWS SDK 或 AWS CLI 时,可以使用这些策略。当您使用控制台时,您需要向所有 Amazon Comprehend API 授予权限。这在 使用 Amazon Comprehend 控制台所需的权限 中进行了讨论。

注意

所有示例都使用 us-east-2 区域和虚构的账户 ID。

示例

示例 1:允许所有Amazon Comprehend 操作

注册之后AWS,创建管理员用户来管理您的账户,包括创建用户和管理用户权限。

您可以选择创建具有所有 Amazon Comprehend 操作权限的用户(将该用户视为特定于服务的管理员),以便使用 Amazon Comprehend。您可以将以下权限策略附加到该用户。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAllComprehendActions", "Effect": "Allow", "Action": [ "comprehend:*", "iam:ListRoles", "iam:GetRole", "s3:ListAllMyBuckets", "s3:ListBucket", "s3:GetBucketLocation", "iam:CreateRole", "iam:CreatePolicy", "iam:AttachRolePolicy", "kms:CreateGrant", "kms:Decrypt", "kms:GenerateDatakey" ], "Resource": "*" }, { "Action": [ "iam:PassRole" ], "Effect": "Allow", "Resource": "arn:aws:iam::*:role/*Comprehend*" } ] }

可以按以下方式修改这些权限:

  • 要使 Amazon Comprehend 能够分析存储在加密 S3 存储桶中的文档,IAM 角色必须具有kms:Decrypt权限。

  • 要使 Amazon Comprehend 能够加密存储在附加到处理分析任务的计算实例的存储卷上的文档,IAM 角色必须具有kms:CreateGrant权限。

  • 要使 Amazon Comprehend 能够加密其 S3 存储桶中的输出结果,IAM 角色必须具有kms:GenerateDataKey权限。

示例 2:允许主题建模操作

以下权限策略向用户授予执行 Amazon Comprehend 主题建模操作的权限。

{ "Version": "2012-10-17", "Statement": [{ "Sid": "AllowTopicModelingActions", "Effect": "Allow", "Action": [ "comprehend:DescribeTopicsDetectionJob", "comprehend:ListTopicsDetectionJobs", "comprehend:StartTopicsDetectionJob", ], "Resource": "*" ] } ] }