本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 管理 Directory Service 资源访问权限概述
<a name="IAM_Auth_Access_Overview"></a>

 每个 AWS 资源都归一个 AWS 账户所有。因此，创建或访问这些资源的权限由权限策略控制。但是，账户管理员（即具有管理员权限的用户）可以为资源附加权限。还可以将权限策略附加到 IAM 身份，例如用户、群组和角色，以及某些服务，例如 AWS Lambda 还支持将权限策略附加到资源。

**注意**  
 有关账户管理员角色的信息，请参阅《IAM 用户指南》**中的 [IAM 最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。

**Topics**
+ [

## Directory Service 资源和运营
](#CreatingIAMPolicies_DS)
+ [

## 了解资源所有权
](#IAM_Auth_Access_ResourceOwner)
+ [

## 管理对 资源的访问
](#IAM_Auth_Access_ManagingAccess)
+ [

## 指定策略元素：操作、效果、资源和主体
](#SpecifyingIAMPolicyActions_DS)
+ [

## 在策略中指定条件
](#SpecifyingIAMPolicyConditions_DS)

## Directory Service 资源和运营
<a name="CreatingIAMPolicies_DS"></a>

 在中 Directory Service，主要资源是一个*目录*。由于 Directory Service 支持目录快照资源，因此只能在现有目录的上下文中创建快照。此快照被称为“子资源”**。

 这些资源具有与之关联的唯一 Amazon 资源名称 (ARNs)，如下表所示。


****  

| **资源类型**  |  **ARN 格式**  | 
| --- | --- | 
|  目录  |  `arn:aws:ds:region:account-id:directory/external-directory-id`  | 
|  快照  |  `arn:aws:ds:region:account-id:snapshot/external-snapshot-id`  | 

 Directory Service 根据您执行的操作类型包括两个服务命名空间。
+ `ds` 服务命名空间提供一组操作来处理相应资源。有关可用操作的列表，请参阅[目录服务操作](https://docs.aws.amazon.com//directoryservice/latest/devguide/API_Operations.html)。
+  `ds-data` 服务命名空间为 Active Directory 对象提供了一组操作。有关可用操作的列表，请参阅 [Directory Service Data API 参考](https://docs.aws.amazon.com//directoryservicedata/latest/DirectoryServiceDataAPIReference/Welcome.html)。

## 了解资源所有权
<a name="IAM_Auth_Access_ResourceOwner"></a>

*资源所有者*是创建资源的 AWS 账户。也就是说，资源所有者是对创建资源的请求进行身份验证的*委托人实体*（根账户、IAM 用户或 IAM 角色）的账户。 AWS 以下示例说明了它的工作原理：

 
+ 如果您使用账户的根账户证书创建 Directory Service 资源（例如目录），则您的 AWS 账户就是该资源的所有者。 AWS 
+ 如果您在 AWS 账户中创建 IAM 用户并向该用户授予创建 Directory Service 资源的权限，则该用户也可以创建 Directory Service 资源。但是，该用户所属的您的 AWS 账户拥有这些资源。
+ 如果您在 AWS 账户中创建具有创建 Directory Service 资源权限的 IAM 角色，则任何能够担任该角色的人都可以创建 Directory Service 资源。该角色所属的 AWS 账户拥有这些 Directory Service 资源。

## 管理对 资源的访问
<a name="IAM_Auth_Access_ManagingAccess"></a>

*权限策略*规定谁可以访问哪些内容。下一节介绍创建权限策略时的可用选项。

**注意**  
本节讨论在的上下文中使用 IAM Directory Service。这里不提供有关 IAM 服务的详细信息。有关完整的 IAM 文档，请参阅 *IAM 用户指南*中的[什么是 IAM？](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)。有关 IAM policy 语法和说明的信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。

*附加到 IAM 身份的策略称为*基于身份*的策略（IAM 策略），附加到资源的策略称为基于资源的策略。* Directory Service 仅支持基于身份的策略（IAM 策略）。

**Topics**
+ [

### 基于身份的策略（IAM 策略）
](#IAM_Auth_Access_ManagingAccess_IdentityBased)
+ [

### 基于资源的策略
](#IAM_Auth_Access_ManagingAccess_ResourceBased)

### 基于身份的策略（IAM 策略）
<a name="IAM_Auth_Access_ManagingAccess_IdentityBased"></a>

您可以向 IAM 身份附加策略。例如，您可以执行以下操作：

 
+ 将@@ **权限策略附加到您账户中的用户或群组**-账户管理员可以使用与特定用户关联的权限策略向该用户授予创建 Directory Service 资源（例如新目录）的权限。
+ **向角色附加权限策略（授予跨帐户权限）** – 您可以向 IAM 角色附加基于身份的权限策略，以授予跨帐户的权限。

   有关使用 IAM 委派权限的更多信息，请参阅 *IAM 用户指南*中的[访问权限管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)。

以下权限策略对用户授予权限以运行以 `Describe` 开头的所有操作。这些操作显示有关 Directory Service 资源的信息，例如目录或快照。请注意，`Resource`元素中的通配符 (\$1) 表示允许对账户拥有的所有 Directory Service 资源执行这些操作。

------
#### [ JSON ]

****  

```
{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ds:Describe*",
         "Resource":"*"
      }
   ]
}
```

------

有关将基于身份的策略与配合使用的更多信息 Directory Service，请参阅。[使用基于身份的策略（IAM 策略） Directory Service](IAM_Auth_Access_IdentityBased.md)有关用户、组、角色和权限的更多信息，请参阅 *IAM 用户指南*中的[身份（用户、组和角色）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)。

### 基于资源的策略
<a name="IAM_Auth_Access_ManagingAccess_ResourceBased"></a>

其他服务（如 Amazon S3）还支持基于资源的权限策略。例如，您可以将策略附加到 S3 存储桶，以管理对该存储桶的访问权限。 Directory Service 不支持基于资源的策略。

## 指定策略元素：操作、效果、资源和主体
<a name="SpecifyingIAMPolicyActions_DS"></a>

对于每种 Directory Service 资源，该服务都定义了一组 API 操作。有关更多信息，请参阅 [Directory Service 资源和运营](#CreatingIAMPolicies_DS)。有关可用 API 操作的列表，请参阅[目录服务操作](https://docs.aws.amazon.com/directoryservice/latest/devguide/API_Operations.html)。

要授予这些 API 操作的权限，请 Directory Service 定义一组可在策略中指定的操作。请注意，执行某项 API 操作可能需要执行多个操作的权限。

以下是基本的策略元素：
+ **资源**：在策略中，您可以使用 Amazon 资源名称（ARN）标识策略应用到的资源。对于 Directory Service 资源，您始终在 IAM 策略中使用通配符 (\$1)。有关更多信息，请参阅 [Directory Service 资源和运营](#CreatingIAMPolicies_DS)。
+ **操作** – 您可以使用操作关键字标识要允许或拒绝的资源操作。例如，`ds:DescribeDirectories` 权限允许执行 Directory Service `DescribeDirectories` 操作的用户权限。
+ **效果** – 用于指定当用户请求特定操作时的效果。可以是允许或拒绝。如果没有显式授予（允许）对资源的访问权限，则隐式拒绝访问。您也可显式拒绝对资源的访问，这样可确保用户无法访问该资源，即使有其他策略授予了访问权限的情况下也是如此。
+ **主体**：在基于身份的策略（IAM 策略）中，附加了策略的用户是隐式主体。对于基于资源的策略，您可以指定要获得权限的用户、账户、服务或其他实体（仅适用于基于资源的策略）。 Directory Service 不支持基于资源的策略。

要了解 IAM policy 语法和说明的更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。

有关显示所有 Directory Service API 操作及其适用的资源的表格，请参阅[Directory Service API 权限：操作、资源和条件参考](UsingWithDS_IAM_ResourcePermissions.md)。



## 在策略中指定条件
<a name="SpecifyingIAMPolicyConditions_DS"></a>

当您授予权限时，可使用访问策略语言来指定规定策略何时生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》**中的[条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。

要表示条件，您可以使用预定义的条件键。没有特定于 Directory Service的条件键。但是，您可以根据需要使用一些 AWS 条件键。有关 AWS 密钥的完整列表，请参阅 *IAM 用户指南*中的[可用全局条件密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#AvailableKeys)。