Amazon DocumentDB API 权限：操作、资源和条件参考

在您设置 将基于身份的策略（IAM 策略）用于 Amazon DocumentDB 并编写您可以附加到 IAM 身份的权限策略（基于身份的策略）时，可以使用以下章节作为参考。

下文列出了每个 Amazon DocumentDB API 操作。列表中包括相应的操作，您可以为这些操作授予执行该操作的权限， AWS 您可以授予权限的资源，以及可以包含的条件密钥以实现精细的访问控制。您需要在策略的 Action 字段中指定操作、在策略的 Resource 字段中指定资源值、在策略的 Condition 字段中指定条件。有关条件的更多信息，请参阅“在策略中指定条件”。

你可以使用 AWS Amazon DocumentDB 策略中的全局条件密钥用于表达条件。如需查看完整清单 AWS-wide 密钥，请参阅 可用密钥 在 IAM 用户指南。

您可以使用 IAM policy simulator 测试 IAM 策略 它会自动提供每个资源和所需的参数列表 AWS 操作，包括亚马逊 DocumentDB 操作。IAM policy simulator 确定您指定的每个操作所要求的权限。有关 IAM policy simulator 的信息，请参阅 IAM 用户指南中的用 IAM 策略模拟器测试 IAM 策略。

注意

要指定操作，请在 API 操作名称之前使用 rds: 前缀（例如，rds:CreateDBInstance）。

下面列出了 Amazon RDS API 操作及其相关操作、资源和条件密钥。

支持资源级权限的 Amazon DocumentDB 操作

Resource-level 权限允许用户指定允许用户对哪些资源执行操作。Amazon DocumentDB 部分支持资源级权限。这意味着对于某些 Amazon DocumentDB 操作，您可以基于须满足的条件或允许用户使用的具体资源，控制何时允许用户使用这些操作。例如，您可以向用户授予仅修改特定实例的权限。

下面列出了 Amazon DocumentDB API 操作及其相关操作、资源和条件密钥。

注意

对于某些管理功能，Amazon DocumentDB 使用与 Amazon RDS 共享的操作技术。有关 Amazon DocumentDB 操作和权限的更多信息，请参阅《服务授权参考》中的 Amazon RDS 的操作、资源和条件键。

Amazon DocumentDB API 运作和操作	资源	条件键
AddTagsToResource rds:AddTagsToResource	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ApplyPendingMaintenanceAction rds:ApplyPendingMaintenanceAction	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
CopyDBClusterSnapshot rds:CopyDBClusterSnapshot	集群快照 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBCluster rds:CreateDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
CreateDBClusterParameterGroup rds:CreateDBClusterParameterGroup	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
CreateDBClusterSnapshot rds:CreateDBClusterSnapshot	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	集群快照 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBInstance rds:CreateDBInstance	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
CreateDBSubnetGroup rds:CreateDBSubnetGroup	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DeleteDBInstance rds:DeleteDBInstance	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
DeleteDBSubnetGroup rds:DeleteDBSubnetGroup	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribeDBClusterParameterGroups rds:DescribeDBClusterParameterGroups	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusterParameters rds:DescribeDBClusterParameters	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusters rds:DescribeDBClusters	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
DescribeDBClusterSnapshotAttributes rds:DescribeDBClusterSnapshotAttributes	集群快照 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
DescribeDBSubnetGroups rds:DescribeDBSubnetGroups	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribePendingMaintenanceActions rds:DescribePendingMaintenanceActions	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
FailoverDBCluster rds:FailoverDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
ListTagsForResource rds:ListTagsForResource	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ModifyDBCluster rds:ModifyDBCluster	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
ModifyDBClusterParameterGroup rds:ModifyDBClusterParameterGroup	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
ModifyDBClusterSnapshotAttribute rds:ModifyDBClusterSnapshotAttribute	集群快照 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
ModifyDBInstance rds:ModifyDBInstance	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
RebootDBInstance rds:RebootDBInstance	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
RemoveTagsFromResource rds:RemoveTagsFromResource	实例 arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ResetDBClusterParameterGroup rds:ResetDBClusterParameterGroup	集群参数组 arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
RestoreDBClusterFromSnapshot rds:RestoreDBClusterFromSnapshot	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	集群快照 arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
RestoreDBClusterToPointInTime rds:RestoreDBClusterToPointInTime	Cluster arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	子网组 arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag

不支持资源级权限的 Amazon DocumentDB 操作

您可以使用一个 IAM policy 略中的所有 Amazon DocumentDB 操作授予或拒绝用户使用该操作的权限。但是，并非所有 Amazon DocumentDB 操作都支持资源级权限，这使您能够指定可对其执行操作的资源。以下 Amazon DocumentDB API 操作当前不支持资源级权限。因此，要在IAM policy略中使用这些操作，您必须通过对您声明中的 Resource 元素使用 * 通配符，授予用户对该操作使用所有资源的权限。

• rds:DescribeDBClusterSnapshots

• rds:DescribeDBInstances