Amazon 的操作、资源和条件密钥 FinSpace

Amazon FinSpace （服务前缀:finspace）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

• 了解如何配置该服务。

• 查看适用于该服务的 API 操作列表。

• 了解如何使用 IAM 权限策略保护该服务及其资源。

Amazon 定义的操作 FinSpace

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
ConnectKxCluster [仅权限]	授予权限以连接到 kdb 集群	写入	kxCluster*
CreateEnvironment	授予创建 FinSpace 环境的权限	写入	environment*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxChangeset	授予权限以创建 kdb 数据库变更集	写入	kxDatabase*
CreateKxCluster	授予权限以在托管 kdb 环境中创建集群	写入	kxCluster*		ec2:DescribeSubnets finspace:MountKxDatabase
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxDatabase	授予权限以在托管 kdb 环境中创建 kdb 数据库	写入	kxDatabase*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxDataview	授予在托管 kdb 环境中创建数据视图的权限	写入	kxDataview*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxEnvironment	授予权限以创建托管 kdb 环境	写入		aws:TagKeys aws:RequestTag/${TagKey}
CreateKxScalingGroup	授予在托管 kdb 环境中创建扩缩组的权限	写入	kxScalingGroup*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxUser	授予权限以创建托管 kdb 环境中的用户	写入	kxEnvironment*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateKxVolume	授予在托管 kdb 环境中创建卷的权限	写入	kxVolume*
				aws:TagKeys aws:RequestTag/${TagKey}
CreateUser	授予创建 FinSpace 用户的权限	写入	environment*
			user*
				aws:TagKeys aws:RequestTag/${TagKey}
DeleteEnvironment	授予删除 FinSpace 环境的权限	写入	environment*
DeleteKxCluster	授予权限以删除 kdb 集群	写入	kxCluster*
DeleteKxClusterNode	授予从 kdb 集群中删除节点的权限	写入	kxCluster*
DeleteKxDatabase	授予权限以删除 kdb 数据库	写入	kxDatabase*
DeleteKxDataview	授予在托管 kdb 环境中删除数据视图的权限	写入	kxDataview*
DeleteKxEnvironment	授予权限以删除托管 kdb 环境	写入	kxEnvironment*
DeleteKxScalingGroup	授予在托管 kdb 环境中删除扩缩组的权限	写入	kxScalingGroup*
DeleteKxUser	授予权限以删除 kdb 用户	写入	kxUser*
DeleteKxVolume	授予在托管 kdb 环境中删除卷的权限	写入	kxVolume*
GetEnvironment	授予描述 FinSpace 环境的权限	读取	environment*
GetKxChangeset	授予权限以描述 kdb 数据库变更集	读取	kxDatabase*
GetKxCluster	授予权限以描述托管 kdb 环境中的集群	读取	kxCluster*
GetKxConnectionString	授予权限以检索 kdb 集群的连接字符串	读取	kxCluster*		finspace:ConnectKxCluster
GetKxDatabase	授予权限以描述 kdb 数据库	读取	kxDatabase*
GetKxDataview	授予描述托管 kdb 环境中的数据视图的权限	读取	kxDataview*
GetKxEnvironment	授予权限以描述托管 kdb 环境	读取	kxEnvironment*
GetKxScalingGroup	授予描述托管 kdb 环境中的扩缩组的权限	读取	kxScalingGroup*
GetKxUser	授予权限以描述 kdb 用户	读取	kxUser*
GetKxVolume	授予描述托管 kdb 环境中的卷的权限	读取	kxVolume*
GetLoadSampleDataSetGroupIntoEnvironmentStatus	授予权限以请求示例数据包的加载状态	读取	environment*
GetUser	授予描述 FinSpace 用户的权限	读取	environment*
			user*
ListEnvironments	授予列出 FinSpace 环境的权限 AWS 账户	列出	environment*
ListKxChangesets	授予权限以列出 kdb 数据库的变更集	列出	kxDatabase*
ListKxClusterNodes	授予权限以列出托管 kdb 环境中的集群节点	列出	kxCluster*
ListKxClusters	授予权限以列出托管 kdb 环境中的集群	列出	kxEnvironment*
ListKxDatabases	授予权限以列出托管 kdb 环境中的 kdb 数据库	列出	kxEnvironment*
ListKxDataviews	授予列出数据库中的数据视图的权限	列出	kxDatabase*
ListKxEnvironments	授予权限以列出托管 kdb 环境	列出
ListKxScalingGroups	授予列出托管 kdb 环境中的扩缩组的权限	列出	kxEnvironment*
ListKxUsers	授予权限以列出托管 kdb 环境中的用户	列出	kxEnvironment*
ListKxVolumes	授予列出托管 kdb 环境中的卷的权限	列出	kxEnvironment*
ListTagsForResource	授予返回资源标签列表的权限	列出	environment*
			kxCluster*
			kxDatabase*
			kxDataview*
			kxEnvironment*
			kxScalingGroup*
			kxUser*
			kxVolume*
ListUsers	授予在环境中列出 FinSpace 用户的权限	列出	environment*
			user*
LoadSampleDataSetGroupIntoEnvironment	授予将示例数据包加载到您的 FinSpace 环境的权限	写入	environment*
MountKxDatabase [仅权限]	授予权限以将数据库挂载到 kdb 集群	写入	kxDatabase*
ResetUserPassword	授予重置 FinSpace 用户密码的权限	写入	environment*
			user*
TagResource	授予权限以标记资源	Tagging	environment
			kxCluster
			kxDatabase
			kxDataview
			kxEnvironment
			kxScalingGroup
			kxUser
			kxVolume
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	授予权限以取消标记资源	标记	environment
			kxCluster
			kxDatabase
			kxDataview
			kxEnvironment
			kxScalingGroup
			kxUser
			kxVolume
				aws:TagKeys
UpdateEnvironment	授予更新 FinSpace 环境的权限	写入	environment*
UpdateKxClusterCodeConfiguration	授予在托管 kdb 环境中更新集群的代码配置的权限	写入	kxCluster*
UpdateKxClusterDatabases	授予权限以在托管 kdb 环境中更新集群的数据库	写入	kxCluster*
UpdateKxDatabase	授予权限以更新 kdb 数据库	写入	kxDatabase*
UpdateKxDataview	授予更新托管 kdb 环境中的数据视图的权限	写入	kxDataview*
UpdateKxEnvironment	授予权限以更新托管 kdb 环境	写入	kxEnvironment*
UpdateKxEnvironmentNetwork	授予权限以更新托管 kdb 环境的网络	写入	kxEnvironment*
UpdateKxUser	授予权限以更新 kdb 用户	写入	kxUser*
UpdateKxVolume	授予更新托管 kdb 环境中的卷的权限	写入	kxVolume*
UpdateUser	授予更新 FinSpace 用户的权限	写入	environment*
			user*

Amazon 定义的资源类型 FinSpace

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
environment	arn:${Partition}:finspace:${Region}:${Account}:environment/${EnvironmentId}	aws:ResourceTag/${TagKey}
user	arn:${Partition}:finspace:${Region}:${Account}:user/${UserId}	aws:ResourceTag/${TagKey}
kxEnvironment	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}	aws:ResourceTag/${TagKey}
kxUser	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxUser/${UserName}	aws:ResourceTag/${TagKey}
kxCluster	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxCluster/${KxCluster}	aws:ResourceTag/${TagKey}
kxDatabase	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxDatabase/${KxDatabase}	aws:ResourceTag/${TagKey}
kxScalingGroup	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxScalingGroup/${KxScalingGroup}	aws:ResourceTag/${TagKey}
kxDataview	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxDatabase/${KxDatabase}/kxDataview/${KxDataview}	aws:ResourceTag/${TagKey}
kxVolume	arn:${Partition}:finspace:${Region}:${Account}:kxEnvironment/${EnvironmentId}/kxVolume/${KxVolume}	aws:ResourceTag/${TagKey}

Amazon 的条件密钥 FinSpace

Amazon FinSpace 定义了以下条件键，这些条件键可用于 IAM 策略的Condition元素。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中是否具有标签键值对来筛选访问权限	String
aws:ResourceTag/${TagKey}	按附加到资源的标签键值对筛选访问权限	String
aws:TagKeys	根据在请求中是否具有标签键来筛选访问	ArrayOfString