本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon Redshift 的操作、资源和条件键
Amazon Redshift(服务前缀:redshift
)提供以下特定于服务的资源、操作和条件上下文密钥,用于权限策略。IAM
参考:
-
了解如何配置该服务。
-
查看此服务可用的API操作列表。
-
了解如何使用IAM权限策略保护此服务及其资源。
Amazon Redshift 定义的操作
您可以在IAM策略声明的Action
元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时,通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource
元素中指定策略应用的所有资源(“*”)。如果该列包含资源类型,则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源,则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource
元素限制资源访问权限,则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种可选资源类型。
操作表的条件键列包括可以在策略语句的 Condition
元素中指定的键。有关与服务资源关联的条件键的更多信息,请参阅资源类型表的条件键列。
注意
资源条件键在资源类型表中列出。您可以在操作表的资源类型(* 为必需)列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列,这是应用于操作表中操作的资源条件键。
有关下表中各列的详细信息,请参阅操作表。
操作 | 描述 | 访问级别 | 资源类型(* 为必需) | 条件键 | 相关操作 |
---|---|---|---|---|---|
AcceptReservedNodeExchange | 授予在不更改配置的情况下将DC2预留节点交换为预留节点的权限 DC1 | 写入 | |||
AddPartner | 授予向集群添加合作伙伴集成的权限 | 写入 | |||
AssociateDataShareConsumer | 授予权限以将使用者与数据共享相关联 | Write | |||
AuthorizeClusterSecurityGroupIngress | 授予权限以向 Amazon Redshift 安全组添加入站(传入)规则 | 写入 | |||
AuthorizeDataShare | 授予权限以授权指定的数据共享使用者使用数据共享 | 权限管理 | |||
AuthorizeEndpointAccess | 授予对 redshift 托管的 VPC 端点的相关活动进行授权的权限 | 权限管理 | |||
AuthorizeSnapshotAccess | 向指定用户授 AWS 账户 予恢复快照的权限 | 权限管理 | |||
BatchDeleteClusterSnapshots | 授予权限以批量删除快照(最多 100 个) | Write | |||
BatchModifyClusterSnapshots | 授予权限以修改快照列表设置 | Write | |||
CancelQuery [仅权限] | 授予权限以通过 Amazon Redshift 控制台取消查询 | Write | |||
CancelQuerySession [仅权限] | 授予权限以在 Amazon Redshift 控制台中查看查询 | Write | |||
CancelResize | 授予权限以取消调整大小操作 | Write | |||
CopyClusterSnapshot | 授予权限以复制集群快照 | 写入 | |||
CreateAuthenticationProfile | 授予权限以创建 Amazon Redshift 身份验证配置文件 | 写入 | |||
CreateCluster | 授予权限以创建集群 | Write | |||
CreateClusterParameterGroup | 授予权限以创建 Amazon Redshift 参数组 | Write | |||
CreateClusterSecurityGroup | 授予权限以创建 Amazon Redshift 安全组 | Write | |||
CreateClusterSnapshot | 授予权限以创建指定集群的手动快照 | Write | |||
CreateClusterSubnetGroup | 授予权限以创建 Amazon Redshift 子网组 | Write | |||
CreateClusterUser | 授予权限以自动创建指定的 Amazon Redshift 用户(如果不存在) | 权限管理 | |||
CreateCustomDomainAssociation | 授予权限以为集群创建自定义域名 | 写入 |
acm:DescribeCertificate |
||
CreateEndpointAccess | 授予创建 redshift 托管 VPC 端点的权限 | 写入 | |||
CreateEventSubscription | 授予权限以创建 Amazon Redshift 事件通知订阅 | 写入 | |||
CreateHsmClientCertificate | 授予创建HSM客户端证书的权限,集群使用该证书连接到 HSM | 写入 | |||
CreateHsmConfiguration | 授予创建HSM配置的权限,该配置包含集群在硬件安全模块中存储和使用数据库加密密钥所需的信息 (HSM) | 写入 | |||
CreateQev2IdcApplication [仅权限] | 授予创建 qev2 idc 应用程序的权限 | 写入 |
sso:CreateApplication sso:PutApplicationAccessScope sso:PutApplicationAuthenticationMethod sso:PutApplicationGrant |
||
CreateRedshiftIdcApplication | 授予创建 redshift idc 应用程序的权限 | 写入 |
sso:CreateApplication sso:PutApplicationAccessScope sso:PutApplicationAuthenticationMethod sso:PutApplicationGrant |
||
CreateSavedQuery [仅权限] | 授予通过亚马逊 Redshift 控制台创建已保存SQL查询的权限 | 写入 | |||
CreateScheduledAction | 授予权限以创建 Amazon Redshift 计划操作 | 写入 | |||
CreateSnapshotCopyGrant | 授予创建快照副本的权限,授予和加密目标中复制的快照的权限 AWS 区域 | 权限管理 | |||
CreateSnapshotSchedule | 授予权限以创建快照计划 | Write | |||
CreateTags | 授予权限以将一个或多个标签添加到指定的资源中 | Tagging | |||
CreateUsageLimit | 授予创建使用限制的权限 | 写入 | |||
DeauthorizeDataShare | 授予权限以删除指定数据共享使用者使用数据共享的权限 | 权限管理 | |||
DeleteAuthenticationProfile | 授予权限以删除 Amazon Redshift 身份验证配置文件 | 写入 | |||
DeleteCluster | 授予权限以删除以前预配置的集群 | Write | |||
DeleteClusterParameterGroup | 授予权限以删除 Amazon Redshift 参数组 | Write | |||
DeleteClusterSecurityGroup | 授予权限以删除 Amazon Redshift 安全组 | Write | |||
DeleteClusterSnapshot | 授予权限以删除手动快照 | Write | |||
DeleteClusterSubnetGroup | 授予权限以删除集群子网组 | 写入 | |||
DeleteCustomDomainAssociation | 授予权限以为集群删除自定义域名 | 写入 | |||
DeleteEndpointAccess | 授予删除 redshift 托管 VPC 端点的权限 | 写入 | |||
DeleteEventSubscription | 授予权限以删除 Amazon Redshift 事件通知订阅 | 写入 | |||
DeleteHsmClientCertificate | 授予删除HSM客户证书的权限 | 写入 | |||
DeleteHsmConfiguration | 授予删除亚马逊 Red HSM shift 配置的权限 | 写入 | |||
DeletePartner | 授予从集群中删除合作伙伴集成的权限 | 写入 | |||
DeleteQev2IdcApplication [仅权限] | 授予删除 qev2 IDC 应用程序的权限 | 写入 |
sso:DeleteApplication |
||
DeleteRedshiftIdcApplication | 授予删除 redshift idc 应用程序的权限 | 写入 |
sso:DeleteApplication |
||
DeleteResourcePolicy | 授予删除指定资源的资源策略的权限 | 权限管理 | |||
DeleteSavedQueries [仅权限] | 授予通过亚马逊 Redshift 控制台删除已保存SQL查询的权限 | 写入 | |||
DeleteScheduledAction | 授予权限以删除 Amazon Redshift 计划操作 | Write | |||
DeleteSnapshotCopyGrant | 授予权限以删除快照复制授权 | Write | |||
DeleteSnapshotSchedule | 授予权限以删除快照计划 | Write | |||
DeleteTags | 授予权限以从资源中删除一个或多个标签 | Tagging | |||
DeleteUsageLimit | 授予删除使用限制的权限 | 写入 | |||
DescribeAccountAttributes | 授予描述附加到指定属性的权限 AWS 账户 | 读取 | |||
DescribeAuthenticationProfiles | 授予权限以描述已创建的 Amazon Redshift 身份验证配置文件 | 读取 | |||
DescribeClusterDbRevisions | 授予权限以描述集群的数据库修订 | List | |||
DescribeClusterParameterGroups | 授予权限以描述 Amazon Redshift 参数组,包括您创建的参数组和默认参数组 | Read | |||
DescribeClusterParameters | 授予权限以描述 Amazon Redshift 参数组中包含的参数 | Read | |||
DescribeClusterSecurityGroups | 授予权限以描述 Amazon Redshift 安全组 | Read | |||
DescribeClusterSnapshots | 授予权限以描述一个或多个包含集群快照元数据的快照对象 | Read | |||
DescribeClusterSubnetGroups | 授予权限以描述一个或多个集群子网组对象,其中包含与集群子网组相关的元数据 | Read | |||
DescribeClusterTracks | 授予权限以描述可用维护跟踪 | List | |||
DescribeClusterVersions | 授予权限以描述可用 Amazon Redshift 集群版本 | Read | |||
DescribeClusters | 授予权限以描述预配置的集群属性 | 列出 | |||
DescribeCustomDomainAssociations | 授予权限以为集群描述自定义域名 | 列出 | |||
DescribeDataShares | 授予权限以描述集群创建和使用的数据共享 | Read | |||
DescribeDataSharesForConsumer | 授予权限以仅描述集群使用的数据共享 | Read | |||
DescribeDataSharesForProducer | 授予权限以仅描述集群创建的数据共享 | Read | |||
DescribeDefaultClusterParameters | 授予权限以描述参数组系列的参数设置 | 读取 | |||
DescribeEndpointAccess | 授予描述 redshift 托管 VPC 端点的权限 | 读取 | |||
DescribeEndpointAuthorization | 授予对 redshift 托管 VPC 端点的描述活动进行授权的权限 | 列出 | |||
DescribeEventCategories | 授予权限以描述所有事件源类型或指定源类型的事件类别 | 读取 | |||
DescribeEventSubscriptions | 授予描述指定的 Amazon Redshift 事件通知订阅的权限 AWS 账户 | 读取 | |||
DescribeEvents | 授予权限以描述过去 14 天内与集群、安全组、快照和参数组相关的事件 | 列出 | |||
DescribeHsmClientCertificates | 授予描述HSM客户证书的权限 | 读取 | |||
DescribeHsmConfigurations | 授予描述亚马逊 Redshift 配置HSM的权限 | 读取 | |||
DescribeInboundIntegrations | 授予列出入站集成的权限 | 列出 | |||
DescribeLoggingStatus | 授予权限以描述是否为集群记录信息(例如查询和连接尝试) | Read | |||
DescribeNodeConfigurationOptions | 授予权限以描述可能节点配置的属性,例如节点类型、节点数以及指定操作类型的磁盘使用情况。 | List | |||
DescribeOrderableClusterOptions | 授予权限以描述可排序集群选项 | 读取 | |||
DescribePartners | 授予检索为集群定义的合作伙伴集成相关信息的权限 | 读取 | |||
DescribeQev2IdcApplications [仅权限] | 授予描述 qev2 idc 应用程序的权限 | 列出 | |||
DescribeQuery [仅权限] | 授予权限以通过 Amazon Redshift 控制台描述查询 | 读取 | |||
DescribeRedshiftIdcApplications | 授予描述 redshift idc 应用程序的权限 | 列出 |
sso:GetApplicationGrant sso:ListApplicationAccessScopes |
||
DescribeReservedNodeExchangeStatus | 授予权限以描述预留节点交换的交换状态详细信息和关联元数据。状态包括正在进行和请求中的值 | 读取 | |||
DescribeReservedNodeOfferings | 授予权限以描述 Amazon Redshift 提供的可用预留节点产品 | Read | |||
DescribeReservedNodes | 授予权限以描述预留节点 | Read | |||
DescribeResize | 授予权限以描述集群的上次调整大小操作 | Read | |||
DescribeSavedQueries [仅权限] | 授予权限以通过 Amazon Redshift 控制台描述已保存查询 | Read | |||
DescribeScheduledActions | 授予权限以描述已创建的 Amazon Redshift 计划操作 | 读取 | |||
DescribeSnapshotCopyGrants | 授予描述快照副本的权限授予目标 AWS 账户 中指定用户拥有的权限 AWS 区域 | 读取 | |||
DescribeSnapshotSchedules | 授予权限以描述快照计划 | Read | |||
DescribeStorage | 授予权限以描述账户级备份存储大小和临时存储 | Read | |||
DescribeTable [仅权限] | 授予权限以通过 Amazon Redshift 控制台描述表 | 读取 | |||
DescribeTableRestoreStatus | 授予描述使用 RestoreTableFromClusterSnapshot API操作提出的一个或多个表还原请求状态的权限 | 读取 | |||
DescribeTags | 授予权限以描述标签 | Read | |||
DescribeUsageLimits | 授予描述使用限制的权限 | Read | |||
DisableLogging | 授予权限以禁用集群的日志记录信息(例如查询和连接尝试) | Write | |||
DisableSnapshotCopy | 授予权限以禁用集群的快照自动复制 | Write | |||
DisassociateDataShareConsumer | 授予权限以取消使用者与数据共享的关联 | Write | |||
EnableLogging | 授予权限以启用集群的日志记录信息(例如查询和连接尝试) | Write | |||
EnableSnapshotCopy | 授予权限以启用集群的快照自动复制 | Write | |||
ExecuteQuery [仅权限] | 授予权限以通过 Amazon Redshift 控制台执行查询 | 写入 | |||
FailoverPrimaryCompute | 授予从多可用区集群的主计算资源失效转移到另一个可用区的权限 | 写入 | |||
FetchResults [仅权限] | 授予权限以通过 Amazon Redshift 控制台提取查询结果 | 读取 | |||
GetClusterCredentials | 授予通过指定用户获取访问亚马逊 Redshift 数据库的临时凭证的权限 AWS 账户 | 写入 | |||
GetClusterCredentialsWithIAM | 授予获取增强型临时凭证的权限,以便通过指定用户访问亚马逊 Redshift 数据库 AWS 账户 | 写入 | |||
GetReservedNodeExchangeConfigurationOptions | 授予权限以获取预留节点交换的配置选项 | 读取 | |||
GetReservedNodeExchangeOfferings | 授予获取与给定DC1预留节点DC2 ReservedNodeOfferings 的付款类型、期限和使用价格相匹配的数组的权限 | 读取 | |||
GetResourcePolicy | 授予获取指定资源的资源策略的权限 | 读取 | |||
JoinGroup | 授予权限以加入指定的 Amazon Redshift 组 | Permissions management | |||
ListDatabases [仅权限] | 授予权限以通过 Amazon Redshift 控制台列出数据库 | 列出 | |||
ListRecommendations | 授予列出顾问推荐的权限 | 列出 | |||
ListSavedQueries [仅权限] | 授予权限以通过 Amazon Redshift 控制台列出保存的查询 | List | |||
ListSchemas [仅权限] | 授予权限以通过 Amazon Redshift 控制台列出架构 | List | |||
ListTables [仅权限] | 授予权限以通过 Amazon Redshift 控制台列出表 | 列出 | |||
ModifyAquaConfiguration | 授予修改集群AQUA配置的权限 | 写入 | |||
ModifyAuthenticationProfile | 授予权限以修改 Amazon Redshift 身份验证配置文件 | 写入 | |||
ModifyCluster | 授予权限以修改集群的设置 | Write |
acm:DescribeCertificate |
||
ModifyClusterDbRevision | 授予权限以修改集群的数据库修订 | 写入 | |||
ModifyClusterIamRoles | 授予修改集群可用来访问其他 AWS 服务的 AWS 身份和访问管理 (IAM) 角色列表的权限 | 权限管理 | |||
ModifyClusterMaintenance | 授予权限以修改集群的维护设置 | Write | |||
ModifyClusterParameterGroup | 授予权限以修改参数组的参数 | Write | |||
ModifyClusterSnapshot | 授予权限以修改快照的设置 | Write | |||
ModifyClusterSnapshotSchedule | 授予权限以修改集群的快照计划 | 写入 | |||
ModifyClusterSubnetGroup | 授予修改集群子网组以包含指定子网列表的VPC权限 | 写入 | |||
ModifyCustomDomainAssociation | 授予权限以为集群修改自定义域名 | 写入 |
acm:DescribeCertificate |
||
ModifyEndpointAccess | 授予修改 redshift 托管 VPC 端点的权限 | 写入 | |||
ModifyEventSubscription | 授予权限以修改现有 Amazon Redshift 事件通知订阅 | Write | |||
ModifyQev2IdcApplication [仅权限] | 授予修改 qev2 idc 应用程序的权限 | 写入 |
sso:UpdateApplication |
||
ModifyRedshiftIdcApplication | 授予修改 redshift idc 应用程序的权限 | 写入 |
sso:DeleteApplicationAccessScope sso:DeleteApplicationGrant sso:GetApplicationGrant sso:ListApplicationAccessScopes sso:PutApplicationAccessScope sso:PutApplicationGrant sso:UpdateApplication |
||
ModifySavedQuery [仅权限] | 授予权限以通过 Amazon Redshift 控制台修改现有保存的查询 | Write | |||
ModifyScheduledAction | 授予权限以修改现有 Amazon Redshift 计划操作 | 写入 | |||
ModifySnapshotCopyRetentionPeriod | 授予修改从源复制快照 AWS 区域 后在目标中保留的天数的权限 AWS 区域 | 写入 | |||
ModifySnapshotSchedule | 授予权限以修改快照计划 | Write | |||
ModifyUsageLimit | 授予修改使用限制的权限 | Write | |||
PauseCluster | 授予暂停集群的权限 | Write | |||
PurchaseReservedNodeOffering | 授予权限以购买预留节点 | 写入 | |||
PutResourcePolicy | 授予更新指定资源的资源策略的权限 | 权限管理 | |||
RebootCluster | 授予权限以重新引导集群 | Write | |||
RejectDataShare | 授予权限以拒绝另一个账户共享的数据共享 | Permissions management | |||
ResetClusterParameterGroup | 授予权限以将某个参数组的一个或多个参数设为其默认值,并将参数的源值设为“engine-default” | Write | |||
ResizeCluster | 授予权限以更改集群大小 | Write | |||
RestoreFromClusterSnapshot | 授予权限以从快照创建集群 | Write | |||
RestoreTableFromClusterSnapshot | 授予权限以从 Amazon Redshift 集群快照中的表创建表 | Write | |||
ResumeCluster | 授予权限以恢复集群 | 写入 | |||
RevokeClusterSecurityGroupIngress | 授予撤销 Amazon Redshift 安全组中针对先前授权的 IP 范围或亚马逊安全组的入口规则的权限 EC2 | 写入 | |||
RevokeEndpointAccess | 授予对 redshift 托管 VPC 端点中的端点相关活动撤销访问的权限 | 权限管理 | |||
RevokeSnapshotAccess | 授予撤消指定访问权限 AWS 账户 以恢复快照的权限 | 权限管理 | |||
RotateEncryptionKey | 授予权限以轮换集群的加密密钥 | 写入 | |||
UpdatePartnerStatus | 授予更新合作伙伴集成状态的权限 | 写入 | |||
ViewQueriesFromConsole [仅权限] | 授予权限以通过 Amazon Redshift 控制台查看查询结果 | List | |||
ViewQueriesInConsole [仅权限] | 授予权限以通过 Amazon Redshift 控制台终止正在运行的查询和负载 | List |
Amazon Redshift 定义的资源类型
以下资源类型由此服务定义,可以在IAM权限策略语句的Resource
元素中使用。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息,请参阅资源类型表。
资源类型 | ARN | 条件键 |
---|---|---|
cluster |
arn:${Partition}:redshift:${Region}:${Account}:cluster:${ClusterName}
|
|
datashare |
arn:${Partition}:redshift:${Region}:${Account}:datashare:${ProducerClusterNamespace}/${DataShareName}
|
|
dbgroup |
arn:${Partition}:redshift:${Region}:${Account}:dbgroup:${ClusterName}/${DbGroup}
|
|
dbname |
arn:${Partition}:redshift:${Region}:${Account}:dbname:${ClusterName}/${DbName}
|
|
dbuser |
arn:${Partition}:redshift:${Region}:${Account}:dbuser:${ClusterName}/${DbUser}
|
|
eventsubscription |
arn:${Partition}:redshift:${Region}:${Account}:eventsubscription:${EventSubscriptionName}
|
|
hsmclientcertificate |
arn:${Partition}:redshift:${Region}:${Account}:hsmclientcertificate:${HSMClientCertificateId}
|
|
hsmconfiguration |
arn:${Partition}:redshift:${Region}:${Account}:hsmconfiguration:${HSMConfigurationId}
|
|
namespace |
arn:${Partition}:redshift:${Region}:${Account}:namespace:${ClusterNamespace}
|
|
parametergroup |
arn:${Partition}:redshift:${Region}:${Account}:parametergroup:${ParameterGroupName}
|
|
securitygroup |
arn:${Partition}:redshift:${Region}:${Account}:securitygroup:${SecurityGroupName}/ec2securitygroup/${Owner}/${Ec2SecurityGroupId}
|
|
securitygroupingress-cidr |
arn:${Partition}:redshift:${Region}:${Account}:securitygroupingress:${SecurityGroupName}/cidrip/${IpRange}
|
|
securitygroupingress-ec2securitygroup |
arn:${Partition}:redshift:${Region}:${Account}:securitygroupingress:${SecurityGroupName}/ec2securitygroup/${Owner}/${Ece2SecuritygroupId}
|
|
snapshot |
arn:${Partition}:redshift:${Region}:${Account}:snapshot:${ClusterName}/${SnapshotName}
|
|
snapshotcopygrant |
arn:${Partition}:redshift:${Region}:${Account}:snapshotcopygrant:${SnapshotCopyGrantName}
|
|
snapshotschedule |
arn:${Partition}:redshift:${Region}:${Account}:snapshotschedule:${ScheduleIdentifier}
|
|
subnetgroup |
arn:${Partition}:redshift:${Region}:${Account}:subnetgroup:${SubnetGroupName}
|
|
usagelimit |
arn:${Partition}:redshift:${Region}:${Account}:usagelimit:${UsageLimitId}
|
|
redshiftidcapplication |
arn:${Partition}:redshift:${Region}:${Account}:redshiftidcapplication:${RedshiftIdcApplicationId}
|
|
qev2idcapplication |
arn:${Partition}:redshift:${Region}:${Account}:qev2idcapplication:${Qev2IdcApplicationId}
|
Amazon Redshift 的条件键
Amazon Redshift 定义了以下可在策略Condition
元素中使用的条件键。IAM您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅条件键表。
要查看适用于所有服务的全局条件键,请参阅可用的全局条件键。
条件键 | 描述 | 类型 |
---|---|---|
aws:RequestTag/${TagKey} | 根据每个标签的允许值集按操作筛选访问权限 | String |
aws:ResourceTag/${TagKey} | 根据与资源关联的标签值,按操作筛选访问权限 | String |
aws:TagKeys | 根据在请求中是否具有必需标签按操作筛选访问权限 | ArrayOfString |
redshift:AllowWrites | 按 allowWrites 输入参数筛选访问权限 | 布尔型 |
redshift:ConsumerArn | 按数据共享使用者 ARN 筛选访问权限 | ARN |
redshift:ConsumerIdentifier | 按数据共享使用者筛选访问 | 字符串 |
redshift:DbName | 按数据库名称筛选访问权限 | 字符串 |
redshift:DbUser | 按数据库用户名筛选访问权限 | 字符串 |
redshift:DurationSeconds | 根据距临时凭证集到期剩余的秒数筛选访问权限。 | String |
redshift:InboundIntegrationArn | 按入站零ETL集成资源的访问权限筛选访问权限 ARN | String |