瞭解原則摘要中的存取層級

AWS 存取層級摘要

政策摘要包括說明針對政策中所提及的每項服務定義的動作許可的存取層級摘要。若要進一步了解政策摘要，請參閱了解政策授予的許可。從存取層級摘要可知政策中是否已為每個存取層級中的動作 (List、Read、Tagging、Write 和 Permissions management) 定義 Full 或 Limited 許可。若要檢視指派給服務中每個動作的存取層級分類，請參閱服務的動作、資源和條件索 AWS 引鍵。

以下範例說明針對特定服務政策所提供的存取權。如需完整的 JSON 政策文件及其相關摘要的範例，請參閱政策摘要的範例。

服務	存取層級	此政策提供下列
IAM	完整存取	存取 IAM 服務內的所有動作
CloudWatch	完整：清單	存取存List取層級中的所有 CloudWatch 動作，但無法存取ReadWrite、或Permissions management存取層級分類的動作。
Data Pipeline	有限：清單、讀取	存取List和存取層級中至少一個但不是所有 AWS Data Pipeline 動作，但無法Read存取Write或Permissions management動作。
EC2	完整：清單、讀取有限：寫入	存取所有 Amazon EC2 List 和 Read 動作，以及存取至少一個但並非所有 Amazon EC2 Write 動作，但是無法存取具 Permissions management 存取層級分類的動作。
S3	有限：讀取、寫入、許可管理	存取至少一個但並非所有 Amazon S3 Read、Write 和 Permissions management 動作。
CodeDeploy	(空白)	未知存取，因為 IAM 無法辨識此服務。
API Gateway	無	政策中未定義任何存取權。
CodeBuild	未定義任何動作。	無法存取，因為未針對服務定義任何動作。若要了解如何了解和故障排除此問題，請參閱我的政策未授與預期的許可。

如前述，完整存取表示政策提供服務內所有動作的存取權。政策提供存取服務內部分但非所有動作，並會進一步根據存取層級分類分組。這是根據下列存取層級的群組指出：

• Full (完整)：政策提供對指定的存取層級分類中的所有動作的存取權。

• Limited (有限)：政策提供指定存取層級分類內的一或多個但非全部動作的存取權。

• None (無)：政策不提供存取權。

• (空)：IAM 無法辨識此服務。如果服務名稱包含錯別字，則政策不提供服務的存取權。如果服務名稱正確，則該服務可能不支援政策摘要，或者可能處於預覽狀態。在這種情況下，政策可能會提供存取權，但無法顯示在政策摘要內。若請求全面供應 (GA) 服務的政策摘要支援，請參閱 服務不支援 IAM 政策摘要。

包含有限 (部分) 動作存取權限的存取層級摘要，會使用 AWS 存取層級分類List、ReadTaggingWrite、或Permissions management進行分組。

AWS 存取層級

AWS 為服務中的動作定義下列存取層級分類：

• List (清單)：列出服務內資源的許可，以判斷物件是否存在。具有此層級存取權的動作，可以列出物件，但無法查看資源的內容。例如，Amazon S3 動作 ListBucket 具有 List (清單) 存取層級。

• Read (讀取)：可讀取但無法編輯服務內資源的內容和屬性的許可。例如，Amazon S3 動作 GetObject 和 GetBucketLocation 具有 Read (讀取) 存取層級。

• Tagging (標記)：執行僅變更資源標籤狀態之動作的許可。例如，IAM 動作 TagRole 及 UntagRole 具有 Tagging (標記) 存取層級，因為它們只允許標記或取消標記角色。不過，當您建立該角色時，CreateRole 動作允許標記角色資源。由於動作不會僅新增標籤，所以它具有 Write 存取層級。

• Write (寫入)：可建立、刪除或修改服務內資源的許可。例如，Amazon S3 動作 CreateBucket、DeleteBucket 及 PutObject 具有 Write (寫入) 存取層級。Write 動作可能也允許修改資源標籤。不過，動作僅允許變更具有 Tagging 存取層級的標籤。

• Permissions management (許可管理)：可授予或修改服務內資源許可的許可。例如，大多數 IAM 和 AWS Organizations 動作，以及 Amazon S3 動作之類的動作，PutBucketPolicy並DeleteBucketPolicy具有許可管理存取層級。

  秘訣

  若要改善您的安全性 AWS 帳戶，請限制或定期監控包含權限管理存取層級分類的原則。

若要檢視服務中所有動作的存取層級分類，請參閱服務的動作、資源和條件索 AWS 引鍵。