Amazon Athena 的操作、資料和條件索引鍵

Amazon Athena (服務字首：athena) 提供下列服務特有的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

• 了解如何設定此服務。

• 檢視可供此服務使用的 API 操作清單。

• 了解如何使用 IAM 許可政策來保護此服務及其資源。

Amazon Athena 定義的動作

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS 中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果此欄包含資源類型，則您可以在包含該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
BatchGetNamedQuery	准許取得關於一或多個具名查詢的資訊	讀取	workgroup*
BatchGetPreparedStatement	准許取得一或多個預備陳述式的相關資訊	讀取	workgroup*
BatchGetQueryExecution	准許取得關於一或多個查詢執行的資訊	讀取	workgroup*
CancelCapacityReservation	准許取消容量保留	寫入	capacity-reservation*
CancelQueryExecution	授予許可取消查詢。已廢除。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務與委託人。否則，請使用 StopQueryExecution	寫入	workgroup*
CreateCapacityReservation	准許建立容量保留	寫入	capacity-reservation*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDataCatalog	准許建立 datacatalog	寫入	datacatalog*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateNamedQuery	准許建立具名查詢	寫入	workgroup*
CreateNotebook	准許建立筆記本	寫入	workgroup*
CreatePreparedStatement	准許建立預備陳述式	寫入	workgroup*
CreatePresignedNotebookUrl	准許建立預先簽章的筆記本 URL	寫入	workgroup*
CreateWorkGroup	准許建立工作群組	寫入	workgroup*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteCapacityReservation	准許刪除容量保留	寫入	capacity-reservation*
DeleteDataCatalog	准許刪除 datacatalog	寫入	datacatalog*
DeleteNamedQuery	准許刪除指定的具名查詢	寫入	workgroup*
DeleteNotebook	准許刪除筆記本	寫入	workgroup*
DeletePreparedStatement	准許刪除指定的預備陳述式	寫入	workgroup*
DeleteWorkGroup	准許刪除工作群組	寫入	workgroup*
ExportNotebook	准許匯出筆記本	寫入	workgroup*
GetCalculationExecution	准許取得計算執行	讀取	workgroup*
GetCalculationExecutionCode	准許取得計算執行程式碼	讀取	workgroup*
GetCalculationExecutionStatus	准許取得計算執行狀態	讀取	workgroup*
GetCapacityAssignmentConfiguration	准許取得容量保留的容量指派資訊	讀取	capacity-reservation*
GetCapacityReservation	准許取得容量保留	讀取	capacity-reservation*
GetCatalogs	授予許可來存取資料庫和表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetDataCatalog	准許取得 datacatalog	讀取	datacatalog*
GetDatabase	准許取得指定 datacatalog 的資料庫	讀取	datacatalog*
GetExecutionEngine	授予許可來存取指定的資料庫和表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetExecutionEngines	授予許可來存取資料庫和表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetNamedQuery	准許取得關於指定具名查詢的資訊	讀取	workgroup*
GetNamespace	授予許可來存取指定的資料庫和表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetNamespaces	授予許可來存取資料庫和表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetNotebookMetadata	准許取得筆記本中繼資料	讀取	workgroup*
GetPreparedStatement	准許取得關於指定預備陳述式的資訊	讀取	workgroup*
GetQueryExecution	准許取得關於指定查詢執行的資訊	讀取	workgroup*
GetQueryExecutions	授予許可執行查詢 已廢除。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務與委託人。否則，使用 ListQueryExecutions。	讀取
GetQueryResults	准許取得查詢結果	讀取	workgroup*
GetQueryResultsStream	准許取得查詢結果串流	讀取	workgroup*
GetQueryRuntimeStatistics	准許取得指定查詢執行的執行時間統計資料	讀取	workgroup*
GetSession	准許取得工作階段	讀取	workgroup*
GetSessionStatus	准許取得工作階段狀態	讀取	workgroup*
GetTable	授予許可來存取指定的表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetTableMetadata	准許取得指定 datacatalog 的資料表中繼資料	讀取	datacatalog*
GetTables	授予許可來存取表格。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務受管政策。	讀取
GetWorkGroup	准許取得工作群組	讀取	workgroup*
ImportNotebook	准許匯入筆記本	寫入	workgroup*
ListApplicationDPUSizes	准許傳回 ApplicationRuntimeIds 清單	列出
ListCalculationExecutions	准許傳回計算執行清單	列出	workgroup*
ListCapacityReservations	准許傳回指定 AWS 帳戶 的容量保留清單	列出
ListDataCatalogs	准許傳回指定 AWS 帳戶 的 datacatalog 清單	列出
ListDatabases	准許傳回指定 datacatalog 的資料庫清單	列出	datacatalog*
ListEngineVersions	准許傳回指定 AWS 帳戶 的 Athena 引擎版本清單	讀取
ListExecutors	准許傳回執行器清單	列出
ListNamedQueries	准許傳回指定 AWS 帳戶 在 Amazon Athena 中的具名查詢清單	列出	workgroup*
ListNotebookMetadata	准許傳回指定工作群組的筆記本清單	列出	workgroup*
ListNotebookSessions	准許傳回指定記事本的工作階段清單	列出	workgroup*
ListPreparedStatements	准許傳回指定工作群組的預備陳述式清單	列出	workgroup*
ListQueryExecutions	准許傳回指定 AWS 帳戶 的查詢執行清單	讀取	workgroup*
ListSessions	准許傳回指定工作群組的工作階段清單	列出	workgroup*
ListTableMetadata	准許傳回指定 datacatalog 的資料庫中的資料表中繼資料清單	讀取	datacatalog*
ListTagsForResource	准許為資源傳回標籤清單	讀取	capacity-reservation*
			datacatalog*
			workgroup*
ListWorkGroups	准許傳回指定 AWS 帳戶 的工作群組清單	列出
PutCapacityAssignmentConfiguration	准許將容量從容量保留指派給查詢	寫入	capacity-reservation*
			workgroup*
RunQuery	授予許可取消查詢 已廢除。僅適用於使用 1.1.0 版本以前 Athena JDBC 驅動器的 AWS 服務與委託人。否則，使用 StartQueryExecution。	寫入
StartCalculationExecution	准許啟動計算執行	寫入	workgroup*
StartQueryExecution	准許使用作為字串提供的 SQL 查詢以開始查詢執行	寫入	workgroup*
StartSession	准許啟動工作階段	寫入	workgroup*
StopCalculationExecution	准許停止計算執行	寫入	workgroup*
StopQueryExecution	准許停止指定的查詢執行	寫入	workgroup*
TagResource	准許將標籤新增至資源	標記	capacity-reservation*
			datacatalog*
			workgroup*
				aws:RequestTag/${TagKey} aws:TagKeys
TerminateSession	准許終止工作階段	寫入	workgroup*
UntagResource	准許從資源移除標籤	標記	capacity-reservation*
			datacatalog*
			workgroup*
				aws:TagKeys
UpdateCapacityReservation	准許更新容量保留	寫入	capacity-reservation*
UpdateDataCatalog	准許更新 datacatalog	寫入	datacatalog*
UpdateNamedQuery	准許更新指定的具名查詢	寫入	workgroup*
UpdateNotebook	准許更新筆記本	寫入	workgroup*
UpdateNotebookMetadata	准許更新筆記本中繼資料	寫入	workgroup*
UpdatePreparedStatement	准許更新預備陳述式	寫入	workgroup*
UpdateWorkGroup	准許更新工作群組	寫入	workgroup*

Amazon Athena 定義的資源類型

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
datacatalog	arn:${Partition}:athena:${Region}:${Account}:datacatalog/${DataCatalogName}	aws:ResourceTag/${TagKey}
workgroup	arn:${Partition}:athena:${Region}:${Account}:workgroup/${WorkGroupName}	aws:ResourceTag/${TagKey}
capacity-reservation	arn:${Partition}:athena:${Region}:${Account}:capacity-reservation/${CapacityReservationName}	aws:ResourceTag/${TagKey}

Amazon Athena 條件索引鍵

Amazon Athena 定義了下列條件索引鍵，可用於 IAM 政策的 Condition 元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件索引鍵，請參閱可用的全域條件索引鍵。

條件索引鍵	描述	類型
aws:RequestTag/${TagKey}	依請求中的標籤鍵值對是否存在篩選存取權	字串
aws:ResourceTag/${TagKey}	依連接到資源的標籤鍵值對篩選存取權	字串
aws:TagKeys	依請求中存在的標籤索引鍵篩選存取權	ArrayOfString