Amazon VPC 格子如何與 IAM

在您使用IAM來管理VPC萊迪思的存取權限之前，請先瞭解哪些IAM功能可與VPC萊迪思搭配使用。

IAM特徵	VPC格子支持
身分型政策	是
資源型政策	是
政策動作	是
政策資源	是
政策條件索引鍵	是
ACLs	否
ABAC(策略中的標籤)	是
暫時性憑證	是
服務角色	否
服務連結角色	是

有關VPC萊迪思和其他 AWS 服務如何與大多數IAM功能一起工作的高級視圖，請參閱IAM用戶指南IAM中的適用AWS 服務。

萊迪思基於身份的政策 VPC

支援身分型政策：是

以身分識別為基礎的原則是您可以附加至身分識別 (例如使用者、使用IAM者群組或角色) 的JSON權限原則文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。若要瞭解如何建立以身分識別為基礎的策略，請參閱IAM使用指南中的建立IAM策略。

使用以IAM身分識別為基礎的策略，您可以指定允許或拒絕的動作和資源，以及允許或拒絕動作的條件。您無法在身分型政策中指定主體，因為這會套用至連接的使用者或角色。若要瞭解可在JSON策略中使用的所有元素，請參閱《使用IAM者指南》中的IAMJSON策略元素參考資料。

萊迪思內VPC基於資源的政策

支援以資源為基礎的政策：是

以資源為基礎的JSON策略是您附加至資源的政策文件。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中指定主體。

VPC萊迪思支持身份驗證策略，這是一種基於資源的策略，可讓您控制對服務網絡中服務的訪問。如需詳細資訊，請參閱使用驗證政策控制VPC萊迪思服務的存取。

VPC萊迪思還支持與 AWS Resource Access Manager集成的基於資源的權限策略。您可以使用這些以資源為基礎的策略，將使用權限授與其他 AWS 帳號或組織，以啟用資源共用。如需詳細資訊，請參閱分享您的VPC萊迪思資源。

VPC萊迪思的政策行動

支援政策動作：是

在IAM政策聲明中，您可以從支持的任何服務中指定任何API操作IAM。對於VPC格子，請使用以下前綴和API動作的名稱：vpc-lattice:。例如：vpc-lattice:CreateService、vpc-lattice:CreateTargetGroup 和 vpc-lattice:PutAuthPolicy。

若要在單一陳述式中指定多個動作，請以逗號分隔它們，如下所示：

"Action": [ "vpc-lattice:action1", "vpc-lattice:action2" ]

您也可以使用萬用字元指定多個動作。例如，您可以指定名稱以該字開頭的所有動作Get，如下所示：

"Action": "vpc-lattice:Get*"

如需VPC萊迪思API動作的完整清單，請參閱服務授權參考資料中由 Amazon VPC Landis 定義的動作。

VPC萊迪思的政策資源

支援政策資源：是

在IAM原則陳述式中，Resource元素會指定陳述式涵蓋的一或多個物件。對於VPC萊迪思，每個IAM政策聲明都適用於您使用它們指定的資源ARNs。

特定的 Amazon 資源名稱 (ARN) 格式取決於資源。當您提供時ARN，請更換 italicized 包含資源特定資訊的文字。

• 訪問日誌訂閱：

  "Resource": "arn:aws:vpc-lattice:region:account-id:accesslogsubscription/access-log-subscription-id"

• 聽眾：

  "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id"

• 規則：

  "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id/rule/rule-id"

• 服務：

  "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id"

• 服務網絡：

  "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetwork/service-network-id"

• 服務網絡服務協會：

  "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkserviceassociation/service-network-service-association-id"

• 服務網路VPC關聯：

  "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkvpcassociation/service-network-vpc-association-id"

• 目標群體：

  "Resource": "arn:aws:vpc-lattice:region:account-id:targetgroup/target-group-id"

VPC格子的政策條件索引鍵

支援服務特定政策條件金鑰：是

管理員可以使用 AWS JSON策略來指定誰可以存取什麼內容。也就是說，哪個主體在什麼條件下可以對什麼資源執行哪些動作。

Condition 元素 (或 Condition 區塊) 可讓您指定使陳述式生效的條件。Condition 元素是選用項目。您可以建立使用條件運算子的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。

若您在陳述式中指定多個 Condition 元素，或是在單一 Condition 元素中指定多個索引鍵， AWS 會使用邏輯 AND 操作評估他們。如果您為單一條件索引鍵指定多個值，請使用邏輯OR運算來 AWS 評估條件。必須符合所有條件，才會授與陳述式的許可。

您也可以在指定條件時使用預留位置變數。例如，只有在IAM使用者名稱標記資源時，您才可以授與IAM使用者存取資源的權限。如需詳細資訊，請參閱IAM使用指南中的IAM政策元素：變數和標籤。

AWS 支援全域條件金鑰和服務特定條件金鑰。若要查看所有 AWS 全域條件索引鍵，請參閱《使用指南》中的AWS 全域條件內IAM容索引鍵。

若要查看VPC萊迪思條件金鑰清單，請參閱服務授權參考資料中的 Amazon VPC Lights 的條件金鑰。

AWS 支援全域條件金鑰和服務特定條件金鑰。如需有關 AWS 全域條件索引鍵的資訊，請參閱《IAM使用指南》中的AWS 全域條件前後關聯鍵

訪問控制列表（ACLs）在VPC萊迪斯

支持ACLs：無

存取控制清單 (ACLs) 控制哪些主參與者 (帳戶成員、使用者或角色) 具有存取資源的權限。ACLs類似於以資源為基礎的策略，雖然它們不使用JSON政策文件格式。

基於屬性的訪問控制（ABAC）與萊迪斯 VPC

支援 ABAC (策略中的標籤): 是

以屬性為基礎的存取控制 (ABAC) 是一種授權策略，可根據屬性定義權限。在中 AWS，這些屬性稱為標籤。您可以將標籤附加至IAM實體 (使用者或角色) 和許多 AWS 資源。標記實體和資源是的第一步ABAC。然後，您可以設計ABAC策略，以便在主參與者的標籤符合他們嘗試存取的資源上的標籤時允許作業。

ABAC在快速成長的環境中很有幫助，並且有助於原則管理變得繁瑣的情況。

如需根據標籤控制存取，請使用 aws:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 條件索引鍵，在政策的條件元素中，提供標籤資訊。

如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 Yes。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 Partial。

如需有關的詳細資訊ABAC，請參閱什麼是ABAC？ 在《IAM使用者指南》中。若要檢視包含設定步驟的自學課程ABAC，請參閱《使用指南》中的〈使用以屬性為基礎的存取控制 (ABAC) IAM 〉。

使用VPC萊迪思臨時憑據

支援臨時憑證：是

當您使用臨時憑據登錄時，某些 AWS 服務 不起作用。如需其他資訊，包括哪些 AWS 服務 與臨時登入資料搭配使用 AWS 服務 ，請參閱《IAM使用指南》IAM中的使用方式。

如果您使用除了使用者名稱和密碼以外的任何方法登入，則您正在 AWS Management Console 使用臨時認證。例如，當您 AWS 使用公司的單一登入 (SSO) 連結存取時，該程序會自動建立臨時認證。當您以使用者身分登入主控台，然後切換角色時，也會自動建立臨時憑證。如需有關切換角色的詳細資訊，請參閱《IAM使用者指南》中的〈切換到角色 (主控台)〉。

您可以使用 AWS CLI 或手動建立臨時認證 AWS API。然後，您可以使用這些臨時登入資料來存取 AWS。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱IAM。

VPC萊迪思的服務角色

支援服務角色：否

服務角色是服務假定代表您執行動作的IAM角色。IAM管理員可以從中建立、修改和刪除服務角色IAM。如需詳細資訊，請參閱《IAM使用指南》 AWS 服務中的建立角色以將權限委派給

警告

變更服務角色的權限可能會中斷VPC萊迪思功能。僅在VPC萊迪思提供指導時才編輯服務角色。

萊迪思的VPC服務連結角色

支援服務連結角色：是

服務連結角色是一種連結至. AWS 服務服務可以擔任代表您執行動作的角色。服務連結角色會顯示在您的中， AWS 帳戶 且屬於服務所有。IAM管理員可以檢視 (但無法編輯服務連結角色) 的權限。

如需有關建立或管理VPC萊迪思服務連結角色的資訊，請參閱使用 Amazon VPC 萊迪格的服務連結角色。