Für ähnliche Funktionen wie Amazon Timestream für sollten Sie Amazon Timestream for LiveAnalytics InfluxDB in Betracht ziehen. Es bietet eine vereinfachte Datenaufnahme und Antwortzeiten im einstelligen Millisekundenbereich für Analysen in Echtzeit. [Erfahren](https://docs.aws.amazon.com//timestream/latest/developerguide/timestream-for-influxdb.html) Sie hier mehr.
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Amazon Timestream für Beispiele für LiveAnalytics identitätsbasierte Richtlinien
Standardmäßig sind IAM-Benutzer und -Rollen nicht berechtigt, Timestream für Ressourcen zu erstellen oder zu ändern. LiveAnalytics Sie können auch keine Aufgaben mithilfe von CQLSH oder API ausführen. AWS-Managementkonsole AWS CLI AWS Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von Richtlinien auf der JSON-Registerkarte](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) im *IAM-Benutzerhandbuch*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Timestream für die Konsole verwenden LiveAnalytics](#security_iam_id-based-policy-examples-console)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Allgemeine Operationen in Timestream für LiveAnalytics](#security_iam_id-based-policy-examples-common-operations)
+ [Timestream für den LiveAnalytics Ressourcenzugriff auf der Grundlage von Tags](#security_iam_id-based-policy-examples-tags)
+ [Geplante Abfragen](#security_iam_id-based-policy-examples-sheduledqueries)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand Timestream für LiveAnalytics Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Timestream für die Konsole verwenden LiveAnalytics
Timestream for benötigt LiveAnalytics keine speziellen Berechtigungen für den Zugriff auf die Amazon Timestream for LiveAnalytics Console. Sie benötigen mindestens Leseberechtigungen, um den Timestream für LiveAnalytics Ressourcen in Ihrem Konto aufzulisten und einzusehen. AWS Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (IAM-Benutzer oder -Rollen) mit dieser Richtlinie.
## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der OR-API. AWS CLI AWS
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Allgemeine Operationen in Timestream für LiveAnalytics
Im Folgenden finden Sie Beispiele für IAM-Richtlinien, die allgemeine Operationen im Timestream for Service ermöglichen. LiveAnalytics
**Topics**
+ [Zulassen aller Operationen](#security_iam_id-based-policy-examples-common-operations.all)
+ [SELECT-Operationen zulassen](#security_iam_id-based-policy-examples-common-operations.select)
+ [SELECT-Operationen auf mehreren Ressourcen zulassen](#security_iam_id-based-policy-examples-common-operations.select-multiple-resources)
+ [Metadaten-Operationen zulassen](#security_iam_id-based-policy-examples-common-operations.metadata)
+ [INSERT-Operationen zulassen](#security_iam_id-based-policy-examples-common-operations.insert)
+ [CRUD-Operationen zulassen](#security_iam_id-based-policy-examples-common-operations.crud)
+ [Stornieren Sie Abfragen und wählen Sie Daten aus, ohne Ressourcen anzugeben](#security_iam_id-based-policy-examples-common-operations.cancel-selectvalues)
+ [Eine Datenbank erstellen, beschreiben, löschen und beschreiben](#security_iam_id-based-policy-examples-common-operations.cddd)
+ [Beschränken Sie die aufgelisteten Datenbanken nach Tag `{"Owner": "${username}"}`](#security_iam_id-based-policy-examples-common-operations.list-by-tag)
+ [Alle Tabellen in einer Datenbank auflisten](#security_iam_id-based-policy-examples-common-operations.list-all-tables)
+ [Eine Tabelle erstellen, beschreiben, löschen, aktualisieren und auswählen](#security_iam_id-based-policy-examples-common-operations.cddus-table)
+ [Beschränken Sie eine Abfrage nach einer Tabelle](#security_iam_id-based-policy-examples-common-operations.limit-query-table)
### Zulassen aller Operationen
Im Folgenden finden Sie eine Beispielrichtlinie, die alle Operationen in Timestream für LiveAnalytics zulässt.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:*"
],
"Resource": "*"
}
]
}
```
------
### SELECT-Operationen zulassen
Die folgende Beispielrichtlinie erlaubt Abfragen `SELECT` im -stil für eine bestimmte Ressource.
**Anmerkung**
``Ersetzen Sie es durch Ihre Amazon-Konto-ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:Select",
"timestream:DescribeTable",
"timestream:ListMeasures"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps"
},
{
"Effect": "Allow",
"Action": [
"timestream:DescribeEndpoints",
"timestream:SelectValues",
"timestream:CancelQuery"
],
"Resource": "*"
}
]
}
```
------
### SELECT-Operationen auf mehreren Ressourcen zulassen
Die folgende Beispielrichtlinie ermöglicht Abfragen `SELECT` im -stil für mehrere Ressourcen.
**Anmerkung**
``Ersetzen Sie es durch Ihre Amazon-Konto-ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:Select",
"timestream:DescribeTable",
"timestream:ListMeasures"
],
"Resource": [
"arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps",
"arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps1",
"arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps2"
]
},
{
"Effect": "Allow",
"Action": [
"timestream:DescribeEndpoints",
"timestream:SelectValues",
"timestream:CancelQuery"
],
"Resource": "*"
}
]
}
```
------
### Metadaten-Operationen zulassen
Die folgende Beispielrichtlinie ermöglicht es dem Benutzer, Metadatenabfragen durchzuführen, erlaubt dem Benutzer jedoch nicht, Vorgänge auszuführen, bei denen tatsächliche Daten in Timestream für LiveAnalytics gelesen oder geschrieben werden.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:DescribeEndpoints",
"timestream:DescribeTable",
"timestream:ListMeasures",
"timestream:SelectValues",
"timestream:ListTables",
"timestream:ListDatabases",
"timestream:CancelQuery"
],
"Resource": "*"
}
]
}
```
------
### INSERT-Operationen zulassen
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, einen `INSERT` Vorgang mit `database/sampleDB/table/DevOps` einem eigenen Konto auszuführen``.
**Anmerkung**
``Ersetzen Sie es durch Ihre Amazon-Konto-ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"timestream:WriteRecords"
],
"Resource": [
"arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps"
],
"Effect": "Allow"
},
{
"Action": [
"timestream:DescribeEndpoints"
],
"Resource": "*",
"Effect": "Allow"
}
]
}
```
------
### CRUD-Operationen zulassen
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, CRUD-Operationen in Timestream für auszuführen. LiveAnalytics
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:DescribeEndpoints",
"timestream:CreateTable",
"timestream:DescribeTable",
"timestream:CreateDatabase",
"timestream:DescribeDatabase",
"timestream:ListTables",
"timestream:ListDatabases",
"timestream:DeleteTable",
"timestream:DeleteDatabase",
"timestream:UpdateTable",
"timestream:UpdateDatabase"
],
"Resource": "*"
}
]
}
```
------
### Stornieren Sie Abfragen und wählen Sie Daten aus, ohne Ressourcen anzugeben
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, Abfragen abzubrechen und Abfragen für Daten durchzuführen`Select`, für die keine Ressourcenspezifikation erforderlich ist:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:SelectValues",
"timestream:CancelQuery"
],
"Resource": "*"
}
]
}
```
------
### Eine Datenbank erstellen, beschreiben, löschen und beschreiben
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, eine Datenbank zu erstellen, zu beschreiben, zu löschen und zu beschreiben`sampleDB`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:CreateDatabase",
"timestream:DescribeDatabase",
"timestream:DeleteDatabase",
"timestream:UpdateDatabase"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB"
}
]
}
```
------
### Beschränken Sie die aufgelisteten Datenbanken nach Tag `{"Owner": "${username}"}`
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, alle Datenbanken aufzulisten, die mit einem Schlüssel-Wert-Paar gekennzeichnet sind`{"Owner": "${username}"}`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:ListDatabases"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Owner": "${aws:username}"
}
}
}
]
}
```
------
### Alle Tabellen in einer Datenbank auflisten
Die folgende Beispielrichtlinie zum Auflisten aller Tabellen in der Datenbank`sampleDB`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:ListTables"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB/"
}
]
}
```
------
### Eine Tabelle erstellen, beschreiben, löschen, aktualisieren und auswählen
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, Tabellen zu erstellen, Tabellen zu beschreiben, Tabellen zu löschen, Tabellen zu aktualisieren und `Select` Abfragen für Tabellen `DevOps` in der Datenbank durchzuführen`sampleDB`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:CreateTable",
"timestream:DescribeTable",
"timestream:DeleteTable",
"timestream:UpdateTable",
"timestream:Select"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps"
}
]
}
```
------
### Beschränken Sie eine Abfrage nach einer Tabelle
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, alle Tabellen außer `DevOps` in der Datenbank abzufragen`sampleDB`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:Select"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/*"
},
{
"Effect": "Deny",
"Action": [
"timestream:Select"
],
"Resource": "arn:aws:timestream:us-east-1:111122223333:database/sampleDB/table/DevOps"
}
]
}
```
------
## Timestream für den LiveAnalytics Ressourcenzugriff auf der Grundlage von Tags
Sie können Bedingungen in Ihrer identitätsbasierten Richtlinie verwenden, um den Zugriff auf Timestream für LiveAnalytics Ressourcen auf der Grundlage von Tags zu steuern. In diesem Abschnitt finden Sie einige Beispiele.
Das folgende Beispiel zeigt, wie Sie eine Richtlinie erstellen können, die einem Benutzer Berechtigungen zum Anzeigen einer Tabelle gewährt, wenn die Tabelle den Wert des Benutzernamens dieses Benutzers `Owner` enthält.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReadOnlyAccessTaggedTables",
"Effect": "Allow",
"Action": "timestream:Select",
"Resource": "arn:aws:timestream:us-east-2:111122223333:database/mydatabase/table/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Owner": "${aws:username}"
}
}
}
]
}
```
------
Sie können diese Richtlinie den IAM-Benutzern in Ihrem Konto anfügen. Wenn ein benannter Benutzer `richard-roe` versucht, einen Timestream für eine LiveAnalytics Tabelle anzuzeigen, muss die Tabelle mit `Owner=richard-roe` oder `owner=richard-roe` gekennzeichnet werden. Andernfalls wird der Zugriff abgelehnt. Der Tag-Schlüssel `Owner` der Bedingung stimmt sowohl mit `Owner` als auch mit `owner` überein, da die Namen von Bedingungsschlüsseln nicht zwischen Groß- und Kleinschreibung unterscheiden. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
Die folgende Richtlinie gewährt einem Benutzer die Erlaubnis, Tabellen mit Tags zu erstellen, wenn das in der Anfrage übergebene Tag einen Schlüssel `Owner` und einen Wert `username` hat:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateTagTableUser",
"Effect": "Allow",
"Action": [
"timestream:CreateTable",
"timestream:TagResource"
],
"Resource": "arn:aws:timestream:us-east-2:111122223333:database/mydatabase/table/*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:RequestTag/Owner": "${aws:username}"
}
}
}
]
}
```
------
Die folgende Richtlinie ermöglicht die Verwendung der `DescribeDatabase` API in jeder Datenbank, deren `env` Tag entweder auf `dev` oder gesetzt ist`test`:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowDescribe",
"Effect": "Allow",
"Action": [
"timestream:DescribeEndpoints",
"timestream:DescribeDatabase"
],
"Resource": "*"
},
{
"Sid": "AllowTagAccessForDevResources",
"Effect": "Allow",
"Action": [
"timestream:TagResource"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestTag/env": [
"test",
"dev"
]
}
}
}
]
}
```
------
Diese Richtlinie verwendet einen `Condition` Schlüssel, um zu ermöglichen, dass ein Tag, das den Schlüssel `env` und den Wert `test``qa`, oder enthält, `dev` zu einer Ressource hinzugefügt werden kann.
## Geplante Abfragen
### Auflisten, Löschen, Aktualisieren, Ausführen ScheduledQuery
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, geplante Abfragen aufzulisten, zu löschen, zu aktualisieren und auszuführen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"timestream:DeleteScheduledQuery",
"timestream:ExecuteScheduledQuery",
"timestream:UpdateScheduledQuery",
"timestream:ListScheduledQueries",
"timestream:DescribeEndpoints"
],
"Resource": "*"
}
]
}
```
------
### CreateScheduledQuery mithilfe eines vom Kunden verwalteten KMS-Schlüssels
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, eine geplante Abfrage zu erstellen, die mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt wird;**.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::123456789012:role/ScheduledQueryExecutionRole"
],
"Effect": "Allow"
},
{
"Action": [
"timestream:CreateScheduledQuery",
"timestream:DescribeEndpoints"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:DescribeKey",
"kms:GenerateDataKey"
],
"Resource": "arn:aws:kms:us-west-2:123456789012:key/",
"Effect": "Allow"
}
]
}
```
------
### DescribeScheduledQuery mithilfe eines vom Kunden verwalteten KMS-Schlüssels
Die folgende Beispielrichtlinie ermöglicht es einem Benutzer, eine geplante Abfrage zu beschreiben, die mit einem vom Kunden verwalteten KMS-Schlüssel erstellt wurde;**.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"timestream:DescribeScheduledQuery",
"timestream:DescribeEndpoints"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"kms:Decrypt"
],
"Resource": "arn:aws:kms:us-west-2:123456789012:key/",
"Effect": "Allow"
}
]
}
```
------
### Berechtigungen für Ausführungsrollen (unter Verwendung eines vom Kunden verwalteten KMS-Schlüssels für geplante Abfragen und SSE-KMS für Fehlerberichte)
Hängen Sie die folgende Beispielrichtlinie an die im `ScheduledQueryExecutionRoleArn` Parameter angegebene IAM-Rolle der `CreateScheduledQuery` API an, die den vom Kunden verwalteten KMS-Schlüssel für die Verschlüsselung von geplanten Abfragen und `SSE-KMS` für Fehlerberichte verwendet.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"kms:GenerateDataKey"
],
"Resource": "arn:aws:kms:us-west-2:123456789012:key/",
"Effect": "Allow"
},
{
"Action": [
"kms:Decrypt"
],
"Resource": [
"arn:aws:kms:us-west-2:123456789012:key/",
"arn:aws:kms:us-west-2:123456789012:key/",
"arn:aws:kms:us-west-2:123456789012:key/"
],
"Effect": "Allow"
},
{
"Action": [
"sns:Publish"
],
"Resource": [
"arn:aws:sns:us-west-2:123456789012:scheduled-query-notification-topic-*"
],
"Effect": "Allow"
},
{
"Action": [
"timestream:Select",
"timestream:SelectValues",
"timestream:WriteRecords"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"s3:PutObject",
"s3:GetBucketAcl"
],
"Resource": [
"arn:aws:s3:::scheduled-query-error-bucket",
"arn:aws:s3:::scheduled-query-error-bucket/*"
],
"Effect": "Allow"
}
]
}
```
------
### Vertrauensverhältnis zwischen der Ausführungsrolle
Im Folgenden finden Sie die Vertrauensbeziehung für die IAM-Rolle, die im `ScheduledQueryExecutionRoleArn` `CreateScheduledQuery` API-Parameter angegeben ist.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": [
"timestream.amazonaws.com"
]
},
"Action": "sts:AssumeRole"
}
]
}
```
------
### Erlaubt den Zugriff auf alle geplanten Abfragen, die in einem Konto erstellt wurden
Hängen Sie die folgende Beispielrichtlinie an die im `ScheduledQueryExecutionRoleArn` `CreateScheduledQuery` API-Parameter angegebene IAM-Rolle an, um den Zugriff auf alle geplanten Abfragen zu ermöglichen, die innerhalb eines Kontos *Account\$1ID* erstellt wurden.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "timestream.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "Account_ID"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:timestream:us-west-2:111122223333:scheduled-query/*"
}
}
}
]
}
```
------
### Erlaubt den Zugriff auf alle geplanten Abfragen mit einem bestimmten Namen
Hängen Sie die folgende Beispielrichtlinie an die im `ScheduledQueryExecutionRoleArn` `CreateScheduledQuery` API-Parameter angegebene IAM-Rolle an, um den Zugriff auf alle geplanten Abfragen zu ermöglichen, deren Name mit*Scheduled\$1Query\$1Name*, innerhalb des Kontos *Account\$1ID* beginnt.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "timestream.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "Account_ID"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:timestream:us-west-2:111122223333:scheduled-query/Scheduled_Query_Name*"
}
}
}
]
}
```
------