View a markdown version of this page

Resource-level permisos - Amazon MemoryDB
Ejemplo 1: Permitir a un usuario obtener acceso completo a tipos de recursos de MemoryDB específicosEjemplo 2: Denegarle a un usuario el acceso a un clúster.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Resource-level permisos

Puede restringir el alcance de los permisos de un usuario mediante la especificación de recursos en una política de IAM. Muchas acciones de la AWS CLI API admiten un tipo de recurso que varía en función del comportamiento de la acción. Cada instrucción de una política de IAM concede permiso para realizar una acción en un recurso. Cuando la acción no actúa sobre un recurso nombrado, o cuando se concede permiso para realizar la acción sobre todos los recursos, el valor del recurso en la política es un comodín (*). Para muchas acciones de API, puede restringir los recursos que un usuario puede modificar si especifica el nombre de recurso de Amazon (ARN) de un recurso o un patrón de ARN que coincida con varios recursos. Para restringir los permisos por recurso, especifique el recurso por ARN.

Formato ARN de recursos de MemoryDB

nota

Para que los permisos a nivel de recursos sean efectivos, el nombre del recurso en la cadena ARN debe estar en minúsculas.

  • Usuario: arn:aws:memorydb:: us-east-1:123456789012 user/user1

  • ACL — arn:aws:memorydb:: -acl us-east-1:123456789012 acl/my

  • Clúster: arn:aws:memorydb:us-east-1:123456789012: cluster/my -cluster

  • Instantánea: arn:aws:memorydb:us-east-1:123456789012: snapshot/my -snapshot

  • Grupo de parámetros: arn:aws:memorydb:: -parameter-group us-east-1:123456789012 parametergroup/my

  • Grupo de subredes: arn:aws:memorydb:us-east-1:123456789012: subnetgroup/my -subnet-group

Ejemplo 1: Permitir a un usuario obtener acceso completo a tipos de recursos de MemoryDB específicos

La siguiente política permite de forma explícita el acceso completo del account-id especificado a todos los recursos de tipo grupo de subredes, grupo de seguridad y clúster.

{
        "Sid": "Example1",
        "Effect": "Allow",
        "Action": "memorydb:*",
        "Resource": [
             "arn:aws:memorydb:us-east-1:account-id:subnetgroup/*",
             "arn:aws:memorydb:us-east-1:account-id:securitygroup/*",
             "arn:aws:memorydb:us-east-1:account-id:cluster/*"
        ]
}

Ejemplo 2: Denegarle a un usuario el acceso a un clúster.

En el siguiente ejemplo se deniega de forma explícita el acceso del account-id especificado a un determinado clúster.

{
        "Sid": "Example2",
        "Effect": "Deny",
        "Action": "memorydb:*",
        "Resource": [
                "arn:aws:memorydb:us-east-1:account-id:cluster/name"
        ]
}