Résolution des erreurs courantes liées à l’ABAC pour les tables et les index DynamoDB - Amazon DynamoDB

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Résolution des erreurs courantes liées à l’ABAC pour les tables et les index DynamoDB

Cette rubrique fournit des conseils de résolution pour les erreurs et problèmes courants que vous pouvez rencontrer lorsque vous mettez en œuvre l’ABAC dans des tables ou des index DynamoDB.

Les clés de condition spécifiques au service ne sont pas considérées comme des clés de condition valides. Si vous avez utilisé ce type de clés dans vos politiques, cela provoquera une erreur. Pour résoudre ce problème, vous devez remplacer les clés de condition spécifiques au service par une clé de condition appropriée pour mettre en œuvre l’ABAC dans DynamoDB.

Supposons, par exemple, que vous ayez utilisé la clé de dynamodb:ResourceTag condition dans une politique intégrée qui exécute la PutItemdemande. Imaginez que la demande échoue avec le message d’erreur AccessDeniedException. L’exemple suivant montre la politique en ligne erronée avec la clé de condition dynamodb:ResourceTag.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:PutItem"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*",
            "Condition": {
                "StringEquals": {
                    "dynamodb:ResourceTag/Owner": "John"
                }
            }
        }
    ]
}

Pour résoudre ce problème, remplacez la clé de condition dynamodb:ResourceTag par aws:ResourceTag, comme indiqué dans l’exemple suivant.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:PutItem"
            ],
            "Resource": "arn:aws:dynamodb:*:*:table/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Owner": "John"
                }
            }
        }
    ]
}

Si ABAC a été activé pour votre compte via Support, vous ne pourrez pas désactiver ABAC via la console DynamoDB. Pour désactiver l’ABAC, contactez Support.

Vous ne pouvez désactiver vous-même l’ABAC que si les conditions suivantes sont réunies :