Utilisation des politiques basées sur une identité avec Amazon DynamoDB

Cette rubrique traite de l’utilisation de politiques AWS Identity and Access Management (IAM) basées sur une identité avec Amazon DynamoDB, et fournit des exemples. Les exemples montrent comment un administrateur de comptes peut attacher des politiques d’autorisations à des identités IAM (utilisateurs, groupes et rôles), et ainsi accorder des autorisations d’effectuer des opérations sur des ressources Amazon DynamoDB.

Les sections de cette rubrique couvrent les sujets suivants :

Un exemple de politique d’autorisation est exposé ci-dessous.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DescribeQueryScanBooksTable",
            "Effect": "Allow",
            "Action": [
                "dynamodb:DescribeTable",
                "dynamodb:Query",
                "dynamodb:Scan"
            ],
            "Resource": "arn:aws:dynamodb:us-west-2:111122223333:table/Books"
        }
    ]
}

La politique précédente dispose d’une instruction qui accorde des autorisations pour trois actions DynamoDB (dynamodb:DescribeTable, dynamodb:Query et dynamodb:Scan) sur une table dans la région us-west-2 AWS, qui appartient au compte AWS spécifié par account-id. L’Amazon Resource Name (ARN) dans la valeur Resource spécifie la table à laquelle les autorisations s’appliquent.

Autorisations IAM requises pour utiliser la console Amazon DynamoDB

Pour utiliser la console DynamoDB, les utilisateurs doivent disposer d’un ensemble minimal d’autorisations leur permettant de travailler avec les ressources DynamoDB de leur compte AWS. Outre ces autorisations DynamoDB, la console nécessite d’autres autorisations :

Si vous créez une politique IAM plus restrictive que les autorisations minimales requises, la console ne fonctionnera pas comme prévu pour les utilisateurs dotés de cette politique IAM. Pour garantir que ces utilisateurs pourront continuer à utiliser la console DynamoDB, attachez également la politique AmazonDynamoDBReadOnlyAccess gérée par AWS aux utilisateurs, comme décrit dans Politiques IAM gérées par AWS (prédéfinies) pour Amazon DynamoDB.

Vous n’avez pas besoin d’accorder les autorisations de console minimales aux utilisateurs qui effectuent des appels uniquement à l’AWS CLI ou à l’API Amazon DynamoDB.

Politiques IAM gérées par AWS (prédéfinies) pour Amazon DynamoDB

AWS couvre cas d’utilisation courants, et fournit des politiques IAM autonomes qui sont créées et administrées par AWS. Ces politiques gérées par AWS octroient les autorisations requises dans les cas d’utilisation courants pour que vous évitiez d’avoir à réfléchir aux autorisations requises. Pour plus d’informations, consultez Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

Les politiques gérées par AWS suivantes que vous pouvez associer aux utilisateurs de votre compte sont spécifiques de DynamoDB et regroupées par scénario de cas d’utilisation :

Vous pouvez examiner ces politiques d’autorisations gérées par AWS en vous connectant à la console IAM et en y recherchant des politiques spécifiques.

Exemples de politiques gérées par le client

Cette section contient des exemples de politiques qui accordent des autorisations pour diverses actions DynamoDB. Ces politiques fonctionnent lorsque vous utilisez des kits SDK AWS ou l’AWS CLI. Lorsque vous utilisez la console, vous devez accorder des autorisations supplémentaires spécifiques de la console. Pour en savoir plus, consultez Autorisations IAM requises pour utiliser la console Amazon DynamoDB.

Exemples :

Le Guide de l’utilisateur IAM inclut trois exemples DynamoDB supplémentaires :