Amazon Aurora DSQL での IAM 条件キーの使用 - Amazon Aurora DSQL
特定のリージョンにクラスターを作成します。特定のリージョンにマルチリージョンクラスターを作成する特定の監視リージョンを持つマルチリージョンクラスターを作成する

Amazon Aurora DSQL での IAM 条件キーの使用

Aurora DSQL でアクセス許可を付与するときは、アクセス許可ポリシーを有効にする方法を決める条件を指定できます。以下に示しているのは、Aurora DSQL アクセス許可ポリシーでの条件キーの使用例です。

例 1: 特定の AWS リージョンにクラスターを作成するアクセス許可を付与する

次のポリシーは、米国東部 (バージニア北部) および米国東部 (オハイオ) リージョンにクラスターを作成するアクセス許可を付与します。このポリシーはリソース ARN を使用して許可されたリージョンを制限するため、Aurora DSQL はポリシーの Resource セクションでその ARN が指定されている場合にのみクラスターを作成できます。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": ["dsql:CreateCluster"], 
            "Resource": [
                "arn:aws:dsql:us-east-1:*:cluster/*",
                "arn:aws:dsql:us-east-2:*:cluster/*"
            ],
            "Effect": "Allow"
        }
    ]
}

例 2: 特定の AWS リージョンにマルチリージョンクラスターを作成するアクセス許可を付与する

次のポリシーは、米国東部 (バージニア北部) および米国東部 (オハイオ) リージョンにマルチリージョンクラスターを作成するアクセス許可を付与します。このポリシーはリソース ARN を使用して許可されたリージョンを制限するため、Aurora DSQL はポリシーの Resource セクションでこの ARN が指定されている場合にのみマルチリージョンクラスターを作成できます。マルチリージョンクラスターを作成するには、指定された各リージョンで PutMultiRegionProperties、PutWitnessRegion、および AddPeerCluster のアクセス許可も必要であることに注意してください。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "dsql:CreateCluster",
          "dsql:PutMultiRegionProperties",
          "dsql:PutWitnessRegion",
          "dsql:AddPeerCluster"
        ],
        "Resource": [
           "arn:aws:dsql:us-east-1:123456789012:cluster/*",
           "arn:aws:dsql:us-east-2:123456789012:cluster/*"
        ]
      }
    ]
}

例 3: 特定の監視リージョンを持つマルチリージョンクラスターを作成するアクセス許可を付与する

次のポリシーでは、Aurora DSQL dsql:WitnessRegion 条件キーを使用し、米国西部 (オレゴン) に監視リージョンを持つマルチリージョンクラスターをユーザーが作成できるようにします。dsql:WitnessRegion 条件を指定しない場合は、任意のリージョンを監視リージョンとして使用できます。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dsql:CreateCluster",
                "dsql:PutMultiRegionProperties",
                "dsql:AddPeerCluster"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "dsql:PutWitnessRegion"
            ],
            "Resource": "arn:aws:dsql:*:123456789012:cluster/*",
            "Condition": {
                "StringEquals": {
                    "dsql:WitnessRegion": [
                        "us-west-2"
                    ]
                }
            }
        }
    ]
}