本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# Identity-based 亚马逊 Comprehend 的政策示例
原定设置情况下，用户和角色没有创建或修改 Amazon Comprehend 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。
要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
有关 Amazon Comprehend 定义的操作和资源类型的详细信息，包括每种资源类型的 ARN 格式，请参阅*服务授权参考* 中的 [Amazon Comprehend 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncomprehend.html)。
**Topics**
+ [策略最佳实践](#security_iam_service-with-iam-policy-best-practices)
+ [使用 Amazon Comprehend 控制台](#security_iam_id-based-policy-examples-console)
+ [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions)
+ [执行文档分析操作所需的权](#security-iam-based-policy-perform-cmp-actions)
+ [使用 KMS 加密所需的权限](#auth-kms-permissions)
+ [AWS 适用于 Amazon Comprehend 的托管（预定义）策略](#access-policy-aws-managed-policies)
+ [Role-based 异步操作所需的权限](#auth-role-permissions)
+ [允许所有 Amazon Comprehend 操作的权限](#custom-policy-all-all-actions)
+ [允许主题建模操作的权限](#custom-policy-allow-topic-modeling)
+ [自定义异步分析任务所需的权限](#tagging-resources)
## 策略最佳实践
Identity-based 策略决定了是否有人可以在您的账户中创建、访问或删除亚马逊 Comprehend 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+ **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定 AWS 服务的（例如）使用的，则也可以使用条件来授予对服务操作的访问权限 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 Amazon Comprehend 控制台
要访问 Amazon Comprehend 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关您的 Amazon Comprehend 资源的详细信息。 AWS 账户如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。
对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。
要获得最低的 Amazon Comprehend 控制台权限，您可以`{{ComprehendReadOnly}}` AWS 将托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
要使用 Amazon Comprehend 控制台，您需要为如下策略中所示的操作授予权限：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"iam:ListRoles",
"iam:GetRole",
"s3:ListAllMyBuckets",
"s3:ListBucket",
"s3:GetBucketLocation"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
------
Amazon Comprehend 控制台出于以下原因需要上述其他权限：
+ `iam` 列出您的账户可用 IAM 角色的权限。
+ `s3` 访问包含主题建模数据的 Amazon S3 存储桶和对象的权限。
当您使用控制台创建异步批处理任务或主题建模任务时，您可以选择让控制台为您的任务创建 IAM 角色。要创建 IAM 角色，必须向用户授予以下附加权限，才能创建 IAM 角色和策略以及将策略附加到角色：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Action":
[
"iam:CreateRole",
"iam:CreatePolicy",
"iam:AttachRolePolicy"
],
"Effect": "Allow",
"Resource": "*"
},
{
"Action":
[
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/*Comprehend*"
}
]
}
```
------
Amazon Comprehend 控制台出于以下原因需要上述其他权限：
+ `iam` 创建角色和策略以及附加角色和策略的权限。`iam:PassRole` 操作使控制台能够将角色传递给 Amazon Comprehend。
## 允许用户查看他们自己的权限
该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 执行文档分析操作所需的权
以下示例策略授予使用 Amazon Comprehend 文档分析操作的权限：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Sid": "AllowDetectActions",
"Effect": "Allow",
"Action": [
"comprehend:DetectEntities",
"comprehend:DetectKeyPhrases",
"comprehend:DetectDominantLanguage",
"comprehend:DetectSentiment",
"comprehend:DetectTargetedSentiment",
"comprehend:DetectSyntax",
"textract:DetectDocumentText",
"textract:AnalyzeDocument"
],
"Resource": "*"
}
]
}
```
------
该策略中的一个语句授予使用 `DetectEntities`、`DetectKeyPhrases`、`DetectDominantLanguage`、`DetectTargetedSentiment`、`DetectSentiment` 和 `DetectSyntax` 操作的权限。该策略语句还授予使用两种 Amazon Textract API 方法的权限。Amazon Comprehend 调用这些方法从图像文件和扫描的 PDF 文档中提取文本。对于从未对这些类型的输入文件运行自定义推理的用户，您可以移除这些权限。
拥有此政策的用户将无法在您的账户中执行批处理操作或异步操作。
该策略不指定 `Principal` 元素，因为在基于身份的策略中，未指定获取权限的委托人。将策略附加到用户时，该用户是隐式主体。向 IAM 角色附加权限策略后，该角色的信任策略中标识的主体将获取权限。
有关显示所有 Amazon Comprehend API 操作及它们适用的资源的表，[请参阅*服务授权参考*中的 Amazon Comprehend 的操作、资源和条件键](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazoncomprehend.html)。
## 使用 KMS 加密所需的权限
要在异步任务中充分使用 Amazon 密钥管理服务 (KMS) 进行数据和任务加密，您需要授予以下策略中显示的操作权限：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"kms:CreateGrant"
],
"Effect": "Allow",
"Resource": "*"
},
{
"Action": [
"kms:Decrypt",
"kms:GenerateDatakey"
],
"Effect": "Allow",
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:ViaService": [
"s3.{{us-east-1}}.amazonaws.com"
]
}
}
}
]
}
```
------
当您使用 Amazon Comprehend 创建异步任务时，您将使用存储在 Amazon S3 上的输入数据。使用 S3，您可以选择加密存储的数据，这些数据由 S3 加密，而不是 Amazon Comprehend 加密的。如果您向 Amazon Comprehend 任务使用的数据访问角色提供对原始输入数据进行加密的密钥的 `kms:Decrypt` 权限，我们就可以解密和读取加密的输入数据。
您还可以选择使用 KMS 客户自主管理型密钥 (CMK) 对 S3 上的输出结果以及任务处理期间使用的存储卷进行加密。执行此操作时，您可以对两种类型的加密使用相同的 KMS 密钥，但这不是必需的。创建任务时，可以使用单独的字段来指定输出加密和卷加密的密钥，您甚至可以使用来自不同账户的 KMS 密钥。
使用 KMS 加密时，卷加密需要 `kms:CreateGrant` 权限，输出数据加密需要 `kms:GenerateDataKey` 权限。要读取加密的输入（如输入数据已由 Amazon S3 加密），需要 `kms:Decrypt` 权限。IAM 角色需要根据需要授予这些权限。但是，如果密钥来自与当前使用的账户不同的账户，则该 KMS 密钥的 KMS 密钥策略还必须将这些权限授予任务的数据访问角色。
## AWS 适用于 Amazon Comprehend 的托管（预定义）策略
AWS 通过提供由创建和管理的独立 IAM 策略来解决许多常见用例 AWS。这些 AWS 托管策略为常见用例授予必要的权限，这样您就可以不必调查需要哪些权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
以下 AWS 托管策略仅适用于 Amazon Comprehend，您可以将其附加到账户中的用户：
+ **ComprehendFullAccess**— 授予对 Amazon Comprehend 资源的完全访问权限，包括运行主题建模作业。包括列出和获取 IAM 角色的权限。
+ **ComprehendReadOnly**— 授予运行所有 Amazon Comprehend `StartDominantLanguageDetectionJob` 操作的权限`StartKeyPhrasesDetectionJob`，`StartEntitiesDetectionJob`但、、、、`StartSentimentDetectionJob`和除外。`StartTargetedSentimentDetectionJob` `StartTopicsDetectionJob`
您需要对任何将使用 Amazon Comprehend 的任何用户应用以下附加策略：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Action":
[
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/*Comprehend*"
}
]
}
```
------
您可以通过登录到 IAM 控制台并在该控制台中搜索特定策略来查看托管权限策略。
当您使用 AWS SDK 或 AWS CLI 时，这些策略会起作用。
此外，您还可以创建您自己的自定义 IAM policy，以授予 Amazon Comprehend 操作和资源的相关权限。您可以将这些自定义策略附加到需要这些权限的用户、组或角色。
## Role-based 异步操作所需的权限
要使用 Amazon Comprehend 异步操作，您必须授予 Amazon Comprehend 访问包含文档集合的 Amazon S3 存储桶权限。为此，您可以在账户中创建一个数据访问角色，并使用信任策略来信任 Amazon Comprehend 服务的主体。有关创建角色的更多信息，请参阅《*AWS 身份和访问管理用户指南*》中的[创建角色以向 AWS 服务委托权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
以下显示了您创建的角色的信任策略示例。为了帮助[避免混淆代理](cross-service-confused-deputy-prevention.md)，您可以使用一个或多个全局条件上下文键来限制权限的范围。将 `aws:SourceAccount` 值设置为您的账户 ID。如果您使用 `ArnEquals` 条件，请将 `aws:SourceArn` 值设置为任务的 ARN。为 ARN 中的任务编号使用通配符，因为 Amazon Comprehend 会在创建任务时生成此编号。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "comprehend.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{111122223333}}"
},
"ArnEquals": {
"aws:SourceArn": "arn:aws:comprehend:{{us-west-2:111122223333}}:pii-entities-detection-job/*"
}
}
}
]
}
```
------
创建角色后，为该角色创建访问策略。这应该授予 Amazon S3 `GetObject` 权限和对包含您输入数据的 Amazon S3 存储桶的 `ListBucket` 权限，以及 Amazon S3 对您的 Amazon S3 输出数据存储桶的 `PutObject` 权限。
## 允许所有 Amazon Comprehend 操作的权限
注册后 AWS，您可以创建一个管理员用户来管理您的账户，包括创建用户和管理他们的权限。
您可以选择创建具有所有 Amazon Comprehend 操作权限的用户（将该用户视为特定于服务的管理员），以便使用 Amazon Comprehend。您可以将以下权限策略附加到该用户。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Sid": "AllowAllComprehendActions",
"Effect": "Allow",
"Action":
[
"comprehend:*",
"iam:ListRoles",
"iam:GetRole",
"s3:ListAllMyBuckets",
"s3:ListBucket",
"s3:GetBucketLocation",
"iam:CreateRole",
"iam:CreatePolicy",
"iam:AttachRolePolicy",
"kms:CreateGrant",
"kms:Decrypt",
"kms:GenerateDatakey"
],
"Resource": "*"
},
{
"Action":
[
"iam:PassRole"
],
"Effect": "Allow",
"Resource": "arn:aws:iam::*:role/*Comprehend*"
}
]
}
```
------
可通过以下方式对这些加密权限进行修改：
+ 要使 Amazon Comprehend 能够分析存储在加密 S3 存储桶中的文档，IAM 角色必须拥有 `kms:Decrypt` 权限。
+ 要使 Amazon Comprehend 能够加密存储在连接至处理分析任务的计算实例的存储卷上的文档，IAM 角色必须拥有 `kms:CreateGrant` 权限。
+ 要使 Amazon Comprehend 能够加密其 S3 存储桶中的输出结果，IAM 角色必须拥有 `kms:GenerateDataKey` 权限。
## 允许主题建模操作的权限
以下权限策略向用户授予执行 Amazon Comprehend 主题建模操作的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowTopicModelingActions",
"Effect": "Allow",
"Action": [
"comprehend:DescribeTopicsDetectionJob",
"comprehend:ListTopicsDetectionJobs",
"comprehend:StartTopicsDetectionJob"
],
"Resource": "*"
}
]
}
```
------
## 自定义异步分析任务所需的权限
**重要**
如果您有限制模型访问权限的 IAM policy，则无法使用自定义模型完成推理任务。您的 IAM policy 应更新为拥有用于自定义异步分析任务的通配符资源。
如果您使用的是[StartDocumentClassificationJob ](https://docs.aws.amazon.com/comprehend/latest/dg/API_StartDocumentClassificationJob.html)和 [StartEntitiesDetectionJob](https://docs.aws.amazon.com/comprehend/latest/dg/API_StartEntitiesDetectionJob.html)API，则需要更新您的 IAM 政策，除非您当前使用通配符作为资源。如果您使用的是使用预训练模型，这不会对您产生影响，您也无需进行任何更改。[StartEntitiesDetectionJob](https://docs.aws.amazon.com/comprehend/latest/dg/API_StartEntitiesDetectionJob.html)
以下示例策略包含一个**过时的**参考。
```
{
"Action": [
"comprehend:StartDocumentClassificationJob",
"comprehend:StartEntitiesDetectionJob",
],
"Resource": [
"arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
"arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
],
"Effect": "Allow"
}
```
这是成功运行 StartDocumentClassificationJob 和需要使用的**更新**策略。 StartEntitiesDetectionJob
```
{
"Action": [
"comprehend:StartDocumentClassificationJob",
"comprehend:StartEntitiesDetectionJob",
],
"Resource": [
"arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
"arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
"arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
"arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
],
"Effect": "Allow"
}
```