本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 适用于 Amazon Lex V2 的身份和访问管理
AWS Identity and Access Man AWS 服务 agement (IAM) 可以帮助管理员安全地控制对 AWS 资源的访问。IAM 管理员可控制能够通过*身份验证*（登录）和*获得授权*（拥有权限）来使用 Amazon Lex V2 资源的用户。您可以使用 IAM AWS 服务 ，无需支付额外费用。
**Topics**
+ [受众](#security_iam_audience)
+ [使用身份进行身份验证](#security_iam_authentication)
+ [使用策略管理访问](#security_iam_access-manage)
+ [Amazon Lex V2 如何与 IAM 协同工作](security_iam_service-with-iam.md)
+ [Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)
+ [Amazon Lex V2 基于资源的策略示例](security_iam_resource-based-policy-examples.md)
+ [适用于 Amazon Lex V2 的 AWS 托管策略](security-iam-awsmanpol.md)
+ [对 Amazon Lex V2 使用服务相关角色](using-service-linked-roles.md)
+ [Amazon Lex V2 身份和访问问题排查](security_iam_troubleshoot.md)
## 受众
您使用 AWS Identity and Access Management (IAM) 的方式因您的角色而异：
+ **服务用户**：如果您无法访问功能，请从管理员处请求权限（请参阅[Amazon Lex V2 身份和访问问题排查](security_iam_troubleshoot.md)）
+ **服务管理员**：确定用户访问权限并提交权限请求（请参阅[Amazon Lex V2 如何与 IAM 协同工作](security_iam_service-with-iam.md)）
+ **IAM 管理员**：编写用于管理访问权限的策略（请参阅[Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)）
## 使用身份进行身份验证
身份验证是您使用身份凭证登录亚马逊云科技 的方法。您必须以 IAM 用户身份进行身份验证 AWS 账户根用户，或者通过担任 IAM 角色进行身份验证。
您可以使用来自身份源的证书 AWS IAM Identity Center （例如（IAM Identity Center）、单点登录身份验证或 Google/Facebook 证书，以联合身份登录。有关登录的更多信息，请参阅《AWS 登录 用户指南》**中的[如何登录您的 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
对于编程访问，AWS 提供了用于对请求进行加密签名的软件开发工具包和 CLI。有关更多信息，请参阅 IA *M 用户指南*中针对 [API 请求的 AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 账户 root 用户
创建时 AWS 账户，首先会有一个名为 AWS 账户 *root 用户的*登录身份，该身份可以完全访问所有资源 AWS 服务 和资源。我们强烈建议不要使用根用户进行日常任务。有关需要根用户凭证的任务，请参阅《IAM 用户指南》**中的[需要根用户凭证的任务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### 联合身份
作为最佳实践，要求人类用户使用与身份提供商的联合身份验证才能 AWS 服务 使用临时证书进行访问。
*联合身份是指*来自您的企业目录、Web 身份提供商的用户 Directory Service ，或者 AWS 服务 使用来自身份源的凭据进行访问的用户。联合身份代入可提供临时凭证的角色。
要集中管理访问权限，建议使用。 AWS IAM Identity Center有关更多信息，请参阅《AWS IAM Identity Center 用户指南》**中的[什么是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。
### IAM 用户和群组
*[IAM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是对某个人员或应用程序具有特定权限的一个身份。建议使用临时凭证，而非具有长期凭证的 IAM 用户。有关更多信息，请参阅 IA *M 用户指南*[中的要求人类用户使用与身份提供商的联合身份验证使用临时证书访问 AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)。
[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)指定一组 IAM 用户，便于更轻松地对大量用户进行权限管理。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 用户使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是具有特定权限的身份，可提供临时凭证。您可以通过[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或调用 AWS CLI 或 AWS API 操作来代入角色。有关更多信息，请参阅《IAM 用户指南》**中的[担任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色对于联合用户访问、临时 IAM 用户权限、跨账户访问、跨服务访问以及在 Amazon EC2 上运行的应用程序非常有用。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用策略管理访问
您可以通过创建策略并将其附加到 AWS 身份或资源来控制 AWS 中的访问权限。策略定义了与身份或资源关联时的权限。当委托人提出请求时，AWS 会评估这些政策。大多数策略在亚马逊云科技中存储为 JSON 文档。有关 JSON 策略文档的更多信息，请参阅*《IAM 用户指南》*中的 [JSON 策略概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理员使用策略，通过定义哪个**主体**可以在什么**条件**下对哪些**资源**执行哪些**操作**来指定谁有权访问什么。
默认情况下，用户和角色没有权限。IAM 管理员创建 IAM 策略并将其添加到角色中，然后用户可以担任这些角色。IAM 策略定义权限，与执行操作所用的方法无关。
### 基于身份的策略
基于身份的策略是您附加到身份（用户、组或角色）的 JSON 权限策略文档。这些策略控制身份可以执行什么操作、对哪些资源执行以及在什么条件下执行。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
基于身份的策略可以是*内联策略*（直接嵌入到单个身份中）或*托管策略*（附加到多个身份的独立策略）。要了解如何在托管策略和内联策略之间进行选择，请参阅*《IAM 用户指南》*中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 基于资源的策略
基于资源的策略是附加到资源的 JSON 策略文档。示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用来自 IAM 的 AWS 托管式策略。
### 其他策略类型
AWS 支持其他策略类型，这些策略类型可以设置更常见的策略类型授予的最大权限：
+ **权限边界** – 设置基于身份的策略可以授予 IAM 实体的最大权限。有关更多信息，请参阅《 IAM 用户指南》**中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服务控制策略 (SCPs)**-在中指定组织或组织单位的最大权限 AWS Organizations。有关更多信息，请参阅《AWS Organizations 用户指南》**中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **资源控制策略 (RCPs)**-设置账户中资源的最大可用权限。有关更多信息，请参阅《*AWS Organizations 用户指南》*中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **会话策略** – 在为角色或联合用户创建临时会话时，作为参数传递的高级策略。有关更多信息，请参阅《IAM 用户指南》**中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多个策略类型
当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解涉及多种策略类型时 AWS 如何确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# Amazon Lex V2 如何与 IAM 协同工作
在使用 IAM 管理对 Amazon Lex V2 的访问权限之前，您需要了解哪些 IAM 功能可与 Amazon Lex V2 配合使用。
**可与 Amazon Lex V2 配合使用的IAM 功能**
| IAM 功能 | Amazon Lex V2 支持 |
| --- | --- |
| [基于身份的策略](#security_iam_service-with-iam-id-based-policies) | *是* |
| [基于资源的策略](#security_iam_service-with-iam-resource-based-policies) | *是* |
| [策略操作](#security_iam_service-with-iam-id-based-policies-actions) | *是* |
| [策略资源](#security_iam_service-with-iam-id-based-policies-resources) | *是* |
| [策略条件密钥](#security_iam_service-with-iam-id-based-policies-conditionkeys) | *否* |
| [ACLs](#security_iam_service-with-iam-acls) | *否* |
| [ABAC（策略中的标签）](#security_iam_service-with-iam-tags) | *是* |
| [临时凭证](#security_iam_service-with-iam-roles-tempcreds) | *否* |
| [主体权限](#security_iam_service-with-iam-principal-permissions) | *是* |
| [服务角色](#security_iam_service-with-iam-roles-service) | *是* |
| [服务关联角色](#security_iam_service-with-iam-roles-service-linked) | *部分* |
要全面了解 Amazon Lex V2 和其他 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM *用户指南中与 IAM 配合使用的* [AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## Amazon Lex V2 基于身份的策略
**支持基于身份的策略***：是*
基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### Amazon Lex V2 基于身份的策略示例
要查看 Amazon Lex V2 基于身份的策略的示例，请参阅 [Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)。
## Amazon Lex V2 基于资源的策略
***支持基于资源的策略：是***
基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略和 Amazon S3 存储桶策略。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。主体可以包括用户、角色、联合用户或 AWS 服务。
您不能在 Amazon Lex V2 中使用跨账户或跨区域政策。如果您为具有跨账户或跨区域 ARN 的资源创建策略，Amazon Lex V2 会返回错误。
Amazon Lex V2 服务支持基于资源的策略，这些*策略称为机器人*策略和*机器人别名*策略，它们附加到机器人或机器人别名。这些策略定义了能够对机器人或机器人别名执行操作的主体。
只能对特定资源使用操作。例如，`UpdateBot` 操作只能被用于机器人资源上，`UpdateBotAlias` 操作只能被用于机器人别名资源。如果您在策略中指定的操作不能用于策略中指定的资源，Amazon Lex V2 将返回错误。有关操作及其可与之配合使用的资源列表，请参阅下表。
| Action | 支持基于资源的策略 | 资源 |
| --- | --- | --- |
| BuildBotLocale | 支持 | BotId |
| CreateBot | 否 | |
| CreateBotAlias | 否 | |
| CreateBotChannel [仅限许可] | 支持 | BotId |
| CreateBotLocale | 支持 | BotId |
| CreateBotVersion | 支持 | BotId |
| CreateExport | 支持 | BotId |
| CreateIntent | 支持 | BotId |
| CreateResourcePolicy | 支持 | BotId, BotAliasId |
| CreateSlot | 支持 | BotId |
| CreateSlotType | 支持 | BotId |
| CreateUploadUrl | 否 | |
| DeleteBot | 支持 | BotId, BotAliasId |
| DeleteBotAlias | 支持 | BotAliasId |
| DeleteBotChannel [仅限许可] | 支持 | BotId |
| DeleteBotLocale | 支持 | BotId |
| DeleteBotVersion | 支持 | BotId |
| DeleteExport | 支持 | BotId |
| DeleteImport | 支持 | BotId |
| DeleteIntent | 支持 | BotId |
| DeleteResourcePolicy | 支持 | BotId, BotAliasId |
| DeleteSession | 支持 | BotAliasId |
| DeleteSlot | 支持 | BotId |
| DeleteSlotType | 支持 | BotId |
| DescribeBot | 支持 | BotId |
| DescribeBotAlias | 支持 | BotAliasId |
| DescribeBotChannel [仅限许可] | 支持 | BotId |
| DescribeBotLocale | 支持 | BotId |
| DescribeBotVersion | 支持 | BotId |
| DescribeExport | 支持 | BotId |
| DescribeImport | 支持 | BotId |
| DescribeIntent | 支持 | BotId |
| DescribeResourcePolicy | 支持 | BotId, BotAliasId |
| DescribeSlot | 支持 | BotId |
| DescribeSlotType | 支持 | BotId |
| GetSession | 支持 | BotAliasId |
| ListBotAliases | 支持 | BotId |
| ListBotChannels [仅限许可] | 支持 | BotId |
| ListBotLocales | 支持 | BotId |
| ListBots | 否 | |
| ListBotVersions | 支持 | BotId |
| ListBuiltInIntents | 否 | |
| ListBuiltIntSlotTypes | 否 | |
| ListExports | 否 | |
| ListImports | 否 | |
| ListIntents | 支持 | BotId |
| ListSlots | 支持 | BotId |
| ListSlotTypes | 支持 | BotId |
| PutSession | 支持 | BotAliasId |
| RecognizeText | 支持 | BotAliasId |
| RecognizeUtterance | 支持 | BotAliasId |
| StartConversation | 支持 | BotAliasId |
| StartImport | 支持 | BotId, BotAliasId |
| TagResource | 否 | |
| UpdateBot | 支持 | BotId |
| UpdateBotAlias | 支持 | BotAliasId |
| UpdateBotLocale | 支持 | BotId |
| UpdateBotVersion | 支持 | BotId |
| UpdateExport | 支持 | BotId |
| UpdateIntent | 支持 | BotId |
| UpdateResourcePolicy | 支持 | BotId, BotAliasId |
| UpdateSlot | 支持 | BotId |
| UpdateSlotType | 支持 | BotId |
| UntagResource | 否 | |
要了解如何将基于资源的策略附加到机器人或机器人别名，请参阅 [Amazon Lex V2 基于资源的策略示例](security_iam_resource-based-policy-examples.md)。
### Amazon Lex V2 基于资源的策略示例
要查看 Amazon Lex V2 基于资源的策略的示例，请参阅 [Amazon Lex V2 基于资源的策略示例](security_iam_resource-based-policy-examples.md)，
## Amazon Lex V2 的策略操作
**支持策略操作：***是*
管理员可以使用亚马逊云科技 JSON 策略来指定谁有权访问什么内容。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。
有关 Amazon Lex V2 操作的列表，请参阅《服务授权参考》**中的 [Amazon Lex V2 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html#amazonlexv2-actions-as-permissions)。
Amazon Lex V2 中的策略操作在操作前面使用以下前缀：
```
lex
```
要在单个语句中指定多项操作，请使用逗号将它们隔开。
```
"Action": [
"lex:action1",
"lex:action2"
]
```
要查看 Amazon Lex V2 基于身份的策略的示例，请参阅 [Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)。
## Amazon Lex V2 的策略资源
**支持策略资源：***是*
管理员可以使用亚马逊云科技 JSON 策略来指定谁有权访问什么内容。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
`Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。
```
"Resource": "*"
```
要查看 Amazon Lex V2 资源类型及其列表 ARNs，请参阅《*服务授权*参[考》中的 Amazon Lex V2 定义](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html#amazonlexv2-resources-for-iam-policies)的资源。要了解您可以使用哪些操作指定每个资源的 ARN，请参阅 [Amazon Lex V2 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html#amazonlexv2-actions-as-permissions)。
要查看 Amazon Lex V2 基于身份的策略的示例，请参阅 [Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)。
## Amazon Lex V2 的策略条件键
***支持特定于服务的策略条件密钥：否***
管理员可以使用亚马逊云科技 JSON 策略来指定谁有权访问什么内容。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。
`Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件密钥，请参阅 IA *M 用户指南*中的 [AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
要查看 Amazon Lex V2 条件键的列表，请参阅《服务授权参考》**中的 [Amazon Lex V2 的条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html#amazonlexv2-policy-keys)。要了解您可以对哪些操作和资源使用条件键，请参阅 [Amazon Lex V2 定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html#amazonlexv2-actions-as-permissions)。
要查看 Amazon Lex V2 基于身份的策略的示例，请参阅 [Amazon Lex V2 基于身份的策略示例](security_iam_id-based-policy-examples.md)。
## Amazon Lex V ACLs 2 中的访问控制列表 ()
**支持 ACLs：***否*
访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。
## 使用 Amazon Lex V2 基于属性的访问权限控制（ABAC）
***支持 ABAC（策略中的标签）：是***
基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。
要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。
如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。
有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
## 使用 Amazon Lex V2 的临时凭证
**支持临时证书：***否*
临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份验证或切换角色时自动创建的。AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)
## Amazon Lex V2 的跨服务主体权限
***支持转发访问会话 (FAS)：是***
转发访问会话 (FAS) 使用调用主体的权限 AWS 服务，再加上 AWS 服务 向下游服务发出请求的请求。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。
## Amazon Lex V2 的服务角色
**支持服务角色：***是*
服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**警告**
更改服务角色的权限可能会破坏 Amazon Lex V2 的功能。仅当 Amazon Lex V2 提供相关指导时才编辑服务角色。
## Amazon Lex V2 的服务相关角色
***支持服务相关角色：部分***
服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。
有关创建或管理服务相关角色的详细信息，请参阅与 IA [M 配合使用的 AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 的表。选择**是**链接以查看该服务的服务相关角色文档。
# Amazon Lex V2 基于身份的策略示例
默认情况下，用户和角色没有创建或修改 Amazon Lex V2 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。
要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
有关 Amazon Lex V2 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《*服务授权*参考》中的 [Amazon Lex V2 的操作、资源和条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonlexv2.html)。 ARNs
**Topics**
+ [策略最佳实践](#security_iam_service-with-iam-policy-best-practices)
+ [使用 Amazon Lex V2 控制台](#security_iam_id-based-policy-examples-console)
+ [允许用户为机器人添加功能](#security_iam-bot-role)
+ [允许用户为机器人添加频道](#security_iam-channel-role)
+ [允许用户创建和更新机器人](#security_iam-bot-create-update)
+ [允许用户使用自动聊天机器人设计器](#security_iam-bot-designer)
+ [允许用户使用密 AWS KMS 钥加密和解密文件](#security_iam-bot-key)
+ [允许用户删除机器人](#security_iam-bot-delete)
+ [允许用户与机器人进行对话](#security_iam-bot-conversation)
+ [允许特定用户管理基于资源的策略](#security_iam_id-based-policy-examples-allow-resource)
+ [允许用户导出机器人和机器人区域设置](#security_iam_id-based-policy-examples-export)
+ [允许用户导出自定义词汇表](#security_iam_id-based-policy-examples-import-vocab)
+ [允许用户导入机器人和机器人区域设置](#security_iam_id-based-policy-examples-import)
+ [允许用户导入自定义词汇表](#secruity_iam_id-based-policy-examples-import-vocab)
+ [允许用户将机器人从 Amazon Lex 迁移到 Amazon Lex V2](#security_iam_id-based-policy-examples-migrate)
+ [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions)
+ [允许用户在 Amazon Lex V2 中使用可视化对话生成器绘制对话流程](#security_iam_allow-draw-conversation-flow)
+ [允许用户创建和查看机器人副本，但不允许将其删除](#security_iam_id-based-policy-examples-gr-permissions)
## 策略最佳实践
基于身份的策略可确定相关用户能否创建、访问或删除您账户中的 Amazon Lex V2 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+ **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向您的用户和工作负载授予权限，请使用 AW *S 托管策略*为许多常见用例授予权限。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅 I [A *M 用户指南*中的 AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)[或 AWS 工作职能](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)托管策略。
+ **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 使用 Amazon Lex V2 控制台
要访问 Amazon Lex V2 控制台，您必须具有一组最低的权限。这些权限必须允许您在中列出和查看有关 Amazon Lex V2 资源的详细信息。 AWS 账户如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。
对于仅调用 Amazon CLI 或 Amazon API 的用户，您不需要允许最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。
为确保用户和角色仍可使用 Amazon Lex V2 控制台，用户需要拥有控制台的访问权限。有关创建具有控制台访问权限的用户的更多信息，请参阅 [IAM 用户指南中的在您的 AWS 账户中创](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_create.html)*建 IAM 用户*。
## 允许用户为机器人添加功能
此示例中的策略可允许 IAM 用户为 Amazon Lex V2 机器人添加 Amazon Comprehend、情绪分析和 Amazon Kendra 查询权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Id1",
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
},
{
"Sid": "Id2",
"Effect": "Allow",
"Action": "iam:GetRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
}
]
}
```
------
## 允许用户为机器人添加频道
此示例中的策略可允许 IAM 用户向机器人添加消息收发频道。用户必须先制定此策略，然后才能在消息收发平台上部署机器人。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Id1",
"Effect": "Allow",
"Action": "iam:PutRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
},
{
"Sid": "Id2",
"Effect": "Allow",
"Action": "iam:GetRolePolicy",
"Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
}
]
}
```
------
## 允许用户创建和更新机器人
此示例中的示例策略可允许 IAM 用户创建和更新任何机器人。该策略包括通过控制台或使用 AWS CLI 或 AWS API 完成此操作的权限。
## 允许用户使用自动聊天机器人设计器
此示例中的示例策略可允许 IAM 用户运行自动聊天机器人设计器。
## 允许用户使用密 AWS KMS 钥加密和解密文件
此示例显示了一个策略示例，该策略允许 IAM 用户使用 AWS KMS 客户托管密钥来加密和解密数据。
## 允许用户删除机器人
此示例中的示例策略可允许 IAM 用户删除任何机器人。该策略包括通过控制台或使用 AWS CLI 或 AWS API 完成此操作的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:DeleteBot",
"lex:DeleteBotLocale",
"lex:DeleteBotAlias",
"lex:DeleteIntent",
"lex:DeleteSlot",
"lex:DeleteSlottype"
],
"Effect": "Allow",
"Resource": [
"arn:aws:lex:us-east-1:123412341234:bot/*",
"arn:aws:lex:us-east-1:123412341234:bot-alias/*"
]
}
]
}
```
------
## 允许用户与机器人进行对话
此示例中的示例策略可允许 IAM 用户与任何机器人进行对话。该策略包括通过控制台或使用 AWS CLI 或 AWS API 完成此操作的权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:StartConversation",
"lex:RecognizeText",
"lex:RecognizeUtterance",
"lex:GetSession",
"lex:PutSession",
"lex:DeleteSession"
],
"Effect": "Allow",
"Resource": "arn:aws:lex:us-east-1:123412341234:bot-alias/*"
}
]
}
```
------
## 允许特定用户管理基于资源的策略
以下示例授予特定用户管理基于资源的策略的权限。它允许控制台和 API 访问与机器人和机器人别名关联的策略。
## 允许用户导出机器人和机器人区域设置
以下 IAM 权限策略允许用户创建、更新和导出机器人或机器人区域设置。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:CreateExport",
"lex:UpdateExport",
"lex:DescribeExport",
"lex:DescribeBot",
"lex:DescribeBotLocale",
"lex:ListBotLocales",
"lex:DescribeIntent",
"lex:ListIntents",
"lex:DescribeSlotType",
"lex:ListSlotTypes",
"lex:DescribeSlot",
"lex:ListSlots",
"lex:DescribeCustomVocabulary"
],
"Effect": "Allow",
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot/*"
]
}
]
}
```
------
## 允许用户导出自定义词汇表
以下 IAM 权限策略允许用户从机器人区域设置中导出自定义词汇表。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:CreateExport",
"lex:UpdateExport",
"lex:DescribeExport",
"lex:DescribeCustomVocabulary"
],
"Effect": "Allow",
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot/*"
]
}
]
}
```
------
## 允许用户导入机器人和机器人区域设置
以下 IAM 权限策略允许用户导入机器人或机器人区域以及查看导入状态。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:CreateUploadUrl",
"lex:StartImport",
"lex:DescribeImport",
"lex:CreateBot",
"lex:UpdateBot",
"lex:DeleteBot",
"lex:CreateBotLocale",
"lex:UpdateBotLocale",
"lex:DeleteBotLocale",
"lex:CreateIntent",
"lex:UpdateIntent",
"lex:DeleteIntent",
"lex:CreateSlotType",
"lex:UpdateSlotType",
"lex:DeleteSlotType",
"lex:CreateSlot",
"lex:UpdateSlot",
"lex:DeleteSlot",
"lex:CreateCustomVocabulary",
"lex:UpdateCustomVocabulary",
"lex:DeleteCustomVocabulary",
"iam:PassRole"
],
"Effect": "Allow",
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot/*",
"arn:aws:lex:us-east-1:123456789012:bot-alias/*"
]
}
]
}
```
------
## 允许用户导入自定义词汇表
以下 IAM 权限策略允许用户向机器人区域设置中导入自定义词汇表。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"lex:CreateUploadUrl",
"lex:StartImport",
"lex:DescribeImport",
"lex:CreateCustomVocabulary",
"lex:UpdateCustomVocabulary",
"lex:DeleteCustomVocabulary"
],
"Effect": "Allow",
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot/*"
]
}
]
}
```
------
## 允许用户将机器人从 Amazon Lex 迁移到 Amazon Lex V2
以下 IAM 权限策略允许用户开始将机器人从 Amazon Lex 迁移到 Amazon Lex V2。
## 允许用户查看他们自己的权限
该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 允许用户在 Amazon Lex V2 中使用可视化对话生成器绘制对话流程
以下 IAM 权限策略可允许用户在 Amazon Lex V2 中使用可视化对话生成器绘制对话流程。
## 允许用户创建和查看机器人副本，但不允许将其删除
您可以向 IAM 角色授予以下权限，使其只能创建和查看机器人副本。通过省略 `lex:DeleteBotReplica`，可以防止该角色删除机器人副本。有关更多信息，请参阅 [在 Lex V2 中复制机器人和管理机器人副本的权限](gr-permissions.md)。
# Amazon Lex V2 基于资源的策略示例
*基于资源的策略*将附加到诸如机器人或机器人别名等资源上。通过使用基于资源的策略，您可以指定有权访问资源的用户，以及该等用户可以对资源执行的操作。例如，您可以添加基于资源的策略，以允许用户修改特定的机器人，或者允许用户对特定的机器人别名使用运行时操作。
当您使用基于资源的策略时，您可以允许其他 AWS 服务访问您账户中的资源。例如，您可以允许 Amazon Connect 访问亚马逊 Lex V2 机器人。
要了解如何创建机器人或机器人别名，请参阅 [使用 Amazon Lex V2 机器人](building-bots.md)。
**Topics**
+ [使用控制台来指定基于资源的策略](#security_iam_resource-based-policy-examples-console)
+ [使用 API 来指定基于资源的策略](#security_iam_resource-based-policy-examples-api)
+ [允许 IAM 角色更新机器人并列出机器人别名](#security_iam_resource-based-policy-examples-allow-lex-models)
+ [允许用户与机器人进行对话](#security_iam_resource-based-policy-examples-allow-lex-runtime)
+ [允许 AWS 服务使用特定的 Amazon Lex V2 机器人](#security_iam_resource-based-policy-examples-allow-lex-connect)
## 使用控制台来指定基于资源的策略
您可以使用 Amazon Lex V2 控制台来管理您的机器人和机器人别名的基于资源的策略。您输入策略的 JSON 结构，控制台会将其与资源关联。如果已有策略与资源关联，则可以使用控制台来查看和修改该策略。
使用策略编辑器保存策略时，控制台会检查策略的句法。如果策略中存在错误，例如用户不存在或存在资源不支持的操作，则会返回错误且不会保存该策略。
下图是针对控制台中机器人的基于资源的策略编辑器。机器人别名的策略编辑器与此类似。
![\[\]](http://docs.aws.amazon.com/zh_cn/lexv2/latest/dg/images/resource-policy-editor.png)
**要打开机器人的策略编辑器，请执行以下操作：**
1. 登录 AWS 管理控制台并通过以下网址打开 Amazon Lex 控制台[https://console.aws.amazon.com/lex/](https://console.aws.amazon.com/lex/)。
1. 从**机器人**列表中，选择要编辑其策略的机器人。
1. 在**基于资源的策略**部分中，选择**编辑**。
**要打开机器人别名的策略编辑器，请执行以下操作：**
1. 登录 AWS 管理控制台并通过以下网址打开 Amazon Lex 控制台[https://console.aws.amazon.com/lex/](https://console.aws.amazon.com/lex/)。
1. 从**机器人**列表中，选择包含要编辑别名的机器人。
1. 在左侧菜单中选择**别名**，然后选择要编辑的别名。
1. 在**基于资源的策略**部分中，选择**编辑**。
## 使用 API 来指定基于资源的策略
您可以使用 API 操作来针对机器人和机器人别名管理基于资源的策略。这些操作包括创建、更新和删除策略的操作。
[CreateResourcePolicy](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_CreateResourcePolicy.html)
将带有指定策略语句的新资源策略添加到机器人或机器人别名中。
[CreateResourcePolicyStatement](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_CreateResourcePolicyStatement.html)
将新资源策略语句添加到机器人或机器人别名中。
[DeleteResourcePolicy](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_DeleteResourcePolicy.html)
从机器人或机器人别名中删除资源策略。
[DeleteResourcePolicyStatement](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_DeleteResourcePolicyStatement.html)
从机器人或机器人别名中删除资源策略语句。
[DescribeResourcePolicy](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_DescribeResourcePolicy.html)
获取资源策略和策略修订。
[UpdateResourcePolicy](https://docs.aws.amazon.com/lexv2/latest/APIReference/API_UpdateResourcePolicy.html)
将机器人或机器人别名的现有资源策略替换为新的资源策略。
### 示例
------
#### [ Java ]
以下示例说明如何使用基于资源的策略操作来管理基于资源的策略。
```
/*
* Create a new policy for the specified bot alias
* that allows a role to invoke lex:UpdateBotAlias on it.
* The created policy will have revision id 1.
*/
CreateResourcePolicyRequest createPolicyRequest =
CreateResourcePolicyRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.policy("{\"Version\": \"2012-10-17\",\"Statement\": [{\"Sid\": \"BotAliasEditor\",\"Effect\": \"Allow\",\"Principal\": {\"AWS\": \"arn:aws:iam::123456789012:role/BotAliasEditor\"},\"Action\": [\"lex:UpdateBotAlias\"],\"Resource\":[\"arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID\"]]}")
lexmodelsv2Client.createResourcePolicy(createPolicyRequest);
/*
* Overwrite the policy for the specified bot alias with a new policy.
* Since no expectedRevisionId is provided, this request overwrites the current revision.
* After this update, the revision id for the policy is 2.
*/
UpdateResourcePolicyRequest updatePolicyRequest =
UpdateResourcePolicyRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.policy("{\"Version\": \"2012-10-17\",\"Statement\": [{\"Sid\": \"BotAliasEditor\",\"Effect\": \"Deny\",\"Principal\": {\"AWS\": \"arn:aws:iam::123456789012:role/BotAliasEditor\"},\"Action\": [\"lex:UpdateBotAlias\"],\"Resource\":[\"arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID\"]]}")
lexmodelsv2Client.updateResourcePolicy(updatePolicyRequest);
/*
* Creates a statement in an existing policy for the specified bot alias
* that allows a role to invoke lex:RecognizeText on it.
* This request expects to update revision 2 of the policy. The request will fail
* if the current revision of the policy is no longer revision 2.
* After this request, the revision id for this policy will be 3.
*/
CreateResourcePolicyStatementRequest createStatementRequest =
CreateResourcePolicyStatementRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.effect("Allow")
.principal(Principal.builder().arn("arn:aws:iam::123456789012:role/BotRunner").build())
.action("lex:RecognizeText")
.statementId("BotRunnerStatement")
.expectedRevisionId(2)
.build();
lexmodelsv2Client.createResourcePolicyStatement(createStatementRequest);
/*
* Deletes a statement from an existing policy for the specified bot alias by statementId.
* Since no expectedRevisionId is supplied, the request will remove the statement from
* the current revision of the policy for the bot alias.
* After this request, the revision id for this policy will be 4.
*/
DeleteResourcePolicyRequest deleteStatementRequest =
DeleteResourcePolicyRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.statementId("BotRunnerStatement")
.build();
lexmodelsv2Client.deleteResourcePolicy(deleteStatementRequest);
/*
* Describe the current policy for the specified bot alias
* It always returns the current revision.
*/
DescribeResourcePolicyRequest describePolicyRequest =
DescribeResourcePolicyRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.build();
lexmodelsv2Client.describeResourcePolicy(describePolicyRequest);
/*
* Delete the current policy for the specified bot alias
* This request expects to delete revision 3 of the policy. Since the revision id for
* this policy is already at 4, this request will fail.
*/
DeleteResourcePolicyRequest deletePolicyRequest =
DeleteResourcePolicyRequest.builder()
.resourceArn("arn:aws:lex:Region:123456789012:bot-alias/MYBOTALIAS/TSTALIASID")
.expectedRevisionId(3);
.build();
lexmodelsv2Client.deleteResourcePolicy(deletePolicyRequest);
```
------
## 允许 IAM 角色更新机器人并列出机器人别名
以下示例授予特定 IAM 角色调用 Amazon Lex V2 模型构建 API 操作以修改现有机器人的权限。用户可以列出机器人的别名并更新机器人，但无法删除机器人或机器人别名。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "botBuilders",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::123456789012:role/BotBuilder"
},
"Action": [
"lex:ListBotAliases",
"lex:UpdateBot"
],
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot/MYBOT"
]
}
]
}
```
------
## 允许用户与机器人进行对话
以下示例授予特定用户在机器人的单个别名上调用 Amazon Lex V2 运行时 API 操作的权限。
该用户更新或删除机器人别名的权限被明确拒绝。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "botRunners",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::123456789012:user/botRunner"
},
"Action": [
"lex:RecognizeText",
"lex:RecognizeUtterance",
"lex:StartConversation",
"lex:DeleteSession",
"lex:GetSession",
"lex:PutSession"
],
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot-alias/MYBOT/MYBOTALIAS"
]
},
{
"Sid": "botRunners",
"Effect": "Deny",
"Principal": {
"AWS": "arn:aws:iam::123456789012:user/botRunner"
},
"Action": [
"lex:UpdateBotAlias",
"lex:DeleteBotAlias"
],
"Resource": [
"arn:aws:lex:us-east-1:123456789012:bot-alias/MYBOT/MYBOTALIAS"
]
}
]
}
```
------
## 允许 AWS 服务使用特定的 Amazon Lex V2 机器人
以下示例授予 AWS Lambda 和 Amazon Connect 调用 Amazon Lex V2 运行时 API 操作的权限。
条件块是服务主体所必需的，并且必须使用全局上下文键 `AWS:SourceAccount` 和 `AWS:SourceArn`。
`AWS:SourceAccount` 是调用 Amazon Lex V2 机器人的账户编号。
`AWS:SourceArn` 是引发对 Amazon Lex V2 机器人别名的调用的 Amazon Connect 服务实例或 Lambda 函数的资源 ARN。
# 适用于 Amazon Lex V2 的 AWS 托管策略
AWS 托管式策略是由 AWS 创建和管理的独立策略。AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始向用户、群组和角色分配权限。
请记住，AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。
您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新了 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、群组和角色）。当新的 AWS 托管策略发布或现有服务有新 AWS 服务 的 API 操作可用时，AWS 最有可能更新 AWS 托管策略。
有关更多信息，请参阅 IA *M 用户指南*中的 A [WS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
## AWS 托管策略： AmazonLexReadOnly
您可以将 `AmazonLexReadOnly` 策略附加到 IAM 身份。
此策略授予只读权限，允许用户查看 Amazon Lex V2 和 Amazon Lex 模型构建服务中的所有操作。
**权限详细信息**
该策略包含以下权限：
+ `lex`：模型构建服务中对 Amazon Lex V2 和 Amazon Lex 资源的只读访问权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AmazonLexReadOnlyStatement1",
"Effect": "Allow",
"Action": [
"lex:GetBot",
"lex:GetBotAlias",
"lex:GetBotAliases",
"lex:GetBots",
"lex:GetBotChannelAssociation",
"lex:GetBotChannelAssociations",
"lex:GetBotVersions",
"lex:GetBuiltinIntent",
"lex:GetBuiltinIntents",
"lex:GetBuiltinSlotTypes",
"lex:GetIntent",
"lex:GetIntents",
"lex:GetIntentVersions",
"lex:GetSlotType",
"lex:GetSlotTypes",
"lex:GetSlotTypeVersions",
"lex:GetUtterancesView",
"lex:DescribeBot",
"lex:DescribeBotAlias",
"lex:DescribeBotChannel",
"lex:DescribeBotLocale",
"lex:DescribeBotRecommendation",
"lex:DescribeBotReplica",
"lex:DescribeBotVersion",
"lex:DescribeExport",
"lex:DescribeImport",
"lex:DescribeIntent",
"lex:DescribeResourcePolicy",
"lex:DescribeSlot",
"lex:DescribeSlotType",
"lex:ListBots",
"lex:ListBotLocales",
"lex:ListBotAliases",
"lex:ListBotAliasReplicas",
"lex:ListBotChannels",
"lex:ListBotRecommendations",
"lex:ListBotReplicas",
"lex:ListBotVersions",
"lex:ListBotVersionReplicas",
"lex:ListBuiltInIntents",
"lex:ListBuiltInSlotTypes",
"lex:ListExports",
"lex:ListImports",
"lex:ListIntents",
"lex:ListRecommendedIntents",
"lex:ListSlots",
"lex:ListSlotTypes",
"lex:ListTagsForResource",
"lex:SearchAssociatedTranscripts",
"lex:ListCustomVocabularyItems"
],
"Resource": "*"
}
]
}
```
------
## AWS 托管策略： AmazonLexRunBotsOnly
您可以将 `AmazonLexRunBotsOnly` 策略附加到 IAM 身份。
该策略授予只读权限，允许运行 Amazon Lex V2 和 Amazon Lex 对话机器人。
**权限详细信息**
该策略包含以下权限：
+ `lex`：对 Amazon Lex V2 和 Amazon Lex 运行时中的所有操作的只读访问权限。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"lex:PostContent",
"lex:PostText",
"lex:PutSession",
"lex:GetSession",
"lex:DeleteSession",
"lex:RecognizeText",
"lex:RecognizeUtterance",
"lex:StartConversation"
],
"Resource": "*"
}
]
}
```
------
## AWS 托管策略： AmazonLexFullAccess
您可以将 `AmazonLexFullAccess` 策略附加到 IAM 身份。
该政策授予管理权限，允许用户创建、读取、更新和删除 Amazon Lex V2 和 Amazon Lex 资源，以及运行 Amazon Lex V2 和 Amazon Lex 对话机器人。
**权限详细信息**
该策略包含以下权限：
+ `lex`：向主体授予对 Amazon Lex V2 和 Amazon Lex 模型构建和运行时服务中的所有操作的读写权限。
+ `cloudwatch`— 允许委托人查看 Amazon CloudWatch 指标和警报。
+ `iam`：允许主体创建和删除服务相关角色、传递角色以及为角色附加和分离策略。Amazon Lex 操作的权限仅限于“lex.amazonaws.com”，而 Amazon Lex V2 操作的权限仅限于 “lexv2.amazonaws.com”。
+ `kendra`：允许主体列出 Amazon Kendra 索引。
+ `kms`：允许主体描述 AWS KMS 密钥和别名。
+ `lambda`：允许主体列出 AWS Lambda 函数并管理附加到任何 Lambda 函数的权限。
+ `polly`：允许主体描述 Amazon Polly 的声音并合成话语。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AmazonLexFullAccessStatement1",
"Effect": "Allow",
"Action": [
"cloudwatch:GetMetricStatistics",
"cloudwatch:DescribeAlarms",
"cloudwatch:DescribeAlarmsForMetric",
"kms:DescribeKey",
"kms:ListAliases",
"lambda:GetPolicy",
"lambda:ListFunctions",
"lambda:ListAliases",
"lambda:ListVersionsByFunction",
"lex:*",
"polly:DescribeVoices",
"polly:SynthesizeSpeech",
"kendra:ListIndices",
"iam:ListRoles",
"s3:ListAllMyBuckets",
"logs:DescribeLogGroups",
"s3:GetBucketLocation"
],
"Resource": [
"*"
]
},
{
"Sid": "AmazonLexFullAccessStatement2",
"Effect": "Allow",
"Action": [
"bedrock:ListFoundationModels"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"bedrock:InvokeModel"
],
"Resource": "arn:aws:bedrock:*::foundation-model/*"
},
{
"Effect": "Allow",
"Action": [
"lambda:AddPermission",
"lambda:RemovePermission"
],
"Resource": "arn:aws:lambda:*:*:function:AmazonLex*",
"Condition": {
"StringEquals": {
"lambda:Principal": "lex.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement3",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:GetRolePolicy"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lex.amazonaws.com/AWSServiceRoleForLexBots",
"arn:aws:iam::*:role/aws-service-role/channels.lex.amazonaws.com/AWSServiceRoleForLexChannels",
"arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*",
"arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*",
"arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
]
},
{
"Sid": "AmazonLexFullAccessStatement4",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lex.amazonaws.com/AWSServiceRoleForLexBots"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "lex.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement5",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/channels.lex.amazonaws.com/AWSServiceRoleForLexChannels"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "channels.lex.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement6",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "lexv2.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement7",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "channels.lexv2.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement8",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
],
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "replication.lexv2.amazonaws.com"
}
}
},
{
"Sid": "AmazonLexFullAccessStatement9",
"Effect": "Allow",
"Action": [
"iam:DeleteServiceLinkedRole",
"iam:GetServiceLinkedRoleDeletionStatus"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lex.amazonaws.com/AWSServiceRoleForLexBots",
"arn:aws:iam::*:role/aws-service-role/channels.lex.amazonaws.com/AWSServiceRoleForLexChannels",
"arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*",
"arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*",
"arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
]
},
{
"Sid": "AmazonLexFullAccessStatement10",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lex.amazonaws.com/AWSServiceRoleForLexBots"
],
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"lex.amazonaws.com"
]
}
}
},
{
"Sid": "AmazonLexFullAccessStatement11",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
],
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"lexv2.amazonaws.com"
]
}
}
},
{
"Sid": "AmazonLexFullAccessStatement12",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
],
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"channels.lexv2.amazonaws.com"
]
}
}
},
{
"Sid": "AmazonLexFullAccessStatement13",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
],
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"lexv2.amazonaws.com"
]
}
}
}
]
}
```
------
## AWS 托管策略： AmazonLexReplicationPolicy
您不能将 `AmazonLexReplicationPolicy` 附加到自己的 IAM 实体。此附加到服务相关角色的策略允许 Amazon Lex V2 代表您执行操作。有关更多信息，请参阅 [对 Amazon Lex V2 使用服务相关角色](using-service-linked-roles.md)。
该策略授予管理权限，允许 Amazon Lex V2 代表您跨区域复制 AWS 资源。您可以附加此策略以允许角色轻松复制资源，包括机器人、区域设置、版本、别名、意图、槽位类型、槽位和自定义词汇表。
**权限详细信息**
该策略包含以下权限。
+ `lex`：允许主体复制其他区域中的资源。
+ `iam`：允许主体传递 IAM 角色。这是必需的，这样 Amazon Lex V2 才有权在其他区域复制资源。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReplicationPolicyStatement1",
"Effect": "Allow",
"Action": [
"lex:BuildBotLocale",
"lex:ListBotLocales",
"lex:CreateBotAlias",
"lex:UpdateBotAlias",
"lex:DeleteBotAlias",
"lex:DescribeBotAlias",
"lex:CreateBotVersion",
"lex:DeleteBotVersion",
"lex:DescribeBotVersion",
"lex:CreateExport",
"lex:DescribeBot",
"lex:UpdateExport",
"lex:DescribeExport",
"lex:DescribeBotLocale",
"lex:DescribeIntent",
"lex:ListIntents",
"lex:DescribeSlotType",
"lex:ListSlotTypes",
"lex:DescribeSlot",
"lex:ListSlots",
"lex:DescribeCustomVocabulary",
"lex:StartImport",
"lex:DescribeImport",
"lex:CreateBot",
"lex:UpdateBot",
"lex:DeleteBot",
"lex:CreateBotLocale",
"lex:UpdateBotLocale",
"lex:DeleteBotLocale",
"lex:CreateIntent",
"lex:UpdateIntent",
"lex:DeleteIntent",
"lex:CreateSlotType",
"lex:UpdateSlotType",
"lex:DeleteSlotType",
"lex:CreateSlot",
"lex:UpdateSlot",
"lex:DeleteSlot",
"lex:CreateCustomVocabulary",
"lex:UpdateCustomVocabulary",
"lex:DeleteCustomVocabulary",
"lex:DeleteBotChannel",
"lex:ListTagsForResource",
"lex:TagResource",
"lex:UntagResource",
"lex:CreateResourcePolicy",
"lex:DeleteResourcePolicy",
"lex:DescribeResourcePolicy",
"lex:UpdateResourcePolicy"
],
"Resource": [
"arn:aws:lex:*:*:bot/*",
"arn:aws:lex:*:*:bot-alias/*"
]
},
{
"Sid": "ReplicationPolicyStatement2",
"Effect": "Allow",
"Action": [
"lex:CreateUploadUrl",
"lex:ListBots"
],
"Resource": "*"
},
{
"Sid": "ReplicationPolicyStatement3",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": "lexv2.amazonaws.com"
}
}
}
]
}
```
------
## AWS 托管策略： AmazonLexV2 BedrockAgentPolicy
适用于亚马逊 Bedrock 代理的 Amazon Lex V2 政策
响应
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Sid": "LexV2TrustPolicy",
"Principal": {
"Service": "lexv2.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{accountId}"
}
}
}
]
}
```
------
## AWS 托管策略： AmazonLexV2 BedrockKnowledgeBasePolicy
适用于亚马逊 Bedrock 知识库的 Amazon Lex V2 政策
响应
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Sid": "LexV2TrustPolicy",
"Principal": {
"Service": "lexv2.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{accountId}"
}
}
}
]
}
```
------
## AWS 托管策略： AmazonLexV2 BedrockAgentPolicyInternal
适用于亚马逊 Bedrock 代理的 Amazon Lex V2 内部政策
响应
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Sid": "LexV2InternalTrustPolicy",
"Principal": {
"Service": "lexv2.aws.internal"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{accountId}"
}
}
}
]
}
```
------
## AWS 托管策略： AmazonLexV2 BedrockKnowledgeBasePolicyInternal
亚马逊 Lex V2 亚马逊基岩知识库内部政策
响应
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "LexV2InternalTrustPolicy",
"Effect": "Allow",
"Principal": {
"Service": "lexv2.aws.internal"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{accountId}"
}
}
}
]
}
```
------
## Amazon Lex V2 更新了 AWS 托管策略
查看自 Amazon Lex V2 的 AWS 托管策略开始跟踪这些变更以来该服务更新的详细信息。要获得有关此页面更改的自动提示，请订阅 Amazon Lex V2 [Amazon Lex V2 文档历史记录](doc-history.md) 页面上的 RSS 源。
| 更改 | 描述 | 日期 |
| --- | --- | --- |
| [AmazonLexReplicationPolicy](#security-iam-awsmanpol-AmazonLexReplicationPolicy) - 更新的策略 | Amazon Lex V2 更新了政策，允许复制标签和。 ResourceBasedPolicy | 2025 年 6 月 24 日 |
| [AmazonLexV2 BedrockKnowledgeBasePolicyInternal](#security-iam-awsmanpol-AmazonLexV2BedrockKnowledgeBasePolicyInternal) — 新政策 | Amazon Lex V2 添加了一项新策略，允许复制 Amazon Bedrock 知识库资源。 | 2024 年 8 月 30 日 |
| [AmazonLexV2 BedrockAgentPolicyInternal](#security-iam-awsmanpol-AmazonLexV2BedrockAgentPolicyInternal) — 新政策 | Amazon Lex V2 添加了一项新策略，允许复制 Amazon Bedrock 代理资源。 | 2024 年 8 月 30 日 |
| [AmazonLexV2 BedrockKnowledgeBasePolicy](#security-iam-awsmanpol-AmazonLexV2BedrockKnowledgeBasePolicy) — 新政策 | Amazon Lex V2 添加了一项新策略，允许复制 Amazon Bedrock 知识库资源。 | 2024 年 8 月 30 日 |
| [AmazonLexV2 BedrockAgentPolicy](#security-iam-awsmanpol-AmazonLexV2BedrockAgentPolicy) — 新政策 | Amazon Lex V2 添加了一项新策略，允许复制 Amazon Bedrock 代理资源。 | 2024 年 8 月 30 日 |
| [AmazonLexReadOnly](#security-iam-awsmanpol-AmazonLexReadOnly)：对现有策略的更新 | Amazon Lex V2 添加了新权限，允许对机器人资源的副本进行只读访问。 | 2024 年 5 月 10 日 |
| [AmazonLexFullAccess](#security-iam-awsmanpol-AmazonLexFullAccess)：对现有策略的更新 | Amazon Lex V2 添加了新权限，允许将机器人资源复制到其他区域。 | 2024 年 4 月 16 日 |
| [AmazonLexFullAccess](#security-iam-awsmanpol-AmazonLexFullAccess)：对现有策略的更新 | Amazon Lex V2 添加了新权限，允许将机器人资源复制到其他区域。 | 2024 年 1 月 31 日 |
| [AmazonLexReplicationPolicy](#security-iam-awsmanpol-AmazonLexReplicationPolicy)：新策略 | Amazon Lex V2 添加了一项新策略，允许将机器人资源复制到其他区域。 | 2024 年 1 月 31 日 |
| [AmazonLexReadOnly](#security-iam-awsmanpol-AmazonLexReadOnly)：对现有策略的更新 | Amazon Lex V2 添加了新权限，允许对自定义词汇项目列表进行只读访问。 | 2022 年 11 月 29 日 |
| [AmazonLexFullAccess](#security-iam-awsmanpol-AmazonLexFullAccess)：对现有策略的更新 | Amazon Lex V2 添加了新的权限，允许对 Amazon Lex V2 模型构建服务操作进行只读访问。 | 2021 年 8 月 18 日 |
| [AmazonLexReadOnly](#security-iam-awsmanpol-AmazonLexReadOnly) – 对现有策略的更新 | Amazon Lex V2 添加了新的权限，允许对 Amazon Lex V2 自动聊天机器人设计器操作进行只读访问。 | 2021 年 12 月 1 日 |
| [AmazonLexFullAccess](#security-iam-awsmanpol-AmazonLexFullAccess)：对现有策略的更新 | Amazon Lex V2 添加了新的权限，允许对 Amazon Lex V2 模型构建服务操作进行只读访问。 | 2021 年 8 月 18 日 |
| [AmazonLexReadOnly](#security-iam-awsmanpol-AmazonLexReadOnly) – 对现有策略的更新 | Amazon Lex V2 添加了新的权限，允许对 Amazon Lex V2 模型构建服务操作进行只读访问。 | 2021 年 8 月 18 日 |
| [AmazonLexRunBotsOnly](#security-iam-awsmanpol-AmazonLexRunBotsOnly) – 对现有策略的更新 | Amazon Lex V2 添加了新的权限，允许对 Amazon Lex V2 运行时服务操作进行只读访问。 | 2021 年 8 月 18 日 |
| Amazon Lex V2 开始跟踪更改 | Amazon Lex V2 开始跟踪其 AWS 托管策略的变更。 | 2021 年 8 月 18 日 |
# 对 Amazon Lex V2 使用服务相关角色
Amazon Lex V2 使用 AWS 身份和访问管理 (IAM) [服务相关](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)角色。服务相关角色是一种独特类型的 IAM 角色，与 Amazon Lex V2 直接相关。服务相关角色由 Amazon Lex V2 预定义，包括该服务代表您调用其他 AWS 服务所需的所有权限。
服务相关角色可让您更轻松地设置 Amazon Lex V2，因为您不必手动添加必要的权限。Amazon Lex V2 定义其服务相关角色的权限，并且除非另有其他定义，否则只有 Amazon Lex V2 可以代入该角色。定义的权限包括信任策略和权限策略，而且权限策略不能附加到任何其他 IAM 实体。
有关支持服务关联的角色的其他服务的信息，请参阅[与 IAM 配合使用的亚马逊云科技服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并查找 **服务相关角色（Service-Linked Role）**列设为 **Yes**（是）的服务。选择**是**，可转到查看该服务的服务相关角色文档的链接。
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅《IAM 用户指南》**中的[服务关联角色权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
只有在先删除相关资源后，才能删除服务相关角色。这样可保护您的 Amazon Lex V2 资源，因为可避免您无意中删除对资源的访问权限。
**Topics**
+ [为 Amazon Lex V2 创建服务相关角色](#create-slr)
+ [为 Amazon Lex V2 编辑服务相关角色](#edit-slr)
+ [为 Amazon Lex V2 删除服务相关角色](#delete-slr)
+ [Amazon Lex V2 的服务相关角色权限](#slr-permissions)
+ [Amazon Lex V2 服务相关角色支持的区域](#slr-regions)
## 为 Amazon Lex V2 创建服务相关角色
您无需手动创建服务相关角色，因为当您在 AWS 管理控制台、AWS CLI 或 AWS API 中执行相关操作（请参阅了解[Amazon Lex V2 的服务相关角色权限](#slr-permissions)更多信息）时，Amazon Lex V2 会为您创建服务相关角色。
如果您删除此服务相关角色，然后需要再次创建角色，可以使用相同流程在账户中创建新角色。
## 为 Amazon Lex V2 编辑服务相关角色
Amazon Lex V2 不允许您编辑服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。不过，您可以使用 IAM 编辑角色的说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 为 Amazon Lex V2 删除服务相关角色
如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，必须先清除服务相关角色的资源，然后才能手动删除它。
**注意**
如果当您试图删除资源时 Amazon Lex V2 服务正在使用该角色，则删除操作可能会失败。如果发生这种情况，请等待几分钟后重试。
要查看在 Amazon Lex V2 中删除特定服务相关角色的资源的步骤，请参阅[Amazon Lex V2 的服务相关角色权限](#slr-permissions)中特定于该角色的章节。
**使用 IAM 手动删除服务相关角色**
删除与服务相关角色相关的资源后，使用 IAM 控制台、AWS CLI 或 AWS API 删除该角色。有关更多信息，请参见《IAM 用户指南》**中的[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
## Amazon Lex V2 的服务相关角色权限
Amazon Lex V2 使用具有以下前缀的服务相关角色。
**Topics**
+ [AWSServiceRoleForLexV2Bots\$1](#slr-bots)
+ [AWSServiceRoleForLexV2Channels\$1](#slr-channels)
+ [AWSServiceRoleForLexV2复制](#slr-replication)
### AWSServiceRoleForLexV2Bots\$1
AWSServiceRoleForLexV2Bots\$1 角色授予将您的机器人连接到其他所需服务的权限。此角色包括允许 lexv2.amazonaws.com 服务代入该角色的信任策略，并包括执行以下操作的权限。
+ 使用 Amazon Polly 在该操作支持的所有 Amazon Lex V2 资源上合成语音。
+ 如果将机器人配置为使用 Amazon Comprehend 情绪分析，则在该操作支持的所有 Amazon Lex V2 资源上检测情绪。
+ 如果将机器人配置为在 S3 存储桶中存储音频日志，则将对象放入指定的存储桶中。
+ 如果将机器人配置为存储音频和文本日志，则在指定日志组中创建日志流并且将日志放入该指定日志组。
+ 如果将机器人配置为使用 AWS KMS 密钥加密数据，请生成特定的数据密钥。
+ 如果将机器人配置为使用 `KendraSearchIntent` 意图，则查询对指定 Amazon Kendra 索引的访问权限。
**创建角色**
[每次创建机器人时，Amazon Lex AWSService RoleForLex V2 都会在您的账户中创建一个带有随机后缀的新 V2Bots\$1 角色。](create-bot.md)当您向机器人添加其他功能时，Amazon Lex V2 会修改该角色。例如，如果您[将 Amazon Comprehend 情绪分析添加到机器人中](sentiment.md)，Amazon Lex V2 会向该服务角色添加 `lex:DetectSentiment` 操作的权限。
**删除角色**
1. 登录 AWS 管理控制台并通过以下网址打开 Amazon Lex 控制台[https://console.aws.amazon.com/lex/](https://console.aws.amazon.com/lex/)。
1. 从左侧导航窗格中，选择**机器人**，然后选择要删除其服务相关角色的机器人。
1. 选择机器人的任意版本。
1. **IAM 权限运行时角色**位于**版本详细信息**中。
1. 返回到**机器人**页面，选择要删除的机器人旁边的单选按钮。
1. 选择**操作**，然后选择**删除**。
1. 请按照[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)上的步骤删除 IAM 角色。
### AWSServiceRoleForLexV2Channels\$1
AWSServiceRoleForLexV2Channels\$1 角色允许在账户中列出机器人以及为机器人调用对话 APIs 。此角色包括允许 channels.lexv2.amazonaws.com 服务代入该角色的信任策略。如果将机器人配置为使用通道与消息服务通信，则 AWSService RoleForLex V2Channels\$1 角色权限策略允许 Amazon Lex V2 完成以下操作。
+ 列出账户中所有机器人的权限。
+ 识别文本、获取会话并将会话权限附加到指定的机器人别名。
**创建角色**
当您创建频道集成以在消息收发平台上部署机器人时，Amazon Lex V2 会在您的账户中为每个频道创建一个带有随机后缀的新服务相关角色。
**删除角色**
1. 登录 AWS 管理控制台并通过以下网址打开 Amazon Lex 控制台[https://console.aws.amazon.com/lex/](https://console.aws.amazon.com/lex/)。
1. 从左侧导航窗格中选择**机器人**。
1. 选择一个机器人。
1. 从左侧导航窗格中的**部署**下选择**频道集成**。
1. 选择要删除其服务相关角色的频道。
1. **IAM 权限运行时角色**位于**常规配置**中
1. 选择**删除**，然后再次选择**删除**以删除该频道。
1. 请按照[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)上的步骤删除 IAM 角色。
### AWSServiceRoleForLexV2复制
AWSServiceRoleForLexV2Replication 角色允许在第二个区域复制机器人。该角色包括允许复制.lexv2.amazonaws.com 服务担任该角色的信任策略，还包括允许执行以下操作的 AW [AmazonLexReplicationPolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AmazonLexReplicationPolicy)S 托管策略。
+ 将机器人 IAM 角色传递给副本机器人，为副本机器人复制相应权限。
+ 在其他区域创建并管理机器人和机器人资源（版本、别名、意图、插槽、自定义词汇表等）。
**创建角色**
当您为机器人启用全球弹性时，Amazon Lex V2 会在您的账户中创建与 AWSService RoleForLex V2Replication 服务相关的角色。确保拥有正确的[权限](gr-permissions.md)，以授予 Amazon Lex V2 服务创建服务相关角色的权限。
**删除 V2 AWSService RoleForLex Replication 使用的 Amazon Lex V2 资源，以便您可以删除该角色**
1. 登录 AWS 管理控制台并通过以下网址打开 Amazon Lex 控制台[https://console.aws.amazon.com/lex/](https://console.aws.amazon.com/lex/)。
1. 选择已启用 Global Resiliency 的机器人。
1. 在**部署**下选择 **Global Resiliency**。
1. 选择**禁用 Global Resiliency**。
1. 对所有启用了 Global Resiliency 的机器人重复该过程。
1. 请按照[删除服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)上的步骤删除 IAM 角色。
## Amazon Lex V2 服务相关角色支持的区域
Amazon Lex V2 支持在该服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅 [AWS 区域和端点](https://docs.aws.amazon.com/general/latest/gr/rande.html)。
# Amazon Lex V2 身份和访问问题排查
您可以使用以下信息来帮助诊断和修复在使用 Amazon Lex V2 和 IAM 时可能遇到的常见问题。
**Topics**
+ [我无权在 Amazon Lex V2 中执行操作](#security_iam_troubleshoot-no-permissions)
+ [我无权执行 iam：PassRole](#security_iam_troubleshoot-passrole)
+ [我是管理员并需要允许其他人访问 Amazon Lex V2](#security_iam_troubleshoot-admin-delegate)
+ [对用户授予编程访问权限](#security_iam_programmatic_access)
+ [我想允许我的 AWS 账户之外的人访问我的 Amazon Lex V2 资源](#security_iam_troubleshoot-cross-account-access)
## 我无权在 Amazon Lex V2 中执行操作
如果 AWS 管理控制台告诉您无权执行某项操作，则必须联系管理员寻求帮助。管理员是向您提供登录凭证的人。
当 `mateojackson` IAM 用户尝试使用控制台查看有关虚构 `my-example-widget` 资源的详细信息，但不拥有虚构 `lex:GetWidget` 权限时，会发生以下示例错误。
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: lex:GetWidget on resource: my-example-widget
```
在这种情况下，Mateo 请求他的管理员更新其策略，以允许他使用 `lex:GetWidget` 操作访问 `my-example-widget` 资源。
## 我无权执行 iam：PassRole
如果您收到一个错误，指明您无权执行 `iam:PassRole` 操作，则必须更新您的策略以允许您将角色传递给 Amazon Lex V2。
有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。
当名为 `marymajor` 的 IAM 用户尝试使用控制台在 Amazon Lex V2 中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在这种情况下，必须更新 Mary 的策略以允许她执行 `iam:PassRole` 操作。
如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。
## 我是管理员并需要允许其他人访问 Amazon Lex V2
要允许其他人访问 Amazon Lex V2，您必须向需要访问的人员或应用程序授予权限。如果使用 AWS IAM Identity Center 管理人员和应用程序，则可以向用户或组分配权限集来定义其访问权限级别。权限集会自动创建 IAM 策略并将其分配给与人员或应用程序关联的 IAM 角色。有关更多信息，请参阅《AWS IAM Identity Center 用户指南》**中的[权限集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。
如果未使用 IAM Identity Center，则必须为需要访问的人员或应用程序创建 IAM 实体（用户或角色）。然后，您必须将策略附加到该实体，以便在 Amazon Lex V2 中为其授予正确的权限。授予权限后，向用户或应用程序开发人员提供凭证。他们将使用这些证书访问 AWS。要了解有关创建 IAM 用户、组、策略和权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 身份](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)和 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
## 对用户授予编程访问权限
有关如何获取访问密钥 ID 和私有访问密钥的信息，请参阅 [AWS 一般参考中的了解和获取您的 AWS 证书](https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#access-keys-and-secret-access-keys)。
## 我想允许我的 AWS 账户之外的人访问我的 Amazon Lex V2 资源
您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。
要了解更多信息，请参阅以下内容：
+ 要了解 Amazon Lex V2 是否支持这些功能，请参阅 [Amazon Lex V2 如何与 IAM 协同工作](security_iam_service-with-iam.md)。
+ 要了解如何提供对您拥有的资源的访问权限 AWS 账户 ，请参阅 [IAM 用户*指南中的向您拥有 AWS 账户 的另一个 IAM 用户*提供访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)权限。
+ 要了解如何向第三方提供对您的资源的访问[权限 AWS 账户，请参阅 *IAM 用户指南*中的向第三方提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)访问权限。 AWS 账户
+ 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（身份联合验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。
+ 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。