终止支持通知： AWS 将于 2024 年 10 月 22 日停止对亚马逊 Nimble Studio 的支持。2024 年 10 月 22 日之后，你将无法再访问 Nimble Studio 主机或 Nimble Studio 资源。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 适用于 Amazon Nimble Studio 的基于身份的策略示例
<a name="security-iam-id-based-policy-examples"></a>

默认情况下，用户和角色没有创建或修改 Nimble Studio 资源的权限。他们也无法使用 AWS 管理控制台 AWS CLI、或 AWS API 执行任务。管理员必须创建 IAM policy，以便为用户和角色授予权限，以对所需资源执行操作。然后，管理员必须将这些策略附加到需要这些权限的用户或组。

要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》中的[在 JSON 选项卡上创建策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。

**Topics**
+ [策略最佳实践](#security-iam-service-with-iam-policy-best-practices)

## 策略最佳实践
<a name="security-iam-service-with-iam-policy-best-practices"></a>

基于身份的策略非常强大。它们确定某个人是否可以创建、访问或删除您账户中的 Nimble Studio 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：
+  **开始使用 AWS 托管策略** — 要快速开始使用 Nimble Studio，请使用 AWS 托管策略为员工提供所需的权限。这些策略已在您的账户中提供，并由 AWS维护和更新。有关更多信息，请参阅 IAM 用户指南中的[使用 AWS 托管策略的权限入门](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-use-aws-defined-policies)。
+  **授予最低权限**：创建自定义策略时，仅授予执行任务所需的许可。最开始只授予最低权限，然后根据需要授予其它权限。这样做比起一开始就授予过于宽松的权限而后再尝试收紧权限来说更为安全。有关更多信息，请参阅 **IAM 用户指南** 中的[授予最低权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege)。
+  **为敏感操作启用 MFA**：为增强安全性，要求用户使用多重身份验证 (MFA) 来访问敏感资源或 API 操作。要了解更多信息，请参阅《IAM 用户指南》中的[在 AWS中使用多重身份验证 (MFA)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html)。
+  **使用策略条件来增强安全性**：在切实可行的范围内，定义基于身份的策略允许访问资源的条件。例如，您可编写条件来指定请求必须来自允许的 IP 地址范围。您也可以编写条件，以便仅允许指定日期或时间范围内的请求，或者要求使用 SSL 或 MFA。有关更多信息，请参阅《IAM 用户指南》中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。