AWS的托管策略AWS RAM - AWS Resource Access Manager
AWSResourceAccessManagerReadOnlyAccessAWSResourceAccessManagerFullAccessAWSResourceAccessManagerResourceShareParticipantAccessAWSResourceAccessManagerServiceRolePolicy策略更新

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS的托管策略AWS RAM

AWS Resource Access Manager目前提供了几个AWS RAM托管策略，本主题将对此进行介绍。

在上面的列表中，您可以将前三个策略附加到您的 IAM 角色、组和用户以授予权限。列表中的最后一个策略是为AWS RAM服务的服务相关角色保留的。

AWS托管策略是由创建和管理的独立策略AWS。AWS托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住，AWS托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有AWS客户使用。我们建议通过定义特定于使用案例的客户管理型策略来进一步减少权限。

您无法更改AWS托管策略中定义的权限。如果AWS更新AWS托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。AWS最有可能在启动新的 API 或现有服务可以使用新AWS 服务的 API 操作时更新AWS托管策略。

有关更多信息，请参阅《IAM 用户指南》中的 AWS托管式策略。

AWS托管策略： AWSResourceAccessManagerReadOnlyAccess

您可以将 AWSResourceAccessManagerReadOnlyAccess 策略附加到 IAM 身份。

此策略为您的AWS 账户所拥有的资源共享提供只读权限。

方法为：授予运行任何 Get* 或 List* 操作的权限。它不提供修改任何资源共享的任何功能。

权限详细信息

该策略包含以下权限。

  • ram - 允许主体查看有关账户拥有的资源共享的详细信息。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "ram:Get*",
                "ram:List*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS托管策略： AWSResourceAccessManagerFullAccess

您可以将 AWSResourceAccessManagerFullAccess 策略附加到 IAM 身份。

此策略提供查看或修改您拥有的资源共享的完全管理权限AWS 账户。

方法为：授予运行任何 ram 操作的权限。

权限详细信息

该策略包含以下权限。

  • ram - 允许主体查看或修改有关AWS 账户所拥有的资源共享的任何信息。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "ram:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS托管策略： AWSResourceAccessManagerResourceShareParticipantAccess

您可以将 AWSResourceAccessManagerResourceShareParticipantAccess 策略附加到 IAM 身份。

该政策使委托人能够接受或拒绝与此共享的资源共享AWS 账户，以及查看有关这些资源共享的详细信息。它不提供修改这些资源共享的任何功能。

方法为：授予运行一些 ram 操作的权限。

权限详细信息

该策略包含以下权限。

  • ram - 允许主体接受或拒绝资源共享邀请，以及查看有关与账户共享的资源共享的详细信息。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:GetResourcePolicies",
                "ram:GetResourceShareInvitations",
                "ram:GetResourceShares",
                "ram:ListPendingInvitationResources",
                "ram:ListPrincipals",
                "ram:ListResources",
                "ram:RejectResourceShareInvitation"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS托管策略： AWSResourceAccessManagerServiceRolePolicy

AWS托管策略AWSResourceAccessManagerServiceRolePolicy只能与的服务相关角色一起使用。AWS RAM您不能附加、分离、修改或删除此策略。

此政策AWS RAM提供对组织结构的只读访问权限。启用AWS RAM和之间的集成后AWS Organizations，AWS RAM会自动创建一个名为的服务相关角色 AWSServiceRoleForResourceAccessManager，当服务需要查找有关您的组织及其帐户的信息时（例如，当您在AWS RAM控制台中查看组织结构时），该角色将代入该角色。

方法为：授予只读权限来运行 organizations:Describe 和 organizations:List 操作，以提供组织结构和账户的详细信息。

权限详细信息

该策略包含以下权限。

  • organizations - 允许主体查看有关组织结构的信息，包括组织单位及其包含的AWS 账户。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:ListAccounts",
                "organizations:ListAccountsForParent",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListRoots"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowDeletionOfServiceLinkedRoleForResourceAccessManager",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/ram.amazonaws.com/*"
            ]
        }
    ]
}

AWS RAMAWS托管策略的更新

查看AWS RAM自该服务开始跟踪这些更改以来AWS托管策略更新的详细信息。要获得有关此页面更改的自动提醒，请订阅 “AWS RAM文档历史记录” 页面上的 RSS feed。

更改 描述 日期

AWS Resource Access Manager开始跟踪更改

AWS RAM记录了其现有的托管策略并开始跟踪更改。

 2021 年 9 月 16 日