Amazon FSx 的操作、资源和条件键
Amazon FSx（服务前缀:fsx）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
Amazon FSx 定义的 API 操作
下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。
| 操作 | IAM 操作 | 条件键 | 可能的值 | 访问级别 |
|---|---|---|---|---|
|
AssociateFileSystemAliases |
写入 |
|||
|
CancelDataRepositoryTask |
写入 |
|||
|
CopyBackup |
写入 |
|||
标记、写作 |
||||
|
CopySnapshotAndUpdateVolume |
写入 |
|||
|
CreateAndAttachS3AccessPoint |
写入 |
|||
|
CreateBackup |
写入 |
|||
标记、写作 |
||||
|
CreateDataRepositoryAssociation |
写入 |
|||
标记、写作 |
||||
|
CreateDataRepositoryTask |
写入 |
|||
标记、写作 |
||||
|
CreateFileCache |
写入 |
|||
写入 |
||||
标记、写作 |
||||
|
CreateFileSystem |
写入 |
|||
标记、写作 |
||||
|
CreateFileSystemFromBackup |
写入 |
|||
标记、写作 |
||||
|
CreateSnapshot |
写入 |
|||
标记、写作 |
||||
|
CreateStorageVirtualMachine |
写入 |
|||
标记、写作 |
||||
|
CreateVolume |
写入 |
|||
标记、写作 |
||||
|
CreateVolumeFromBackup |
写入 |
|||
标记、写作 |
||||
|
DeleteBackup |
写入 |
|||
|
DeleteDataRepositoryAssociation |
写入 |
|||
|
DeleteFileCache |
写入 |
|||
写入 |
||||
|
DeleteFileSystem |
写入 |
|||
写入 |
||||
标记、写作 |
||||
|
DeleteSnapshot |
写入 |
|||
|
DeleteStorageVirtualMachine |
写入 |
|||
|
DeleteVolume |
权限管理，写入 |
|||
写入 |
||||
标记、写作 |
||||
|
DescribeBackups |
读取 |
|||
|
DescribeDataRepositoryAssociations |
读取 |
|||
|
DescribeDataRepositoryTasks |
读取 |
|||
|
DescribeFileCaches |
读取 |
|||
|
DescribeFileSystemAliases |
读取 |
|||
|
DescribeFileSystems |
读取 |
|||
|
DescribeS3AccessPointAttachments |
读取 |
|||
|
DescribeSharedVpcConfiguration |
读取 |
|||
|
DescribeSnapshots |
读取 |
|||
|
DescribeStorageVirtualMachines |
读取 |
|||
|
DescribeVolumes |
读取 |
|||
|
DetachAndDeleteS3AccessPoint |
写入 |
|||
|
DisassociateFileSystemAliases |
写入 |
|||
|
ListTagsForResource |
读取 |
|||
|
ReleaseFileSystemNfsV3Locks |
写入 |
|||
|
RestoreVolumeFromSnapshot |
写入 |
|||
|
StartMisconfiguredStateRecovery |
写入 |
|||
|
TagResource |
标记、写作 |
|||
|
UntagResource |
标记、写作 |
|||
|
UpdateDataRepositoryAssociation |
写入 |
|||
|
UpdateFileCache |
写入 |
|||
|
UpdateFileSystem |
写入 |
|||
|
UpdateSharedVpcConfiguration |
写入 |
|||
|
UpdateSnapshot |
写入 |
|||
|
UpdateStorageVirtualMachine |
写入 |
|||
|
UpdateVolume |
写入 |
Amazon FSx 定义的操作
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予将 DNS 别名与 Amazon FSx for Windows File Server 文件系统关联的权限 |
写入 |
|||
授予取消数据存储库任务的权限 |
写入 |
|||
授予复制备份的权限 |
写入 |
|||
授予使用另一个 Amazon FSx for OpenZFS 文件系统快照来更新现有卷的权限 |
写入 |
|||
授予权限以创建 S3 接入点并将其附加到 FSx 文件系统 |
写入 |
|||
授予创建 Amazon FSx 文件系统或 Amazon FSx 卷的新备份的权限 |
写入 |
|||
授予权限以为 Amazon FSx for Lustre 文件系统创建新的数据存储库关联 |
写入 |
|||
授予权限以为 Amazon FSx for Lustre 文件系统创建新的数据存储库任务 |
写入 |
|||
授予创建新的空 Amazon 文件缓存的权限 |
写入 |
|||
授予权限以创建新的空 Amazon FSx 文件系统 |
写入 |
|||
授予权限以从现有备份中创建新的 Amazon FSx 文件系统 |
写入 |
|||
授予权限以在卷上创建新快照 |
写入 |
|||
授予权限以在 Amazon FSx 适用于 Ontap 文件系统中创建新的存储虚拟机 |
写入 |
|||
授予权限以新建卷 |
写入 |
|||
授予权限以创建新的备份卷 |
写入 |
|||
授予权限以删除备份，从而删除其内容。在删除后，备份不再存在并且其数据不再可用 |
写入 |
|||
授予权限以删除数据存储库关联 |
写入 |
|||
授予删除文件缓存、删除其内容的权限 |
写入 |
|||
授予删除文件系统，从而删除其内容以及文件系统的任何现有自动备份的权限 |
写入 |
|||
授予权限以删除卷上的快照 |
写入 |
|||
授予删除存储虚拟机以删除其内容的权限 |
写入 |
|||
授予删除卷以及删除其内容和卷的任何现有自动备份的权限 |
写入 |
|||
授予在您调用的终端节点 AWS 账户 中返回您拥有的所有备份描述 AWS 区域 的权限 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有数据存储库关联描述 AWS 区域 的权限 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有数据存储库任务描述 AWS 区域 的权限 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有文件缓存描述 AWS 区域 的权限 |
读取 |
|||
授予权限以返回 Amazon FSx for Windows File Server 文件系统拥有的所有 DNS 别名的描述 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有文件系统的描述 AWS 区域 的权限 |
读取 |
|||
授予权限以返回 S3 接入点连接的描述 |
读取 |
|||
授予返回您账户中是否允许从参与者账户更新 FSx 路由表的描述的权限 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有快照 AWS 区域 的描述的权限 |
读取 |
|||
授予在您调用的终端节点 AWS 账户 中返回您拥有的所有存储虚拟机的描述 AWS 区域 的权限 |
读取 |
|||
授予在你正在调用的终端节点 AWS 账户 中返回你拥有的所有卷描述 AWS 区域 的权限 |
读取 |
|||
授予权限以将 S3 接入点从 Amazon FSx 文件系统分离，并删除 S3 接入点 |
写入 |
|||
授予权限以将文件系统别名与 Amazon FSx for Windows File Server 文件系统取消关联 |
写入 |
|||
授予权限以列出 Amazon FSx 资源的标签 |
读取 |
|||
授予解除文件系统 NFS V3 锁的权限 |
写入 |
|||
授予从快照恢复卷状态的权限 |
写入 |
|||
授予权限以启动配置错误的状态恢复 |
写入 |
|||
授予权限以标记 Amazon FSx 资源 |
标记、写作 |
|||
授予权限以从 Amazon FSx 资源中删除标签 |
标记、写作 |
|||
授予权限以更新数据存储库关联配置 |
写入 |
|||
授予更新文件缓存配置的权限 |
写入 |
|||
授予权限以更新文件系统的配置 |
写入 |
|||
授予为您账户中的参与者账户启用或禁用 FSx 路由表更新的权限 |
写入 |
|||
授予权限以更新快照配置 |
写入 |
|||
授予权限以更新存储虚拟机配置 |
写入 |
|||
授予权限以更新卷配置 |
写入 |
Permission-only 亚马逊 FSx 的操作
以下操作由 Amazon FSx 定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予将文件网关实例与 Amazon FSx for Windows File Server 文件系统关联的权限 |
写入 |
|||
授予允许删除包含具有有效保留期的 WORM（一次写入，多次读取）文件的 FSx for ONTAP En SnapLock terprise 卷的权限 |
权限管理，写入 |
|||
授予 AWS 通过 Resource Access Manager (RAM) 管理 FSx 卷跨账户共享的权限。 PutResourcePolicy 而且 GetResourcePolicy 也是必需的 |
权限管理，写入 |
|||
授予描述与 Amazon FSx for Windows File Server 文件系统关联的文件网关实例的权限 |
读取 |
|||
授予取消文件网关实例与 Amazon FSx for Windows File Server 文件系统关联的权限 |
写入 |
|||
授予 AWS 通过 Resource Access Manager (RAM) 管理 FSx 卷跨账户共享的权限。 PutResourcePolicy 而且 DeleteResourcePolicy 也是必需的 |
权限管理，写入 |
|||
授予通过 AWS Backup 管理备份主体关联的权限 |
权限管理，写入 |
|||
授予 AWS 通过 Resource Access Manager (RAM) 管理 FSx 卷跨账户共享的权限。 DeleteResourcePolicy 而且 GetResourcePolicy 也是必需的 |
权限管理，写入 |
Amazon FSx 定义的资源类型
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: association/$ {} /$ {} FileSystemIdOrFileCacheId DataRepositoryAssociationId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: backup/$ {} BackupId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: file-cache/$ {} FileCacheId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: file-system/$ {} FileSystemId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: snapshot/$ {} /$ {} /$ {} VolumeId SnapshotId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: storage-virtual-Machine/$ {} /$ {} /$ {} FileSystemId StorageVirtualMachineId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: task/$ {} TaskId |
||
arn: $ {Partition}: fsx: $ {Region}: $ {Account}: volume/$ {} /$ {} FileSystemId VolumeId |
Amazon FSx 的条件键
Amazon FSx 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
按请求中传递的标签筛选访问权限 |
字符串 |
|
按与资源关联的标签筛选访问权限 |
字符串 |
|
按请求中传递的标签键筛选访问权限 |
ArrayOfString |
|
根据备份是否为 CopyBackup 操作的目标备份来筛选访问权限 |
布尔型 |
|
根据备份是否为 CopyBackup 操作的源备份来筛选访问权限 |
布尔型 |
|
按支持身份验证的 NFS 数据存储库筛选访问 |
布尔型 |
|
按支持传输中加密的 NFS 数据存储库筛选访问 |
布尔型 |
|
按包含父级卷筛选访问权限，以便改变卷操作 |
字符串 |
|
筛选包含存储虚拟机对卷的访问权限，以便改变卷操作 |
字符串 |
