要获得与亚马逊 Timestream 类似的功能 LiveAnalytics，可以考虑适用于 InfluxDB 的亚马逊 Timestream。适用于 InfluxDB 的 Amazon Timestream 提供简化的数据摄取和个位数毫秒级的查询响应时间，以实现实时分析。点击[此处](https://docs.aws.amazon.com//timestream/latest/developerguide/timestream-for-influxdb.html)了解更多信息。 本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 适用于 InfluxDB 的 Amazon Timestream 的 Identity and Access Management AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以通过*身份验证*（登录）和*授权*（具有权限）使用适用于 InfluxDB 的 Timestream 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [使用身份进行身份验证](#security_iam_authentication) + [使用策略管理访问](#security_iam_access-manage) + [适用于 InfluxDB 的 Amazon Timestream 如何与 IAM 配合使用](security_iam_service-with-iam-influxb.md) + [适用于 InfluxDB 的 Amazon Timestream 基于身份的策略示例](security_iam_id-based-policy-examples-influxb.md) + [适用于 InfluxDB 的 Amazon Timestream 身份和访问问题排查](security_iam_troubleshoot-influxdb.md) + [控制 VPC 中数据库实例的访问权限](timestream-for-influxdb-controlling-access.md) + [将服务相关角色用于适用于 InfluxDB 的 Amazon Timestream](using-service-linked-roles.md) + [AWS 适用于 InfluxDB 的 Amazon Timestream 的托管策略](security-iam-awsmanpol-influxdb.md) + [通过 VPC 端点连接到适用于 InfluxDB 的 Timestream](timestream-influxdb-vpc-endpoint.md) ## 使用身份进行身份验证 身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户身份进行身份验证 AWS 账户根用户，或者通过担任 IAM 角色进行身份验证。 您可以使用来自身份源的证书 AWS IAM Identity Center （例如（IAM Identity Center）、单点登录身份验证或 Google/Facebook 证书，以联合身份登录。有关登录的更多信息，请参阅《AWS 登录 用户指南》**中的[如何登录您的 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 对于编程访问， AWS 提供 SDK 和 CLI 来对请求进行加密签名。有关更多信息，请参阅*《IAM 用户指南》*中的[适用于 API 请求的AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### IAM 用户和群组 *[IAM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是对某个人员或应用程序具有特定权限的一个身份。建议使用临时凭证，而非具有长期凭证的 IAM 用户。有关更多信息，请参阅 *IAM 用户指南*[中的要求人类用户使用身份提供商的联合身份验证才能 AWS 使用临时证书进行访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)指定一组 IAM 用户，便于更轻松地对大量用户进行权限管理。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 用户使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是具有特定权限的身份，可提供临时凭证。您可以通过[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或调用 AWS CLI 或 AWS API 操作来代入角色。有关更多信息，请参阅《IAM 用户指南》**中的[担任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色对于联合用户访问、临时 IAM 用户权限、跨账户访问、跨服务访问以及在 Amazon EC2 上运行的应用程序非常有用。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用策略管理访问 您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略定义了与身份或资源关联时的权限。 AWS 在委托人提出请求时评估这些政策。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的更多信息，请参阅*《IAM 用户指南》*中的 [JSON 策略概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理员使用策略，通过定义哪个**主体**可以在什么**条件**下对哪些**资源**执行哪些**操作**来指定谁有权访问什么。 默认情况下，用户和角色没有权限。IAM 管理员创建 IAM 策略并将其添加到角色中，然后用户可以担任这些角色。IAM 策略定义权限，与执行操作所用的方法无关。 ### 基于身份的策略 基于身份的策略是您附加到身份（用户、组或角色）的 JSON 权限策略文档。这些策略控制身份可以执行什么操作、对哪些资源执行以及在什么条件下执行。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 基于身份的策略可以是*内联策略*（直接嵌入到单个身份中）或*托管策略*（附加到多个身份的独立策略）。要了解如何在托管策略和内联策略之间进行选择，请参阅*《IAM 用户指南》*中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 基于资源的策略 基于资源的策略是附加到资源的 JSON 策略文档。示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。 ### 访问控制列表 (ACLs) 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 Amazon S3 和 Amazon VPC 就是支持的服务示例 ACLs。 AWS WAF要了解更多信息 ACLs，请参阅《*亚马逊简单存储服务开发者指南*》中的[访问控制列表 (ACL) 概述](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 ### 其他策略类型 AWS 支持其他策略类型，这些策略类型可以设置更常见的策略类型授予的最大权限： + **权限边界** – 设置基于身份的策略可以授予 IAM 实体的最大权限。有关更多信息，请参阅《 IAM 用户指南》**中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服务控制策略 (SCPs)**-在中指定组织或组织单位的最大权限 AWS Organizations。有关更多信息，请参阅《AWS Organizations 用户指南》**中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **资源控制策略 (RCPs)**-设置账户中资源的最大可用权限。有关更多信息，请参阅《*AWS Organizations 用户指南》*中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **会话策略** – 在为角色或联合用户创建临时会话时，作为参数传递的高级策略。有关更多信息，请参阅《IAM 用户指南》**中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多个策略类型 当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # 适用于 InfluxDB 的 Amazon Timestream 如何与 IAM 配合使用 **能够与适用于 InfluxDB 的 Amazon Timestream 结合使用的 IAM 功能** | IAM 功能 | 支持适用于 InfluxDB 的 Timestream | | --- | --- | | [基于身份的策略](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies) | 是 | | [基于资源的策略](#security_iam_service-with-iam-resource-based-policies-influxb) | 否 | | [策略操作](#security_iam_service-with-iam-id-based-policies-actions-influxb) | 是 | | [策略资源](#security_iam_service-with-iam-id-based-policies-resources-influxb) | 是 | | [策略条件密钥](#security_iam_service-with-iam-id-based-policies-conditionkeys-influxb) | 否 | | [ACLs](#security_iam_service-with-iam-acls-influxb) | 否 | | [ABAC（策略中的标签）](#security_iam_service-with-iam-tags-influxb) | 是 | | [临时凭证](#security_iam_service-with-iam-roles-tempcreds-influxb) | 是 | | [主体权限](#security_iam_service-with-iam-principal-permissions-influxb) | 是 | | [服务角色](#security_iam_service-with-iam-roles-service-influxb) | 否 | | [服务关联角色](#security_iam_service-with-iam-roles-service-linked-influxb) | 是 | *要全面了解 InfluxDB 的 Timestream 和其他 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM 用户指南中的[与 IAM 配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。* ## 适用于 InfluxDB 的 Timestream 基于身份的策略 **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 适用于 InfluxDB 的 Timestream 基于身份的策略示例 要查看适用于 InfluxDB 的 Timestream 基于身份的策略示例，请参阅 [适用于 InfluxDB 的 Amazon Timestream 基于身份的策略示例](security_iam_id-based-policy-examples-influxb.md)。 ## 适用于 InfluxDB 的 Timestream 内基于资源的策略 **支持基于资源的策略：**否 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。 要启用跨账户访问，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 适用于 InfluxDB 的 Timestream 策略操作 **支持策略操作：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 要查看适用于 InfluxDB 的 Timestream 操作列表，请参阅《服务授权参考》**中的[适用于 InfluxDB 的 Amazon Timestream 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazontimestreaminfluxdb.html)。 适用于 InfluxDB 的 Timestream 中的策略操作在操作前使用以下前缀： ``` timestream-influxdb ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。 ``` "Action": [ "timestream-influxdb:action1", "timestream-influxdb:action2" ] ``` 您也可以使用通配符（\$1）指定多个操作。例如，要指定以单词 `Describe` 开头的所有操作，包括以下操作： ``` "Action": "timestream-influxdb:Describe*" ``` ## 适用于 InfluxDB 的 Timestream 策略资源 **支持策略资源：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。 ``` "Resource": "*" ``` *要查看 InfluxDB 资源类型及其 ARNs类型的时间流列表，请参阅《服务授权参考》中的 [Amazon Timestream 为 InfluxDB 定义的资源类型](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazontimestreaminfluxdb.html#amazontimestreaminfluxdb-resources-for-iam-policies)。*要了解可为每个资源的 ARN 指定哪些操作，请参阅[适用于 InfluxDB 的 Amazon Timestream 的操作、资源和条件键](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazontimestreaminfluxdb.html)。 ## 适用于 InfluxDB 的 Timestream 策略条件键 **支持特定于服务的策略条件键：**否 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 ## InfluxDB 的时间流中的访问控制列表 (ACLs) **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 ## 适用于 InfluxDB 的 Timestream 基于属性的访问权限控制（ABAC） **支持 ABAC（策略中的标签）：**是 基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。 要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 将临时凭证与适用于 InfluxDB 的 Timestream 结合使用 **支持临时凭证：**是 临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) ## 适用于 InfluxDB 的 Timestream 跨服务主体权限 **支持转发访问会话（FAS）：**是 转发访问会话 (FAS) 使用调用主体的权限 AWS 服务，再加上 AWS 服务 向下游服务发出请求的请求。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## 适用于 InfluxDB 的 Timestream 服务角色 **支持服务角色：**否 服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 更改服务角色的权限可能会破坏适用于 InfluxDB 的 Timestream 功能。仅当适用于 InfluxDB 的 Timestream 提供相关指导时才编辑服务角色。 ## 适用于 InfluxDB 的 Timestream 服务相关角色 **支持服务关联角色：**是 服务相关角色是一种链接到的服务角色。 AWS 服务服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。 有关创建或管理服务相关角色的详细信息，请参阅[能够与 IAM 搭配使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 的表。选择**是**链接以查看该服务的服务相关角色文档。 # 适用于 InfluxDB 的 Amazon Timestream 基于身份的策略示例 默认情况下，用户和角色没有创建或修改适用于 InfluxDB 的 Timestream 资源的权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。 要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 *有关 Timestream 为 InfluxDB 定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《 ARNs 服务授权参考》中的 [Amazon Timestream for InfluxDB 的操作、资源和条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazontimestreaminfluxdb.html)。* **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices-influxb) + [使用适用于 InfluxDB 的 Timestream 控制台](#security_iam_id-based-policy-examples-console-influxb) + [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions-influxb) + [访问一个 Amazon S3 存储桶](#security_iam_id-based-policy-examples-access-one-bucket) + [允许所有操作](#security_iam_id-based-policy-examples-common-operations.all-influxdb) + [创建、描述、删除及更新数据库实例](#security_iam_id-based-policy-examples-common-operations.cddd-influxdb) ## 策略最佳实践 基于身份的策略确定某个人是否可以创建、访问或删除您账户中的适用于 InfluxDB 的 Timestream 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定 AWS 服务的（例如）使用的，则也可以使用条件来授予对服务操作的访问权限 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用适用于 InfluxDB 的 Timestream 控制台 要访问适用于 InfluxDB 的 Amazon Timestream 控制台，您必须具有一组最低的权限。这些权限必须允许您列出和查看有关 AWS 账户中适用于 InfluxDB 的 Timestream 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。 为确保用户和角色仍然可以使用 InfluxDB 的 Timestream 控制台，还要将 InfluxDB 的时间流`ConsoleAccess`或`ReadOnly` AWS 托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允许用户查看他们自己的权限 该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 访问一个 Amazon S3 存储桶 在本示例中，您想向 AWS 账户中的 IAM 用户授予访问您的 Amazon S3 存储桶的权限。`amzn-s3-demo-bucket`您还想要允许该用户添加、更新和删除对象。 除了授予该用户 `s3:PutObject`、`s3:GetObject` 和 `s3:DeleteObject` 权限外，此策略还授予 `s3:ListAllMyBuckets`、`s3:GetBucketLocation` 和 `s3:ListBucket` 权限。这些是控制台所需的其他权限。此外，`s3:PutObjectAcl` 和 `s3:GetObjectAcl` 操作需要能够在控制台中复制、剪切和粘贴对象。有关为用户授予权限并使用控制台测试用户的示例演练，请参阅[示例演练：使用用户策略控制对桶的访问](https://docs.aws.amazon.com/AmazonS3/latest/userguide/walkthrough1.html)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement":[ { "Sid":"ListBucketsInConsole", "Effect":"Allow", "Action":[ "s3:ListAllMyBuckets" ], "Resource":"arn:aws:s3:::*" }, { "Sid":"ViewSpecificBucketInfo", "Effect":"Allow", "Action":[ "s3:ListBucket", "s3:GetBucketLocation" ], "Resource":"arn:aws:s3:::amzn-s3-demo-bucket" }, { "Sid":"ManageBucketContents", "Effect":"Allow", "Action":[ "s3:PutObject", "s3:PutObjectAcl", "s3:GetObject", "s3:GetObjectAcl", "s3:DeleteObject" ], "Resource":"arn:aws:s3:::amzn-s3-demo-bucket/*" } ] } ``` ------ ## 允许所有操作 以下是允许适用于 InfluxDB 的 Timestream 中所有操作的示例策略。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "timestream-influxdb:*" ], "Resource": "*" } ] } ``` ------ ## 创建、描述、删除及更新数据库实例 以下示例策略允许用户创建、描述、删除及更新数据库实例 `sampleDB`： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "timestream-influxdb:CreateDbInstance", "timestream-influxdb:GetDbInstance", "timestream-influxdb:DeleteDbInstance", "timestream-influxdb:UpdateDbInstance" ], "Resource": "arn:aws:timestream-influxdb:us-east-2:111122223333:db-instance/MyDbInstance" } ] } ``` ------ # 适用于 InfluxDB 的 Amazon Timestream 身份和访问问题排查 使用以下信息帮助您诊断和修复在使用适用于 InfluxDB 的 Timestream 和 IAM 时可能遇到的常见问题。 **Topics** + [我无权在适用于 InfluxDB 的 Timestream 中执行操作](#security_iam_troubleshoot-no-permissions-influxdb) + [我想允许 AWS 账户之外的人访问我的 Timestream 以获取 InfluxDB 资源](#security_iam_troubleshoot-cross-account-access-influxdb) ## 我无权在适用于 InfluxDB 的 Timestream 中执行操作 如果 AWS 管理控制台 告诉您您无权执行某项操作，则必须联系管理员寻求帮助。管理员是指提供用户名和密码的人员。 当 `mateojackson` 用户尝试使用控制台查看有关虚构 `my-example-widget` 资源的详细信息，但不拥有虚构 `timestream-influxdb:GetWidget` 权限时，会发生以下示例错误。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: timestream-influxdb:GetWidget on resource: my-example-widget ``` 在这种情况下，Mateo 请求他的管理员更新其策略，以允许他使用 `timestream-influxdb:GetWidget` 操作访问 `my-example-widget` 资源。 ## 我想允许 AWS 账户之外的人访问我的 Timestream 以获取 InfluxDB 资源 您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。 要了解更多信息，请参阅以下内容： + [控制 VPC 中数据库实例的访问权限](timestream-for-influxdb-controlling-access.md) + 要了解适用于 InfluxDB 的 Timestream 是否支持这些功能，请参阅[适用于 InfluxDB 的 Amazon Timestream 如何与 IAM 配合使用](https://docs.aws.amazon.com/timestream/latest/developerguide/security_iam_service-with-iam-influxb.html)。 + 要了解如何通过您拥有的 AWS 账户提供对资源的访问[权限，请参阅 IAM 用户*指南中的向您拥有的另一个 AWS 账户中的 IAM 用户*提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)访问权限。 + 要了解如何向第三方 AWS 账户提供对您的资源的访问[权限，请参阅 *IAM 用户指南*中的向第三方 AWS 账户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)提供访问权限。 + 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（联合身份验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 角色与基于资源的策略有何不同](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 控制 VPC 中数据库实例的访问权限 使用亚马逊虚拟私有云（亚马逊 VPC），您可以将 AWS 资源（例如适用于 InfluxDB 数据库实例的 Amazon Timestream）启动到虚拟私有云 (VPC) 中。使用 Amazon VPC 时，您的虚拟联网环境完全由您控制。您可以选择自己的 IP 地址范围、创建子网以及配置路由和访问控制列表。 VPC 安全组控制 VPC 内的数据库实例的访问权限。每个 VPC 安全组规则都允许特定的源访问 VPC 中与此 VPC 安全组关联的数据库实例。源可以是一个地址范围 (例如，203.0.113.0/24) 或另一个 VPC 安全组。指定作为源的 VPC 安全组后，就可以允许从使用此源 VPC 安全组的所有实例 (通常为应用程序服务器) 中传入流量。在尝试连接到您的数据库实例之前，请为您的使用案例配置 VPC。以下是在 VPC 中访问数据库实例的常见方案： **VPC 中的数据库实例，由同一 VPC 中的 Amazon EC2 实例访问** VPC 中数据库实例的常见用途是与在同一 VPC 中的 EC2 实例中运行的应用程序服务器共享数据。该 EC2 实例可能运行带有与数据库实例交互的应用程序的 Web 服务器。 **VPC 中的数据库实例由其他 VPC 中的 EC2 实例访问** 在某些情况下，您的数据库实例与您用于访问它的 EC2 实例位于不同的 VPC 中。如果是这样，您可以使用 VPC 对等连接访问该数据库实例。 **VPC 中的数据库实例，由客户端应用程序通过互联网访问** 要通过 Internet 从客户端应用程序访问 VPC 中的数据库实例，您需要使用单个公有子网配置 VPC，然后使用公有子网创建数据库实例。您还可以在 VPC 中配置互联网网关，以支持通过互联网进行通信。要从 VPC 外部连接到数据库实例，该数据库实例必须可公开访问。此外，必须使用数据库实例安全组的入站规则授予访问权限，并且必须满足其他要求。 有关 VPC 安全组的更多信息，请参阅 *Amazon Virtual Private Cloud 用户指南*[中的使用安全组控制 AWS 资源流量](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html)。 有关如何连接到 InfluxDB 数据库实例的 Timestream 的详细信息，请参阅。[连接到适用于 InfluxDB 的 Amazon Timestream 数据库实例](timestream-for-influx-db-connecting.md) ## 安全组情况 VPC 中数据库实例的常见用途是与在同一 VPC 中的 Amazon EC2 实例中运行的应用程序服务器共享数据，VPC 外部的客户端应用程序可以访问这些数据。在这种情况下，您可以使用InfluxDB和VPC上的时间流页面 AWS 管理控制台 或InfluxDB的时间流和 EC2 API操作来创建必要的实例和安全组： 1. 创建一个 VPC 安全组 (例如，`sg-0123ec2example`)，然后定义使用客户端应用程序 IP 地址作为源的入站规则。此安全组允许您的客户端应用程序连接到使用此安全组的 VPC 中的 EC2 实例。 1. 为应用程序创建 EC2 实例，并将该 EC2 实例添加到您在上一步中创建的 VPC 安全组 (`sg-0123ec2example`)。 1. 创建第二个 VPC 安全组 (例如，`sg-6789rdsexample`)，然后通过将步骤 1 中创建的 VPC 安全组(`sg-0123ec2example`) 指定为源来创建一个新规则。 1. 创建一个新数据库实例，然后将该数据库实例添加到上一步骤中创建的 VPC 安全组 (`sg-6789rdsexample`)。创建数据库时，请使用与您在步骤 3 中创建的 VPC 安全组 (`sg-6789rdsexample`) 规则中指定的端口号相同的端口号。 ## 创建 VPC 安全组 您可以使用 VPC 控制台为数据库实例创建 VPC 安全组。有关创建安全组的信息，请参阅 *Amazon Virtual Private Cloud 用户指南*[中的为您的 VPC 创建安全组](https://docs.aws.amazon.com/vpc/latest/userguide/creating-security-groups.html)。 ## 将安全组与数据库实例关联 InfluxDB 数据库实例的 Timestream 创建后，您将无法将其关联到新的安全组，因为目前不支持对这些配置进行更改。 # 将服务相关角色用于适用于 InfluxDB 的 Amazon Timestream [适用于 InfluxDB 的 Amazon Timestream 使用 AWS Identity and Access Management (IAM) 服务相关角色。](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)服务相关角色是一种独特的 IAM 角色，直接链接到 AWS 服务，例如适用于 InfluxDB 的 Amazon Timestream。适用于 InfluxDB 的 Amazon Timestream 服务相关角色由适用于 InfluxDB 的 Amazon Timestream 预定义。这些角色包含该服务代表数据库实例调用 AWS 服务所需的一切权限。 服务相关角色可让您更轻松地设置适用于 InfluxDB 的 Amazon Timestream，因为您不必手动添加必要的权限。这些角色已存在于您的 AWS 账户中，但已关联到 Amazon Timestream，用于InfluxDB用例，并且具有预定义的权限。只有适用于 InfluxDB 的 Amazon Timestream 可以代入这些角色，并且只有这些角色可以使用预定义的权限策略。只有先删除角色的相关资源，才能删除角色。这将保护适用于 InfluxDB 的 Amazon Timestream 资源，因为您不会无意中删除访问资源的必要权限。 有关支持服务相关角色的其他服务的信息，请参阅[与 IAM 配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并查找 **Service-Linked Role**（服务相关角色）列中显示为 **Yes**（是）的服务。选择**是**和链接，查看该服务的服务关联角色文档。 **Contents** + [服务相关角色权限](#service-linked-role-permissions) + [创建服务相关角色（IAM）](#create-service-linked-role-iam) + [编辑服务相关角色描述](#edit-service-linked-role) + [使用 IAM 控制台](#edit-service-linked-role-iam-console) + [使用 IAM CLI](#edit-service-linked-role-iam-cli) + [使用 IAM API](#edit-service-linked-role-iam-api) + [删除适用于 InfluxDB 的 Amazon Timestream 的服务相关角色](#delete-service-linked-role) + [清除服务相关角色](#service-linked-role-review-before-delete) + [删除服务相关角色（IAM 控制台）](#delete-service-linked-role-iam-console) + [删除服务相关角色（IAM CLI）](#delete-service-linked-role-iam-cli) + [删除服务相关角色（IAM API）](#delete-service-linked-role-iam-api) + [适用于 InfluxDB 的 Amazon Timestream 服务相关角色支持的区域](#supported-regions) ## 适用于 InfluxDB 的 Amazon Timestream 的服务相关角色权限 适用于 InfluxDB 的 Amazon Timestream 使用名为的服务相关角色 **AmazonTimestreamInfluxDBServiceRolePolicy**— 该策略允许 InfluxDB 的 Timestream 在必要时代表您管理管理 AWS 集群的资源。 AmazonTimestreamInfluxDBServiceRolePolicy 服务相关角色权限策略允许适用于 InfluxDB 的 Amazon Timestream 在指定资源上完成以下操作： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "DescribeNetworkStatement", "Effect": "Allow", "Action": [ "ec2:DescribeSubnets", "ec2:DescribeVpcs", "ec2:DescribeNetworkInterfaces" ], "Resource": "*" }, { "Sid": "CreateEniInSubnetStatement", "Effect": "Allow", "Action": [ "ec2:CreateNetworkInterface" ], "Resource": [ "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Sid": "CreateEniStatement", "Effect": "Allow", "Action": [ "ec2:CreateNetworkInterface" ], "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "Null": { "aws:RequestTag/AmazonTimestreamInfluxDBManaged": "false" } } }, { "Sid": "CreateTagWithEniStatement", "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "Null": { "aws:RequestTag/AmazonTimestreamInfluxDBManaged": "false" }, "StringEquals": { "ec2:CreateAction": [ "CreateNetworkInterface" ] } } }, { "Sid": "ManageEniStatement", "Effect": "Allow", "Action": [ "ec2:CreateNetworkInterfacePermission", "ec2:DeleteNetworkInterface" ], "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "Null": { "aws:ResourceTag/AmazonTimestreamInfluxDBManaged": "false" } } }, { "Sid": "PutCloudWatchMetricsStatement", "Effect": "Allow", "Action": [ "cloudwatch:PutMetricData" ], "Condition": { "StringEquals": { "cloudwatch:namespace": [ "AWS/Timestream/InfluxDB", "AWS/Usage" ] } }, "Resource": [ "*" ] }, { "Sid": "ManageSecretStatement", "Effect": "Allow", "Action": [ "secretsmanager:CreateSecret", "secretsmanager:DeleteSecret" ], "Resource": [ "arn:aws:secretsmanager:*:*:secret:READONLY-InfluxDB-auth-parameters-*" ], "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" } } } ] } ``` ------ **允许 IAM 实体创建 AmazonTimestreamInfluxDBServiceRolePolicy 服务相关角色** 向该 IAM 实体的权限中添加以下策略声明： ``` { "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole", "iam:PutRolePolicy" ], "Resource": "arn:aws:iam::*:role/aws-service-role/timestreamforinfluxdb.amazonaws.com/AmazonTimestreamInfluxDBServiceRolePolicy*", "Condition": {"StringLike": {"iam:AWS ServiceName": "timestreamforinfluxdb.amazonaws.com"}} } ``` **允许 IAM 实体删除 AmazonTimestreamInfluxDBServiceRolePolicy 服务相关角色** 向该 IAM 实体的权限中添加以下策略声明： ``` { "Effect": "Allow", "Action": [ "iam:DeleteServiceLinkedRole", "iam:GetServiceLinkedRoleDeletionStatus" ], "Resource": "arn:aws:iam::*:role/aws-service-role/timestreamforinfluxdb.amazonaws.com/AmazonTimestreamInfluxDBServiceRolePolicy*", "Condition": {"StringLike": {"iam:AWS ServiceName": "timestreamforinfluxdb.amazonaws.com"}} } ``` 或者，您可以使用 AWS 托管策略为InfluxDB提供对Amazon Timestream的完全访问权限。 ## 创建服务相关角色（IAM） 您无需手动创建服务关联角色。创建数据库实例时，适用于 InfluxDB 的 Amazon Timestream 将为您创建服务相关角色。 如果您删除该服务关联角色，然后需要再次创建，您可以使用相同流程在账户中重新创建此角色。创建数据库实例时，适用于 InfluxDB 的 Amazon Timestream 将再次为您创建服务相关角色。 ## 编辑适用于 InfluxDB 的 Amazon Timestream 服务相关角色的描述 适用于 InfluxDB 的 Amazon Timestream 不允许你编辑服务相关角色。 AmazonTimestreamInflux DBService RolePolicy 创建服务关联角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色描述。 ### 编辑服务相关角色描述（IAM 控制台） 您可以使用 IAM 控制台编辑服务相关角色的描述。 **编辑服务相关角色的描述（控制台）** 1. 在 IAM 控制台的左侧导航窗格中，选择 **Roles**。 1. 以下代码示例显示如何将 IAM 策略附加到用户。 1. 在 **Role description** 的最右侧，选择 **Edit**。 1. 在框中输入新描述，然后选择 **Save（保存）**。 ### 编辑服务相关角色描述（IAM CLI） 您可以使用中的 IAM 操作 AWS Command Line Interface 来编辑与服务相关的角色描述。 **更改服务相关角色的描述（CLI）** 1. （可选）要查看角色的当前描述，请使用 for AWS CLI IAM 操作`[get-role](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-role.html)`。 **Example** ``` $ aws iam get-role --role-name AmazonTimestreamInfluxDBServiceRolePolicy ``` 通过 CLI 操作使用角色名称（并非 ARN）指向角色。例如，如果一个角色的 ARN 为 `arn:aws:iam::123456789012:role/myrole`，则应将角色称为 **myrole**。 1. 要更新服务相关角色的描述，请使用 for I AWS CLI AM 操作`[update-role-description](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/update-role-description.html)`。 **Linux 和 MacOS** ``` $ aws iam update-role-description \ --role-name AmazonTimestreamInfluxDBServiceRolePolicy \ --description "new description" ``` **Windows** ``` $ aws iam update-role-description ^ --role-name AmazonTimestreamInfluxDBServiceRolePolicy ^ --description "new description" ``` ### 编辑服务相关角色描述（IAM API） 您可以使用 IAM API 编辑服务相关角色描述。 **更改服务相关角色的描述（API）** 1. （可选）要查看角色的当前描述，请使用 IAM API 操作 [GetRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetRole.html)。 **Example** ``` https://iam.amazonaws.com/ ?Action=[GetRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetRole.html) &RoleName=AmazonTimestreamInfluxDBServiceRolePolicy &Version=2010-05-08 &AUTHPARAMS ``` 1. 要更新角色的描述，请使用 IAM API 操作 [UpdateRoleDescription](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateRoleDescription.html)。 **Example** ``` https://iam.amazonaws.com/ ?Action=[UpdateRoleDescription](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateRoleDescription.html) &RoleName=AmazonTimestreamInfluxDBServiceRolePolicy &Version=2010-05-08 &Description="New description" ``` ## 删除适用于 InfluxDB 的 Amazon Timestream 的服务相关角色 如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这样就没有未被主动监控或维护的未使用实体。但是，您必须先清除您的服务相关角色，然后才能将其删除。 适用于 InfluxDB 的 Amazon Timestream 不会删除您的服务相关角色。 ### 清除服务相关角色 您必须先确认该角色没有与之关联的资源（集群），然后才能使用 IAM 删除服务相关角色。 **在 IAM 控制台中检查服务相关角色是否具有活动会话** 1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。 1. 在 IAM 控制台的左侧导航窗格中，选择 **Roles**。然后选择 AmazonTimestreamInfluxDBServiceRolePolicy 角色的名称（不是复选框）。 1. 在所选角色的 **Summary** 页面上，选择 **Access Advisor** 选项卡。 1. 在**访问顾问**选项卡查看服务相关角色的近期活动。 ### 删除服务相关角色（IAM 控制台） 您可以使用 IAM 控制台删除服务相关角色。 **删除服务相关角色 (控制台)** 1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)。 1. 在 IAM 控制台的左侧导航窗格中，选择 **Roles**。然后，选中要删除的角色名称旁边的复选框，而不是名称或行本身。 1. 对于页面顶部的**角色操作**，请选择**删除角色**。 1. 在确认页面中，查看上次访问服务的数据，该数据显示了每个选定角色上次访问 AWS 服务的时间。这样可帮助您确认角色当前是否处于活动状态。如果要继续，请选择 **Yes, Delete ** 以提交服务相关角色进行删除。 1. 监视 IAM 控制台通知，以监控服务相关角色的删除进度。由于 IAM 服务相关角色删除是异步的，因此，在您提交角色进行删除后，删除任务可能成功，也可能失败。如果任务失败，您可以从通知中选择 **View details** 或 **View Resources** 以了解删除失败的原因。 ### 删除服务相关角色（IAM CLI） 您可以使用中的 IAM 操作 AWS Command Line Interface 来删除服务相关角色。 **删除服务相关角色（CLI）** 1. 如果您不知道要删除的服务相关角色的名称，请输入以下命令。此命令列出了您账户中的角色及其 Amazon 资源名称 (ARNs)。 ``` $ aws iam get-role --role-name role-name ``` 通过 CLI 操作使用角色名称（并非 ARN）指向角色。例如，如果某个角色具有 ARN `arn:aws:iam::123456789012:role/myrole`，则将该角色称为 **myrole**。 1. 由于服务相关角色如果正在使用或具有关联资源，则无法将其删除，因此您必须使用[delete-service-linked-role](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/delete-service-linked-role.html)命令提交删除请求。如果不满足这些条件，该请求可能会被拒绝。您必须从响应中捕获 `deletion-task-id` 以检查删除任务的状态。输入以下命令以提交服务相关角色的删除请求。 ``` $ aws iam delete-service-linked-role --role-name role-name ``` 1. 运行 [get-service-linked-role-deletion-stat](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-service-linked-role-deletion-status.html) us命令以检查删除任务的状态。 ``` $ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id ``` 删除任务的状态可能是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果删除失败，则调用会返回失败的原因，以便您进行问题排查。 ### 删除服务相关角色（IAM API） 您可以使用 IAM API 删除服务相关角色。 **删除服务相关角色（API）** 1. 要提交服务相关角色的删除请求，请调用 [DeleteServiceLinkedRole](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceLinkedRole.html)。在请求中，指定角色名称。 如果服务相关角色正被使用或具有关联的资源，则无法删除它，因此您必须提交删除请求。如果不满足这些条件，该请求可能会被拒绝。您必须从响应中捕获 `DeletionTaskId` 以检查删除任务的状态。 1. 要检查删除的状态，请调用 [GetServiceLinkedRoleDeletionStatus](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetServiceLinkedRoleDeletionStatus.html)。在请求中，指定 `DeletionTaskId`。 删除任务的状态可能是 `NOT_STARTED`、`IN_PROGRESS`、`SUCCEEDED` 或 `FAILED`。如果删除失败，则调用会返回失败的原因，以便您进行问题排查。 ## 适用于 InfluxDB 的 Amazon Timestream 服务相关角色支持的区域 适用于 InfluxDB 的 Amazon Timestream 支持在该服务可用的所有区域中使用服务相关角色。有关更多信息，请参阅[AWS 服务端点](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 # AWS 适用于 InfluxDB 的 Amazon Timestream 的托管策略 要向用户、群组和角色添加权限，使用 AWS 托管策略比自己编写策略要容易得多。创建仅为团队提供所需权限的 [IAM 客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要时间和专业知识。要快速入门，您可以使用我们的 AWS 托管策略。这些政策涵盖常见用例，可在您的 AWS 账户中使用。有关 AWS 托管策略的更多信息，请参阅 *IAM 用户指南*中的[AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 AWS 服务维护和更新 AWS 托管策略。您无法更改 AWS 托管策略中的权限。服务偶尔会向 AWS 托管式策略添加额外权限以支持新特征。此类更新会影响附加策略的所有身份（用户、组和角色）。当启动新特征或新操作可用时，服务最有可能会更新 AWS 托管式策略。服务不会从 AWS 托管策略中移除权限，因此策略更新不会破坏您的现有权限。 此外，还 AWS 支持跨多个服务的工作职能的托管策略。例如，**ReadOnlyAccess** AWS 托管策略提供对所有 AWS 服务和资源的只读访问权限。当服务启动一项新功能时， AWS 会为新操作和资源添加只读权限。有关工作职能策略的列表和说明，请参阅 *IAM 用户指南*中的[适用于工作职能的AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 ## AWS 托管策略： AmazonTimestreamInfluxDBServiceRolePolicy 您不能将 AmazonTimestreamInfluxDBServiceRolePolicy AWS 托管策略附加到账户中的身份。此策略是 AWS TimestreamforInflux数据库服务相关角色的一部分。此角色允许服务管理您账户中的网络接口和安全组。 适用于 InfluxDB 的 Timestream 使用此策略中的权限管理 EC2 安全组和网络接口。这是管理适用于 InfluxDB 的 Timestream 数据库实例所必需的权限。 要查看 JSON 格式的此政策，请参阅[AmazonTimestreamInfluxDBServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonTimestreamInfluxDBServiceRolePolicy.html)。 ## 适用于 InfluxDB 的 Amazon Timestream 的AWS托管策略 AWS 通过提供由创建和管理的独立 IAM 策略来解决许多常见用例 AWS。托管策略可针对常见使用案例授予必要权限，因此，您无需自行调查具体需要哪些权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 以下 AWS 托管策略仅适用于 InfluxDB 的 Timestream，您可以将其附加到账户中的用户： ### AmazonTimestreamInfluxDBFull访问权限 您可以将 `AmazonTimestreamInfluxDBFullAccess` 策略附加到 IAM 身份。此策略授予允许完全访问适用于 InfluxDB 的 Timestream 资源的管理权限。 您还可以创建自定义 IAM 策略，以授予执行适用于 InfluxDB 的 Amazon Timestream API 操作的相关权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。 要查看 JSON 格式的此政策，请参阅[AmazonTimestreamInfluxDBFull访问权限](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonTimestreamInfluxDBFullAccess.html)。 ## AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess 您可以将 `AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess` 策略附加到 IAM 身份。此策略授予管理权限，允许完全访问适用于 InfluxDB 的 Timestream 资源，不包括任何与 Marketplace 相关的操作。 您还可以创建自定义 IAM 策略，以授予执行适用于 InfluxDB 的 Timestream API 操作的相关权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。 要查看 JSON 格式的此政策，请参阅[AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess.html)。 ## InfluxDB 更新托管策略的时间流 AWS 查看自该服务开始跟踪这些更改以来，InfluxDB Timestream AWS 托管策略更新的详细信息。有关此页面更改的自动提示，请订阅适用于 InfluxDB 的 Timestream 文档历史记录页面上的 RSS 源。 | 更改 | 描述 | 日期 | | --- | --- | --- | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 已在现有`AmazonTimestreamInfluxDBFullAccess`托管策略中添加了 RebootDbInstance 和 RebootDbCluster 操作，用于重启亚马逊 Timestream InfluxDB 资源。 | 12/17/2025 | | [AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess](#iam.identitybasedpolicies.predefinedpolicies-fullaccess-without-marketplace-access)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 已在现有`AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess`托管策略中添加了 RebootDbInstance 和 RebootDbCluster 操作，用于重启亚马逊 Timestream InfluxDB 资源。 | 12/17/2025 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 已将 `ec2:DescribeVpcEndpoints` 操作添加到现有 `AmazonTimestreamInfluxDBFullAccess` 托管策略中，用于描述 VPC 端点。 | 11/13/2025 | | [AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess](#iam.identitybasedpolicies.predefinedpolicies-fullaccess-without-marketplace-access)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 已将 `ec2:DescribeVpcEndpoints` 操作添加到现有 `AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess` 托管策略中，用于描述 VPC 端点。 | 11/13/2025 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 更新了现有的托管策略`AmazonTimestreamInfluxDBFullAccess`，该策略增加了访问市场的必要权限，以管理 APIs 为InfluxDB集群资源创建和更新Timestream所需的订阅。 | 2025 年 4 月 16 日 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 更新了现有的托管策略 `AmazonTimestreamInfluxDBFullAccess`，该策略添加了 Marketplace 产品 ID，以支持订阅适用于 InfluxDB 的 Timestream 集群资源的 InfluxDB 企业 Marketplace 产品。 | 2025 年 10 月 17 日 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 更新了现有的托管策略`AmazonTimestreamInfluxDBFullAccess`，该策略增加了访问市场的必要权限，以管理 APIs 为InfluxDB集群资源创建和更新Timestream所需的订阅。 | 2025 年 4 月 16 日 | | [AmazonTimestreamInfluxDBFullAccessWithoutMarketplaceAccess](#iam.identitybasedpolicies.predefinedpolicies-fullaccess-without-marketplace-access)：新策略 | 适用于InfluxDB的Amazon Timestream 添加了一项新策略，提供管理访问权限，用于管理适用于 InfluxDB 的 Amazon Timestream 实例和参数组，Marketplace 操作除外。 | 04/16/2025 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 适用于 InfluxDB 的 Amazon Timestream 更新了现有的托管策略 `AmazonTimestreamInfluxDBFullAccess`，还提供完全管理访问权限以创建、更新、删除和列出适用于 InfluxDB 的 Amazon Timestream 集群。 | 2025 年 2 月 17 日 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：对现有策略的更新 | 向现有 `AmazonTimestreamInfluxDBFullAccess` 托管策略添加了 `ec2:DescribeRouteTables` 操作。此操作用于描述路由表 | 10/08/2024 | | [AWS 托管策略： AmazonTimestreamInfluxDBServiceRolePolicy](#security-iam-awsmanpol-timestreamforinfluxdbServiceRolePolicy)：新策略 | 适用于 InfluxDB 的 Amazon Timestream 已添加一项新策略，允许服务管理账户中的网络接口和安全组。 | 03/14/2024 | | [AmazonTimestreamInfluxDBFull访问权限](#iam.identitybasedpolicies.predefinedpolicies-fullaccess)：新策略 | 适用于 InfluxDB 的 Amazon Timestream 添加了一项新策略，提供完全管理访问权限以创建、更新、删除和列出 Amazon Timestream InfluxDB 实例以及创建和列出参数组。 | 03/14/2024 | # 通过 VPC 端点连接到适用于 InfluxDB 的 Timestream 您可以通过虚拟私有云（VPC）中的一个私有接口端点直接连接到适用于 InfluxDB 的 Timestream。当你使用接口 VPC 终端节点时，你的 VPC 和 InfluxDB 的 Timestream 之间的通信完全在网络内进行。 AWS 适用于 InfluxDB 的 Timestream 支持由 [AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/) 提供支持的 Amazon Virtual Private Cloud（Amazon VPC）端点。每个 VPC 终端节点都由一个或多个[弹性网络接口](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html) (ENIs) 表示，其私有 IP 地址位于您的 VPC 子网中。 接口 VPC 终端节点将您的 VPC 直接连接到 InfluxDB 的 Timestream，无需互联网网关、NAT 设备、VPN 连接或连接。 AWS Direct Connect VPC 中的实例不需要公有 IP 地址便可与适用于 InfluxDB 的 Timestream 进行通信。 **Regions** InfluxDB 的 Timestream 支持 VPC 端点和 VPC 终端节点策略，所有这些策略都支持 InfluxD AWS 区域 B 的 Timestream。 **Topics** + [适用于 InfluxDB 的 Timestream VPC 端点的注意事项](#vpce-considerations) + [为适用于 InfluxDB 的 Timestream 创建 VPC 端点](#vpce-create-endpoint) + [连接到适用于 InfluxDB 的 Timestream VPC 端点](#vpce-connect) + [控制对 VPC 端点的访问](#vpce-policy) + [在策略语句中使用 VPC 端点](#vpce-policy-condition) + [记录您的 VPC 端点](#vpce-logging) ## 适用于 InfluxDB 的 Timestream VPC 端点的注意事项 请先查看《AWS PrivateLink 指南》**中的[接口端点属性和限制](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations)主题，然后再为适用于 InfluxDB 的 Timestream 设置接口 VPC 端点。 适用于 InfluxDB 的 Timestream 对 VPC 端点的支持包括以下内容。 + 您可以使用 VPC 端点从 VPC 调用所有[适用于 InfluxDB 的 Timestream API 操作](https://docs.aws.amazon.com/ts-influxdb/latest/ts-influxdb-api/API_Operations.html)。 + 您可以使用 AWS CloudTrail 日志来审核您通过 VPC 终端节点对 InfluxDB 资源的 Timestream 使用情况。有关更多信息，请参阅 [记录您的 VPC 端点](#vpce-logging)。 ## 为适用于 InfluxDB 的 Timestream 创建 VPC 端点 您可以使用 Amazon VPC 控制台或 Amazon VPC API 为适用于 InfluxDB 的 Timestream 创建 VPC 端点。有关更多信息，请参阅《AWS PrivateLink 指南》**中的[创建接口端点](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)。 + 要为适用于 InfluxDB 的 Timestream 创建 VPC 端点，请使用以下服务名称： ``` com.amazonaws.region.timestream-influxdb ``` 例如，在美国西部（俄勒冈）区域 (`us-west-2`)，服务名称为： ``` com.amazonaws.us-west-2.timestream-influxdb ``` 为了更轻松地使用 VPC 端点，您可以为 VPC 端点启用[私有 DNS 名称](https://docs.aws.amazon.com/vpc/latest/privatelink/verify-domains.html)。如果选择**启用 DNS 名称**选项，标准的适用于 InfluxDB 的 Timestream DNS 主机名将解析为您的 VPC 端点。例如，`https://timestream-influxdb.us-west-2.amazonaws.com` 将解析为连接到服务名称 `com.amazonaws.us-west-2.timestream-influxdb` 的 VPC 端点。 此选项可让您更轻松地使用 VPC 端点。默认情况下， AWS SDKs 和 AWS CLI 使用 InfluxDB DNS 主机名的标准时间流，因此您无需在应用程序和命令中指定 VPC 终端节点 URL。 有关更多信息，请参阅 *AWS PrivateLink 指南*中的[通过接口端点访问服务](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#access-service-though-endpoint)。 ## 连接到适用于 InfluxDB 的 Timestream VPC 端点 你可以使用 SD AWS K 或，通过 VPC 终端节点连接到 InfluxDB 的 Timestream。 AWS CLI AWS Tools for PowerShell要指定 VPC 端点，请使用其 DNS 名称。 如果在创建 VPC 端点时启用了私有主机名，则无需在 CLI 命令或应用程序配置中指定 VPC 端点 URL。标准适用于 InfluxDB 的 Timestream DNS 主机名将解析为您的 VPC 端点。 AWS CLI 和默认 SDKs 使用此主机名，因此您可以开始使用 VPC 终端节点连接到 InfluxDB 区域终端节点的 Timestream，而无需在脚本和应用程序中进行任何更改。 要使用私有主机名，您的 VPC 的 `enableDnsHostnames` 和 `enableDnsSupport` 属性必须设置为 `true`。要设置这些属性，请使用[ModifyVpcAttribute](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpcAttribute.html)操作。有关详细信息，请参阅《Amazon VPC 用户指南》中的[查看和更新 VPC 的 DNS 属性](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-dns.html#vpc-dns-updating)。** ## 控制对 VPC 端点的访问 要控制对适用于 InfluxDB 的 Timestream VPC 端点的访问，请附加 *VPC 端点策略*到您的 VPC 端点中。端点策略确定主体是否可以使用 VPC 端点对适用于 InfluxDB 的 Timestream 资源调用适用于 InfluxDB 的 Timestream 操作。 您可以在创建终端节点时创建 VPC 端点策略，并且可以随时更改 VPC 端点策略。使用 VPC 管理控制台或[CreateVpcEndpoint](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_CreateVpcEndpoint.html)或[ModifyVpcEndpoint](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpcEndpoint.html)操作。您也可以[使用 AWS CloudFormation 模板](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-ec2-vpcendpoint.html)创建和更改 VPC 终端节点策略。有关使用 VPC 管理控制台的帮助，请参阅 *AWS PrivateLink 指南*中的[创建接口终端节点](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)和[修改接口终端节点](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#modify-interface-endpoint)。 **注意** 适用于 InfluxDB 的 Timestream 支持从 2020 年 7 月开始的 VPC 端点策略。在该日期之前创建的适用于 InfluxDB 的 Timestream VPC 端点具有[默认的 VPC 端点策略](#vpce-default-policy)，但您可以随时进行更改。 **Topics** + [关于 VPC 端点策略](#vpce-policy-about) + [默认的 VPC 端点策略](#vpce-default-policy) + [创建 VPC 端点策略](#vpce-policy-create) + [查看 VPC 端点策略](#vpce-policy-get) ### 关于 VPC 端点策略 对于使用 VPC 端点才能成功的适用于 InfluxDB 的 Timestream 请求，主体需要来自以下两个来源的权限： + [IAM 策略](security-iam-for-influxdb.md)必须授予主体对资源（调用操作的权限。 + VPC 端点策略必须授予委托人使用终端节点发出请求的权限。 ### 默认的 VPC 端点策略 每个 VPC 端点都有 VPC 端点策略，但您无需指定策略。如果未指定策略，则默认的终端节点策略允许所有委托人对终端节点上的所有资源执行所有操作。 然而，对于适用于 InfluxDB 的 Timestream 资源，主体还必须通过 [IAM 策略](security-iam-for-influxdb.md)获得调用该操作的权限。因此在实际操作中，默认策略规定：如果主体拥有对资源调用操作的权限，则也可通过端点调用该操作。 ``` { "Statement": [ { "Action": "*", "Effect": "Allow", "Principal": "*", "Resource": "*" } ] } ``` 要允许主体仅将 VPC 端点用于其允许操作的子集，[请创建或更新改 VPC 端点策略](#vpce-policy-create)。 ### 创建 VPC 端点策略 VPC 端点策略确定委托人是否有权使用 VPC 端点对资源执行操作。对于适用于 InfluxDB 的 Timestream 资源，主体还必须有权从 [IAM 策略](security-iam-for-influxdb.md)中执行操作。 每个 VPC 端点策略语句都需要以下元素： + 可执行操作的委托人 + 可执行的操作 + 可对其执行操作的资源 策略语句不指定 VPC 端点。它适用于策略所附加到的任何 VPC 端点。有关更多信息，请参阅《Amazon VPC User Guide》**中的 [Controlling access to services with VPC endpoints](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html)。 AWS CloudTrail 记录使用 VPC 终端节点的所有操作。 ### 查看 VPC 端点策略 要查看终端节点的 VPC 终端节点策略，请使用 [VPC 管理控制台](https://console.aws.amazon.com/vpc/)或[DescribeVpcEndpoints](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DescribeVpcEndpoints.html)操作。 以下 AWS CLI 命令获取具有指定 VPC 终端节点 ID 的终端节点的策略。 在使用此命令之前，请将示例终端节点 ID 替换为您账户中的有效终端节点 ID。 ``` $ aws ec2 describe-vpc-endpoints \ --query 'VpcEndpoints[?VpcEndpointId==`vpc-endpoint-id`].[PolicyDocument]' --output text ``` ## 在策略语句中使用 VPC 端点 您可以在请求来自于 VPC 或使用 VPC 端点时控制对适用于 InfluxDB 的 Timestream 资源和操作的访问。为此，请在 [IAM 策略](security-iam-for-influxdb.md)中使用以下[全局条件键](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#AvailableKeys)之一。 + 使用 `aws:sourceVpce` 条件键基于 VPC 端点授予或限制访问。 + 使用 `aws:sourceVpc` 条件键基于托管私有终端节点的 VPC 授予或限制访问。 **注意** 根据您的 VPC 端点创建密钥策略和 IAM 策略时要小心。如果政策声明要求请求来自特定的 VPC 或 VPC 终端节点，则代表您使用 Timestream for InfluxDB 资源的集成 AWS 服务发出的请求可能会失败。 此外，当请求来自 [Amazon VPC 端点](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html)时，`aws:sourceIP` 条件键也不起作用。要限制对 VPC 端点的请求，请使用 `aws:sourceVpce` 或 `aws:sourceVpc` 条件键。有关更多信息，请参阅《AWS PrivateLink 指南》中的 [VPC 端点和 VPC 端点服务的身份和访问管理](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-iam.html)。** 您可以使用这些全局条件键来控制对此类操作的访问权限 [CreateDbInstance](https://docs.aws.amazon.com//ts-influxdb/latest/ts-influxdb-api/API_CreateDbInstance.html)，这些操作不依赖于任何特定资源。 ## 记录您的 VPC 端点 AWS CloudTrail 记录使用 VPC 终端节点的所有操作。当对适用于 InfluxDB 的 Timestream 的请求使用 VPC 端点时，VPC 端点 ID 出现在记录该请求的 [AWS CloudTrail 日志](logging-using-cloudtrail.md)条目中。您可以使用端点 ID 来审核适用于 InfluxDB 的 Timestream VPC 端点的使用情况。 但是，您的 CloudTrail 日志不包括其他账户中的委托人请求的操作，也不包括Timestream对InfluxDB资源和其他账户中的别名进行InfluxDB操作的请求。此外，为了保护您的 VPC，被 [VPC 端点策略](#vpce-policy)拒绝但却以其他方式允许的请求不记录在 [AWS CloudTrail](logging-using-cloudtrail.md) 中。