本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# AWS 支援 授權概念
<a name="support-authorization-concepts"></a>

下列概念可協助您了解 AWS 支援 授權的運作方式。

## 支援許可
<a name="support-authorization-concept-permits"></a>

支援許可是一種資源，定義 AWS 支援 可在支援案例解決期間存取可能包含您資料之服務相關資訊的範圍和條件。如果沒有支援許可， AWS 支援 無法存取此資訊。每個支援許可都會指定 AWS 支援 可採取的動作，以及 AWS 支援 可採取這些動作的資源，以及選用的時間型條件。

建立後無法修改支援許可。若要變更現有授權的範圍，請刪除支援許可並建立新的許可。

## 支援許可範圍
<a name="support-authorization-concept-scope"></a>

支援許可範圍會定義 AWS 支援 授權執行的操作。支援許可範圍包含三個元素：

動作  
 AWS 支援 可執行的特定操作。您可以允許所有動作或指定個別動作。

Resources  
 AWS 支援 可存取可能包含您資料之服務相關資訊 AWS 的資源。您可以允許區域中的所有資源，或指定個別資源 ARNs。

條件  
選用的時間型限制條件。您可以設定`allowAfter`時間 （最早的時間 AWS 支援 可以使用支援許可來授權動作） 和`allowBefore`時間 （最晚的時間 AWS 支援 可以使用支援許可來授權動作） 來建立時段。支援許可最多支援 2 個條件。

## 簽署金鑰
<a name="support-authorization-concept-signing-key"></a>

簽署金鑰是客戶管理 AWS KMS 的非對稱金鑰，可提供支援許可的驗證。金鑰必須符合下列要求：
+ 金鑰規格： `ECC_NIST_P384`
+ 金鑰用量： `SIGN_VERIFY`
+ 位置：與支援允許相同的區域。

您的私有金鑰材料永遠不會離開 AWS KMS。您的 KMS 金鑰會呼叫 來執行簽署操作，並且只會收到產生的簽章。

## 支援許可請求
<a name="support-authorization-concept-request"></a>

支援許可請求是 AWS 支援 請求存取您服務相關資訊的通知，其中可能包含特定資源的資料，以協助解決支援案例。如果您不核准請求， AWS 支援 無法存取請求的資訊，而且可能無法繼續進行調查。

當 AWS 支援 提交支援許可請求時，您會透過 Amazon EventBridge 事件和 AWS CloudTrail 日誌項目收到通知。然後，您可以檢閱請求的範圍，並核准或拒絕請求。

## 允許狀態
<a name="support-authorization-concept-permit-states"></a>

支援允許透過下列狀態進行轉換：

ACTIVE  
支援許可為作用中。 AWS 支援 可以接收已簽署的授權，這是密碼編譯簽署的權杖，允許支援許可範圍內的動作執行特定動作。

非作用中  
新的簽署授權不會針對 INACTIVE 支援許可發出。支援允許在連結的支援案例關閉時自動轉換為 INACTIVE。如果連結的支援案例在帳戶隔離或區域選擇退出時關閉，支援許可也可以轉換為 INACTIVE。若要在這些轉換之後重新授權存取權，請建立新的支援許可。

DELETING  
刪除已啟動。新的已簽署授權會停止發出。由於最終一致性，變更生效前可能會有短暫的延遲。接著會移除支援許可。為了協助防止進一步簽署操作，請撤銷相關聯 AWS KMS 金鑰的授予。如需詳細資訊，請參閱[撤銷 AWS 支援 授權存取](support-authorization-kms.md#support-authorization-kms-revoke)。

## 允許請求狀態
<a name="support-authorization-concept-request-states"></a>

支援許可請求會轉換至下列狀態：

待定  
請求正在等待您的審核。

已接受  
您已建立滿足請求的支援許可。

REJECTED  
您透過呼叫 拒絕請求`RejectSupportPermitRequest`。

CANCELLED (已取消)  
AWS 支援 已取消請求。

## 動作和資源
<a name="support-authorization-concept-actions-resources"></a>

動作是 AWS 支援 可在支援調查期間執行的服務特定操作，例如讀取診斷日誌或檢視操作指標。每個動作都有描述性名稱，例如 `rds:ReadClusterData`或 `rds:ViewQueryLogsWithParameters`。您可以使用 `ListActions`和 `GetAction` API 操作來檢視每個服務的可用動作。如需詳細資訊，請參閱[探索支援動作](support-authorization-actions.md)。

資源由其 ARN 識別。當您限制支援許可的範圍時，您可以指定 AWS 支援 可以存取服務資訊的資源 ARNs，也可以允許存取 區域中所有資源的服務資訊。