AWS 的 受管政策 AWS DataSync - AWS DataSync
AWSDataSyncReadOnlyAccessAWSDataSyncFullAccessAWSDataSyncServiceRolePolicy政策更新

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 的 受管政策 AWS DataSync

若要新增許可給使用者、群組和角色，使用 AWS 受管政策比自行撰寫政策更容易。建立 IAM 客戶受管政策需要時間和專業知識，而受管政策可為您的團隊提供其所需的許可。若要快速開始使用，您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例，並可在您的 AWS 帳戶中使用。如需 AWS 受管政策的詳細資訊，請參閱《IAM 使用者指南》中的 AWS 受管政策。

AWS 服務 維護和更新 AWS 受管政策。您無法變更 AWS 受管政策中的許可。服務偶爾會在 AWS 受管政策中新增其他許可以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時，服務很可能會更新 AWS 受管政策。服務不會從 AWS 受管政策中移除許可，因此政策更新不會破壞您現有的許可。

此外， AWS 支援跨多個 服務之任務函數的受管政策。例如， ReadOnlyAccess AWS 受管政策提供所有 AWS 服務 和 資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務職能政策的清單和說明，請參閱 IAM 使用者指南中有關任務職能的AWS 受管政策。

AWS 受管政策： AWSDataSyncReadOnlyAccess

您可將 AWSDataSyncReadOnlyAccess 政策連接到 IAM 身分。

此政策會授予 DataSync 的唯讀許可。

JSON
{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "DataSyncReadOnlyAccessPermissions",
        "Effect": "Allow",
        "Action": [
            "datasync:Describe*",
            "datasync:List*",
            "ec2:DescribeSecurityGroups",
            "ec2:DescribeSubnets",
            "elasticfilesystem:DescribeFileSystems",
            "elasticfilesystem:DescribeMountTargets",
            "fsx:DescribeFileSystems",
            "iam:GetRole",
            "iam:ListRoles",
            "logs:DescribeLogGroups",
            "logs:DescribeResourcePolicies",
            "s3:ListAllMyBuckets",
            "s3:ListBucket"
        ],
        "Resource": "*"
    }]
}

AWS 受管政策： AWSDataSyncFullAccess

您可將 AWSDataSyncFullAccess 政策連接到 IAM 身分。

此政策會授予 DataSync 的管理許可，而且是 AWS Management Console 存取 服務的必要許可。 AWSDataSyncFullAccess提供 DataSync API 操作的完整存取權，以及與相關資源互動的操作 （例如 Amazon S3 儲存貯體、Amazon EFS 檔案系統、 AWS KMS 金鑰和 Secrets Manager 秘密）。此政策也會授予 Amazon CloudWatch 的許可，包括建立日誌群組以及建立或更新資源政策。

JSON
{
    "Version": "2012-10-17",
    "Statement": [{
            "Sid": "DataSyncFullAccessPermissions",
            "Effect": "Allow",
            "Action": [
                "datasync:*",
                "ec2:CreateNetworkInterface",
                "ec2:CreateNetworkInterfacePermission",
                "ec2:DeleteNetworkInterface",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRegions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:ModifyNetworkInterfaceAttribute",
                "fsx:DescribeFileSystems",
                "fsx:DescribeStorageVirtualMachines",
                "elasticfilesystem:DescribeAccessPoints",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:DescribeMountTargets",
                "iam:GetRole",
                "iam:ListRoles",
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups",
                "logs:DescribeResourcePolicies",
                "outposts:ListOutposts",
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "s3-outposts:ListAccessPoints",
                "s3-outposts:ListRegionalBuckets",
                "secretsmanager:ListSecrets",
                "kms:ListAliases",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DataSyncPassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "datasync.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "DataSyncCreateSLRPermissions",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/datasync.amazonaws.com/AWSServiceRoleForDataSync",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "datasync.amazonaws.com"
                }
            }
        },
        {
            "Sid": "DataSyncSecretsManagerCreateAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret"
            ],
            "Resource": [
                "arn:*:secretsmanager:*:*:secret:aws-datasync!*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "DataSyncSecretsManagerAccess",
            "Effect": "Allow",
            "Action": [

                "secretsmanager:DeleteSecret",
                "secretsmanager:UpdateSecret",
                "secretsmanager:PutSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:*:*:secret:aws-datasync!*"
            ],
            "Condition": {
                "StringEquals": {
                    "secretsmanager:ResourceTag/aws:secretsmanager:owningService": "aws-datasync",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
         }
    ]
}

AWS 受管政策： AWSDataSyncServiceRolePolicy

您無法將AWSDataSyncServiceRolePolicy政策連接至 IAM 身分。此政策會連接到服務連結角色，允許 DataSync 代表您執行動作。如需詳細資訊，請參閱使用 DataSync 的服務連結角色。

此政策授予管理許可，允許服務連結角色使用增強模式為 DataSync 任務建立 Amazon CloudWatch logs。

政策更新

變更 描述 日期
AWSDataSyncFullAccess – 變更

適用於 的 DataSync 修改許可陳述式AWSDataSyncFullAccess：

更新的陳述式會從 DataSync 用來建立 Secrets Manager 秘密的許可中移除標記條件。

 2025 年 5 月 13 日
AWSDataSyncFullAccess – 變更

DataSync 已將新許可新增至 AWSDataSyncFullAccess：

  • secretsmanager:CreateSecret

  • secretsmanager:PutSecretValue

  • secretsmanager:DeleteSecret

  • secretsmanager:UpdateSecret

這些許可可讓 DataSync 建立、編輯和刪除 AWS Secrets Manager 秘密。

 2025 年 5 月 7 日
AWSDataSyncFullAccess – 變更

DataSync 已將新許可新增至 AWSDataSyncFullAccess：

  • secretsmanager:ListSecrets

  • kms:ListAliases

  • kms:DescribeKey

這些許可可讓 DataSync 擷取有關 AWS Secrets Manager 秘密和 AWS KMS 金鑰的中繼資料，包括與金鑰相關聯的任何別名。

 2025 年 4 月 23 日
AWSDataSyncServiceRolePolicy – 變更

DataSync 已將新許可新增至 DataSync 服務連結角色 所使用的AWSDataSyncServiceRolePolicy政策AWSServiceRoleForDataSync：

  • secretsmanager:DescribeSecret

  • secretsmanager:GetSecretValue

這些許可可讓 DataSync 讀取由 管理之秘密的中繼資料和值 AWS Secrets Manager。

 2025 年 4 月 15 日
AWSDataSyncServiceRolePolicy – 新政策

DataSync 新增了 DataSync 服務連結角色 所使用的政策AWSServiceRoleForDataSync。此新受管政策會自動為使用增強模式的 DataSync 任務建立 Amazon CloudWatch logs。

 2024 年 10 月 30 日
AWSDataSyncFullAccess – 變更

DataSync 新增許可至 AWSDataSyncFullAccess：

  • iam:CreateServiceLinkedRole

此許可可讓 DataSync 為您建立服務連結角色。

 2024 年 10 月 30 日
AWSDataSyncFullAccess – 變更

DataSync 新增許可至 AWSDataSyncFullAccess：

  • ec2:DescribeRegions

此許可可讓您在建立之間傳輸的 DataSync 任務時選擇加入區域 AWS 區域。

 2024 年 7 月 22 日
AWSDataSyncFullAccess – 變更

DataSync 新增許可至 AWSDataSyncFullAccess：

  • s3:ListBucketVersions

此許可可讓您選擇 DataSync 資訊清單的特定版本。

 2024 年 2 月 16 日

AWSDataSyncFullAccess – 變更

DataSync 已將新許可新增至 AWSDataSyncFullAccess：

  • ec2:DescribeVpcEndpoints

  • elasticfilesystem:DescribeAccessPoints

  • fsx:DescribeStorageVirtualMachines

  • outposts:ListOutposts

  • s3:GetBucketLocation

  • s3-outposts:ListAccessPoints

  • s3-outposts:ListRegionalBuckets

這些許可可協助您為 Amazon EFS、Amazon FSx for NetApp ONTAP、Amazon S3 和 S3 on Outposts 建立 DataSync 代理程式和位置。

 2023 年 5 月 2 日

DataSync 開始追蹤變更

DataSync 開始追蹤其 AWS 受管政策的變更。

 2021 年 3 月 1 日