本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 的身分和存取管理 AWS IoT SiteWise AWS Identity and Access Management (IAM) 是 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 AWS IoT SiteWise 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [AWS IoT SiteWise 安全對象](security_iam_audience.md) + [使用 中的身分進行身分驗證 AWS IoT SiteWise](security_iam_authentication.md) + [AWS IoT SiteWise 如何使用 IAM](security_iam_service-with-iam.md) + [AWS 的 受管政策 AWS IoT SiteWise](security-iam-awsmanpol.md) + [使用 的服務連結角色 AWS IoT SiteWise](using-service-linked-roles.md) + [在 中設定事件警示的許可 AWS IoT SiteWise](alarms-iam-permissions.md) + [中的跨服務混淆代理人預防 AWS IoT SiteWise](cross-service-confused-deputy-prevention.md) + [對 AWS IoT SiteWise 身分和存取進行故障診斷](security_iam_troubleshoot.md) # AWS IoT SiteWise 安全對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS IoT SiteWise 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS IoT SiteWise 如何使用 IAM](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [AWS IoT SiteWise 身分型政策範例](security_iam_id-based-policy-examples.md)) # 使用 中的身分進行身分驗證 AWS IoT SiteWise 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ## AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分可完整存取所有 AWS 服務 和 資源。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ## IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ## IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # AWS IoT SiteWise 如何使用 IAM 在您使用 AWS Identity and Access Management (IAM) 來管理 的存取權之前 AWS IoT SiteWise，您應該了解可使用哪些 IAM 功能 AWS IoT SiteWise。 | IAM 功能 | 支援 AWS IoT SiteWise？ | | --- | --- | | [具有資源層級許可的身分型政策](security_iam_service-with-iam-id-based-policies.md) | 是 | | [政策動作](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [政策條件索引鍵](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | 資源型政策 | 否 | | 存取控制清單 (ACL) | 否 | | [標籤型授權 (ABAC)](security_iam_service-with-iam-tags.md) | 是 | | [臨時憑證](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS) ](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-principal-permissions) | 是 | | [服務連結角色](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-service-linked) | 是 | | [服務角色](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-service-linked) | 是 | 若要全面了解 AWS IoT SiteWise 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的[AWS 與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **Contents** + [AWS IoT SiteWise IAM 角色](security_iam_service-with-iam-roles.md) + [搭配 使用暫時登入資料 AWS IoT SiteWise](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-tempcreds) + [轉送 的存取工作階段 (FAS) AWS IoT SiteWise](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-principal-permissions) + [服務連結角色](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-service-linked) + [服務角色](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-service) + [在 中選擇 IAM 角色 AWS IoT SiteWise](security_iam_service-with-iam-roles.md#security_iam_service-with-iam-roles-choose) + [以 AWS IoT SiteWise 標籤為基礎的授權](security_iam_service-with-iam-tags.md) + [AWS IoT SiteWise 身分型政策](security_iam_service-with-iam-id-based-policies.md) + [政策動作](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-actions) + [BatchPutAssetPropertyValue 授權](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-batchputassetpropertyvalue-action) + [政策資源](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-resources) + [政策條件索引鍵](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-conditionkeys) + [範例](security_iam_service-with-iam-id-based-policies.md#security_iam_service-with-iam-id-based-policies-examples) + [AWS IoT SiteWise 身分型政策範例](security_iam_id-based-policy-examples.md) + [政策最佳實務](security_iam_id-based-policy-examples.md#security_iam_service-with-iam-policy-best-practices) + [使用 AWS IoT SiteWise 主控台](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-own-permissions) + [允許使用者在一個階層中將資料擷取至資產](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-ingest-to-one-asset-hierarchy) + [根據標籤檢視 AWS IoT SiteWise 資產](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-asset-tags) + [使用 中的政策管理存取權 AWS IoT SiteWise](security_iam_access-manage.md) + [身分型政策](security_iam_access-manage.md#security_iam_access-manage-id-based-policies) + [資源型政策](security_iam_access-manage.md#security_iam_access-manage-resource-based-policies) + [存取控制清單 (ACL)](security_iam_access-manage.md#security_iam_access-manage-acl) + [其他政策類型](security_iam_access-manage.md#security_iam_access-manage-other-policies) + [多種政策類型](security_iam_access-manage.md#security_iam_access-manage-multiple-policies) # AWS IoT SiteWise IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具備特定許可的實體。 ## 搭配 使用暫時登入資料 AWS IoT SiteWise 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您取得暫時安全憑證的方式是透過呼叫 AWS STS API 作業 (例如，[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html))。 AWS IoT SiteWise 支援使用臨時登入資料。 SiteWise Monitor 支援聯合身分使用者存取入口網站。入口網站使用者使用其 IAM Identity Center 或 IAM 登入資料進行身分驗證。 **重要** 使用者或角色必須具有登入入口網站的`iotsitewise:DescribePortal`許可。 當使用者登入入口網站時，SiteWise Monitor 會產生工作階段政策，提供下列許可： + 您入口網站角色提供存取權 AWS IoT SiteWise 之帳戶中資產和資產資料的唯讀存取權。 + 存取該入口網站中使用者具有管理員 (專案擁有者) 或唯讀 (專案檢視者) 存取權的專案。 如需聯合入口網站使用者許可的詳細資訊，請參閱[使用 的服務角色 AWS IoT SiteWise Monitor](monitor-service-role.md)。 ## 轉送 的存取工作階段 (FAS) AWS IoT SiteWise **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## 服務連結角色 [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html#id_roles_terms-and-concepts)可讓 AWS 服務存取其他 服務中的資源，以代表您完成 動作。 服務連結角色會出現在您的帳戶中 AWS ，且由 服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 AWS IoT SiteWise 支援服務連結角色。如需建立或管理 AWS IoT SiteWise 服務連結角色的詳細資訊，請參閱[使用 的服務連結角色 AWS IoT SiteWise](using-service-linked-roles.md)。 ## 服務角色 此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html#id_roles_terms-and-concepts)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的帳戶中 AWS ，並由該帳戶擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 AWS IoT SiteWise 使用服務角色來允許 SiteWise Monitor 入口網站使用者代表您存取您的 AWS IoT SiteWise 部分資源。如需詳細資訊，請參閱[使用 的服務角色 AWS IoT SiteWise Monitor](monitor-service-role.md)。 您必須先擁有必要的許可，才能在其中建立 AWS IoT Events 警示模型 AWS IoT SiteWise。如需詳細資訊，請參閱[在 中設定事件警示的許可 AWS IoT SiteWise](alarms-iam-permissions.md)。 ## 在 中選擇 IAM 角色 AWS IoT SiteWise 在 中建立`portal`資源時 AWS IoT SiteWise，您必須選擇一個角色，以允許 SiteWise Monitor 入口網站的聯合身分使用者 AWS IoT SiteWise 代表您存取 。如果您先前已建立服務角色，則 AWS IoT SiteWise 會為您提供可供選擇的角色清單。否則，您可以在建立入口網站時建立具有必要許可的角色。請務必選擇允許存取您的資產和資產資料的角色。如需詳細資訊，請參閱[使用 的服務角色 AWS IoT SiteWise Monitor](monitor-service-role.md)。 # 以 AWS IoT SiteWise 標籤為基礎的授權 您可以將標籤連接至 AWS IoT SiteWise 資源，或在請求中將標籤傳遞至其中 AWS IoT SiteWise。如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。如需標記 AWS IoT SiteWise 資源的詳細資訊，請參閱 [標記您的 AWS IoT SiteWise 資源](tag-resources.md)。 若要檢視身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱 [根據標籤檢視 AWS IoT SiteWise 資產](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-asset-tags)。 # AWS IoT SiteWise 身分型政策 IAM 政策可讓您控制誰可以在其中執行動作 AWS IoT SiteWise。您可以決定是否允許哪些動作，並為這些動作設定特定條件。例如，您可以制定有關誰可以在 中查看或變更資訊的規則 AWS IoT SiteWise。 AWS IoT SiteWise 支援特定動作、資源和條件索引鍵。若要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ## 政策動作 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 中的政策動作在動作之前 AWS IoT SiteWise 使用下列字首：`iotsitewise:`。例如，若要授予某人使用 `BatchPutAssetPropertyValue` API AWS IoT SiteWise 操作將資產屬性資料上傳至 的許可，請在其政策中包含 `iotsitewise:BatchPutAssetPropertyValue`動作。政策陳述式必須包含 `Action`或 `NotAction`元素。 AWS IoT SiteWise 會定義自己的一組動作，描述您可以使用此服務執行的任務。 若要在單一陳述式中指定多個  動作，請用逗號分隔，如下所示。 ``` "Action": [ "iotsitewise:action1", "iotsitewise:action2" ] ``` 您也可以使用萬用字元 (\$1) 來指定多個動作。例如，如需指定開頭是 `Describe` 文字的所有動作，請包含以下動作： ``` "Action": "iotsitewise:Describe*" ``` 若要查看 AWS IoT SiteWise 動作清單，請參閱《*IAM 使用者指南*》中的 [定義的動作 AWS IoT SiteWise](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiotsitewise.html#awsiotsitewise-actions-as-permissions)。 ### BatchPutAssetPropertyValue 授權 AWS IoT SiteWise 以不尋常的方式授權存取 [BatchPutAssetPropertyValue](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_BatchPutAssetPropertyValue.html) 動作。對於大多數動作，當您允許或拒絕存取時，如果未授予許可，該動作會傳回錯誤。使用 `BatchPutAssetPropertyValue`，您可以將多個資料項目傳送至單一 API 請求中的不同資產和資產屬性。 AWS IoT SiteWise 會獨立授權每個資料項目。對於請求中授權失敗的任何個別項目， `AccessDeniedException`會在傳回的錯誤清單中 AWS IoT SiteWise 包含 。 會 AWS IoT SiteWise 接收授權和成功之任何項目的資料，即使相同請求中的另一個項目失敗。 **重要** 在將資料擷取至資料串流之前，請執行下列動作： 如果您使用屬性別名來識別資料串流，請授權`time-series`資源。 如果您使用資產 ID 來識別包含相關聯資產屬性的資產，請授權`asset`資源。 ## 政策資源 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` 每個 IAM 政策陳述式都會套用到您使用其 ARN 指定的資源。ARN 一般的語法如下所示。 ``` arn:${Partition}:${Service}:${Region}:${Account}:${ResourceType}/${ResourcePath} ``` 如需 ARNs 格式的詳細資訊，請參閱[使用 Amazon Resource Name (ARNs) 識別 AWS 資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)。 例如，若要在陳述式中指定 ID 為 `a1b2c3d4-5678-90ab-cdef-22222EXAMPLE` 的資產，請使用下列 ARN。 ``` "Resource": "arn:aws:iotsitewise:region:123456789012:asset/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE" ``` 若要指定屬於特定帳戶的所有資料串流，請使用萬用字元 (\$1)： ``` "Resource": "arn:aws:iotsitewise:region:123456789012:time-series/*" ``` 若要指定屬於特定帳戶的所有資產，請使用萬用字元 (\$1)： ``` "Resource": "arn:aws:iotsitewise:region:123456789012:asset/*" ``` 有些 AWS IoT SiteWise 動作無法在特定資源上執行，例如用於建立資源的動作。在這些情況下，您必須使用萬用字元 (\$1)。 ``` "Resource": "*" ``` 若要在單一陳述式中指定多項資源，請使用逗號分隔 ARN。 ``` "Resource": [ "resource1", "resource2" ] ``` 若要查看 AWS IoT SiteWise 資源類型及其 ARNs的清單，請參閱《*IAM 使用者指南*》中的 [定義的資源類型 AWS IoT SiteWise](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiotsitewise.html#awsiotsitewise-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS IoT SiteWise定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiotsitewise.html#awsiotsitewise-actions-as-permissions)。 ## 政策條件索引鍵 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 **重要** 許多條件鍵均為資源專屬，而且部分 API 動作使用多個資源。若您撰寫的政策陳述式具備條件鍵，請使用陳述式的 `Resource` 元素來指定套用該條件鍵的資源。如果您未這麼做，該政策可能會導致使用者完全無法執行該動作，因為未套用條件鍵之資源的條件檢查會失敗。若您不希望指定資源，或者若已撰寫政策的 `Action` 元素來納入多個 API 動作，則您必須使用 `...IfExists` 條件類型，以確保未使用該條件鍵的資源，忽略該條件鍵。如需詳細資訊，請參閱 [...IAM 使用者指南中的 IfExists 條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Conditions_IfExists)。 ** AWS IoT SiteWise 會定義自己的一組條件金鑰，也支援使用一些全域條件金鑰。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 **AWS IoT SiteWise 條件索引鍵** | 條件金鑰 | Description | 類型 | | --- | --- | --- | | iotsitewise:isAssociatedWithAssetProperty | 資料串流是否與資產屬性相關聯。使用此條件索引鍵，根據資料串流的相關聯資產屬性是否存在來定義許可。 範例值：`true` | String | | iotsitewise:assetHierarchyPath | 資產的階層路徑，也就是資產 ID 的字串，每個都以正斜線分隔。使用此條件鍵可根據帳戶中所有資產階層的子集來定義許可。 範例值：`/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/a1b2c3d4-5678-90ab-cdef-66666EXAMPLE` | String | | iotsitewise:propertyId | 資產屬性的 ID。使用此條件鍵可根據資產模型的指定屬性來定義許可。此條件鍵適用於該模型的所有資產。 範例值：`a1b2c3d4-5678-90ab-cdef-33333EXAMPLE` | String | | iotsitewise:childAssetId | 資產的 ID，此資產是其他資產相關聯的子系。使用此條件鍵可根據子資產定義許可。若要根據父資產來定義許可，請使用政策陳述式的資源區段。 範例值：`a1b2c3d4-5678-90ab-cdef-66666EXAMPLE` | String | | iotsitewise:iam | 列出存取政策時的 IAM 身分 ARN。使用此條件金鑰來定義 IAM 身分的存取政策許可。 範例值：`arn:aws:iam::123456789012:user/JohnDoe` | 字串、Null | | iotsitewise:propertyAlias | 識別資產屬性或資料串流的別名。使用此條件索引鍵根據別名定義許可。 | String | | iotsitewise:user | 列出存取政策時 IAM Identity Center 使用者的 ID。使用此條件金鑰來定義 IAM Identity Center 使用者的存取政策許可。 範例值：`a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE` | 字串、Null | | iotsitewise:group | 列出存取政策時的 IAM Identity Center 群組 ID。使用此條件金鑰來定義 IAM Identity Center 群組的存取政策許可。 範例值：`a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-bbbbbEXAMPLE` | 字串、Null | | iotsitewise:portal | 存取政策中入口網站的 ID。使用此條件鍵，根據入口網站定義存取政策許可。 範例值：`a1b2c3d4-5678-90ab-cdef-77777EXAMPLE` | 字串、Null | | iotsitewise:project | 存取政策中專案的 ID，或儀表板的專案 ID。使用此條件鍵，根據專案定義儀表板或存取政策許可。 範例值：`a1b2c3d4-5678-90ab-cdef-88888EXAMPLE` | 字串、Null | 若要了解您可以使用條件索引鍵的動作和資源，請參閱 [定義的動作 AWS IoT SiteWise](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiotsitewise.html#awsiotsitewise-actions-as-permissions)。 ## 範例 若要檢視 AWS IoT SiteWise 身分型政策的範例，請參閱 [AWS IoT SiteWise 身分型政策範例](security_iam_id-based-policy-examples.md)。 # AWS IoT SiteWise 身分型政策範例 根據預設，實體 （使用者和角色） 沒有建立或修改 AWS IoT SiteWise 資源的許可。他們也無法使用 AWS 管理主控台、 AWS Command Line Interface (AWS CLI) 或 AWS API 執行任務。若要調整許可， AWS Identity and Access Management (IAM) 管理員必須執行下列動作： 1. 建立 IAM 政策，授予使用者和角色對所需資源執行特定 API 操作的許可。 1. 將這些政策連接到需要這些許可的使用者或群組。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《IAM 使用者指南》**中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 AWS IoT SiteWise 主控台](#security_iam_id-based-policy-examples-console) + [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [允許使用者在一個階層中將資料擷取至資產](#security_iam_id-based-policy-examples-ingest-to-one-asset-hierarchy) + [根據標籤檢視 AWS IoT SiteWise 資產](#security_iam_id-based-policy-examples-view-asset-tags) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS IoT SiteWise 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 AWS IoT SiteWise 主控台 若要存取 AWS IoT SiteWise 主控台，您需要一組基本許可。這些許可可讓您查看和管理帳戶中 AWS IoT SiteWise 資源的詳細資訊 AWS 。 如果您將政策設為太嚴格的政策，則對於具有該政策的使用者或角色 （實體），主控台可能無法如預期般運作。為了確保這些實體仍然可以使用 AWS IoT SiteWise 主控台，請將 [AWSIoTSiteWiseConsoleFullAccess](https://console.aws.amazon.com/iam/home#/policies/policies/arn:aws:iam::aws:policy/AWSIoTSiteWiseConsoleFullAccess) 受管政策連接到這些實體，或定義這些實體的同等許可。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 如果實體僅使用 AWS Command Line Interface (CLI) 或 AWS IoT SiteWise API，而不是主控台，則不需要這些最低許可。在這種情況下，只要讓他們存取 API 任務所需的特定動作即可。 ## 允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 允許使用者在一個階層中將資料擷取至資產 在此範例中，您想要授予 AWS 帳戶中的使用者從根資產 開始，將資料寫入特定資產階層中所有資產屬性的存取權`a1b2c3d4-5678-90ab-cdef-22222EXAMPLE`。政策會將 `iotsitewise:BatchPutAssetPropertyValue` 許可授予使用者。此政策會使用 `iotsitewise:assetHierarchyPath` 條件鍵來限制對階層路徑符合資產或其子代之資產的存取。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "PutAssetPropertyValuesForHierarchy", "Effect": "Allow", "Action": "iotsitewise:BatchPutAssetPropertyValue", "Resource": "arn:aws:iotsitewise:*:*:asset/*", "Condition": { "StringLike": { "iotsitewise:assetHierarchyPath": [ "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE", "/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/*" ] } } } ] } ``` ------ ## 根據標籤檢視 AWS IoT SiteWise 資產 在身分型政策中使用條件，根據標籤控制對 AWS IoT SiteWise 資源的存取。此範例說明如何建立允許資產檢視的政策。但是，只有在資產標籤 `Owner` 數值是該使用者的使用者名稱時，才會授予該許可。此政策也會授予在 主控台上完成此動作的許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ListAllAssets", "Effect": "Allow", "Action": [ "iotsitewise:ListAssets", "iotsitewise:ListAssociatedAssets" ], "Resource": "*" }, { "Sid": "DescribeAssetIfOwner", "Effect": "Allow", "Action": "iotsitewise:DescribeAsset", "Resource": "arn:aws:iotsitewise:*:*:asset/*", "Condition": { "StringEquals": { "aws:ResourceTag/Owner": "${aws:username}" } } } ] } ``` ------ 將此政策連接到您帳戶中的使用者。如果名為 的使用者`richard-roe`嘗試檢視 AWS IoT SiteWise 資產，資產必須加上標籤 `Owner=richard-roe`或 `owner=richard-roe`。否則，Richard 會被拒絕存取。條件標籤金鑰名稱不區分大小寫。因此， 同時`Owner`符合 `Owner`和 `owner`。如需詳細資訊，請參閱*《IAM 使用者指南》*中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 # 使用 中的政策管理存取權 AWS IoT SiteWise 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ## 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ## 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在以資源為基礎的政策中使用來自 IAM 的 AWS 受管政策。 ## 存取控制清單 (ACL) 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 Amazon S3 AWS WAF和 Amazon VPC 是支援 ACLs的服務範例。如需進一步了解 ACL，請參閱《Amazon Simple Storage Service 開發人員指南》**中的[存取控制清單 (ACL) 概觀](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 ## 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ## 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # AWS 的 受管政策 AWS IoT SiteWise 使用 AWS 受管政策來簡化使用者、群組和角色的新增許可，而不是自行撰寫政策。建立提供團隊精確許可的 [IAM 客戶受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要時間和專業知識。為了加快設定速度，請考慮將我們的 AWS 受管政策用於常見使用案例。尋找您 AWS 帳戶中的 AWS 受管政策。如需 AWS 受管政策的更多相關資訊，請參閱「IAM 使用者指南」**中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 AWS 服務負責更新和維護 AWS 受管政策，這表示您無法修改這些政策的許可。有時， AWS IoT SiteWise 可能會新增許可以容納新功能，影響附加政策的所有身分。這類更新在引進新服務或功能時很常見。不過，許可永遠不會移除，確保您的設定保持不變。 此外， AWS 支援跨多個 服務之任務函數的受管政策。例如，**ReadOnlyAccess** AWS 受管政策提供所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時， 會為新操作和資源 AWS 新增唯讀許可。如需任務函數政策說明的清單，請參閱《*IAM 使用者指南*》中的[AWS 任務函數的受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 ## AWS 受管政策：AWSIoTSiteWiseReadOnlyAccess 使用 `AWSIoTSiteWiseReadOnlyAccess` AWS 受管政策允許唯讀存取 AWS IoT SiteWise。 您可將 `AWSIoTSiteWiseReadOnlyAccess` 政策連接到 IAM 身分。 **服務層級許可** 此政策提供 的唯讀存取權 AWS IoT SiteWise，包括執行唯讀 SQL 查詢的許可。此政策中不包含任何其他服務許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:BatchGetAssetPropertyAggregates", "iotsitewise:BatchGetAssetPropertyValue", "iotsitewise:BatchGetAssetPropertyValueHistory", "iotsitewise:DescribeAccessPolicy", "iotsitewise:DescribeAction", "iotsitewise:DescribeAsset", "iotsitewise:DescribeAssetCompositeModel", "iotsitewise:DescribeAssetModel", "iotsitewise:DescribeAssetModelCompositeModel", "iotsitewise:DescribeAssetModelInterfaceRelationship", "iotsitewise:DescribeAssetProperty", "iotsitewise:DescribeBulkImportJob", "iotsitewise:DescribeComputationModel", "iotsitewise:DescribeComputationModelExecutionSummary", "iotsitewise:DescribeDashboard", "iotsitewise:DescribeDataset", "iotsitewise:DescribeDefaultEncryptionConfiguration", "iotsitewise:DescribeExecution", "iotsitewise:DescribeGateway", "iotsitewise:DescribeGatewayCapabilityConfiguration", "iotsitewise:DescribeLoggingOptions", "iotsitewise:DescribePortal", "iotsitewise:DescribeProject", "iotsitewise:DescribeStorageConfiguration", "iotsitewise:DescribeTimeSeries", "iotsitewise:GetAssetPropertyAggregates", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetInterpolatedAssetPropertyValues", "iotsitewise:ListAccessPolicies", "iotsitewise:ListActions", "iotsitewise:ListAssetModelCompositeModels", "iotsitewise:ListAssetModelProperties", "iotsitewise:ListAssetModels", "iotsitewise:ListAssetProperties", "iotsitewise:ListAssetRelationships", "iotsitewise:ListAssets", "iotsitewise:ListAssociatedAssets", "iotsitewise:ListBulkImportJobs", "iotsitewise:ListCompositionRelationships", "iotsitewise:ListComputationModelDataBindingUsages", "iotsitewise:ListComputationModelResolveToResources", "iotsitewise:ListComputationModels", "iotsitewise:ListDashboards", "iotsitewise:ListDatasets", "iotsitewise:ListExecutions", "iotsitewise:ListGateways", "iotsitewise:ListInterfaceRelationships", "iotsitewise:ListPortals", "iotsitewise:ListProjectAssets", "iotsitewise:ListProjects", "iotsitewise:ListTagsForResource", "iotsitewise:ListTimeSeries" ], "Resource": "*" } ] } ``` ------ ## AWS 受管政策：AWSServiceRoleForIoTSiteWise `AWSServiceRoleForIoTSiteWise` 角色使用具有下列許可`AWSServiceRoleForIoTSiteWise`的政策。此政策： + 允許 部署 SiteWise Edge 閘道 AWS IoT SiteWise （在 上執行`AWS IoT Greengrass`)。 + 允許 AWS IoT SiteWise 執行記錄。 + 允許 對 AWS IoT TwinMaker 資料庫 AWS IoT SiteWise 執行中繼資料搜尋查詢。 如果您使用 AWS IoT SiteWise 搭配單一使用者帳戶，`AWSServiceRoleForIoTSiteWise`角色會在您的 IAM 帳戶中建立`AWSServiceRoleForIoTSiteWise`政策，並將其連接至 `AWSServiceRoleForIoTSiteWise`的服務連結角色。 [AWS IoT SiteWise](using-service-linked-roles.md) ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws-us-gov:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws-us-gov:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws-us-gov:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws-cn:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws-cn:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws-cn:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ ## AWS IoT SiteWise AWS 受管政策的更新 您可以檢視 AWS 受管政策更新的詳細資訊 AWS IoT SiteWise，從此服務開始追蹤變更開始。如需此頁面變更的自動提醒，請訂閱 AWS IoT SiteWise 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSServiceRoleForIoTSiteWise](#security-iam-awsmanpol-AWSServiceRoleForIoTSiteWise) – 更新至現有政策 | AWS IoT SiteWise 現在可對 AWS IoT TwinMaker 資料庫執行中繼資料搜尋查詢。 | 2023 年 11 月 6 日 | | [AWSIoTSiteWiseReadOnlyAccess](#security-iam-awsmanpol-AWSIoTSiteWiseReadOnlyAccess) – 更新現有政策 | AWS IoT SiteWise 新增了新的政策字首 `BatchGet*`，可讓您執行批次讀取操作。 | 2022 年 9 月 16 日 | | [AWSIoTSiteWiseReadOnlyAccess](#security-iam-awsmanpol-AWSIoTSiteWiseReadOnlyAccess) – 新政策 | AWS IoT SiteWise 新增了新的政策，以授予 的唯讀存取權 AWS IoT SiteWise。 | 2021 年 11 月 24 日 | | AWS IoT SiteWise 開始追蹤變更 | AWS IoT SiteWise 已開始追蹤其 AWS 受管政策的變更。 | 2021 年 11 月 24 日 | # 使用 的服務連結角色 AWS IoT SiteWise AWS IoT SiteWise use AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html)。服務連結角色是直接連結的唯一 IAM 角色類型 AWS IoT SiteWise。服務連結角色是由 預先定義， AWS IoT SiteWise 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。 服務連結角色透過自動包含所有必要的許可 AWS IoT SiteWise 來簡化 的組態。 AWS IoT SiteWise 定義其服務連結角色的許可，除非另有定義，否則只能 AWS IoT SiteWise 擔任其角色。已定義的許可包括信任政策和許可政策。而且該許可政策無法連接到任何其他 IAM 實體。 您必須先刪除服務連結角色的相關資源，才能將其刪除。這可保護您的 AWS IoT SiteWise 資源，因為您不會不小心移除存取資源的許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱[AWS 使用 IAM 的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。 **Topics** + [服務連結角色許可](service-linked-role-permissions.md) + [建立服務連結角色](create-service-linked-role.md) + [更新服務連結角色](edit-service-linked-role.md) + [刪除服務連結角色](delete-service-linked-role.md) + [支援的 區域](#slr-regions) + [使用 SiteWise Monitor 的服務角色](monitor-service-role.md) # 的服務連結角色許可 AWS IoT SiteWise AWS IoT SiteWise 使用名為 **AWSServiceRoleForIoTSiteWise** 的服務連結角色。 AWS IoT SiteWise 會使用此服務連結角色來部署 SiteWise Edge 閘道 （在 上執行 AWS IoT Greengrass) 並執行記錄。 `AWSServiceRoleForIoTSiteWise` 服務連結角色使用具有下列許可`AWSServiceRoleForIoTSiteWise`的政策。此政策： + 允許 部署 SiteWise Edge 閘道 AWS IoT SiteWise （在 上執行`AWS IoT Greengrass`)。 + 允許 AWS IoT SiteWise 執行記錄。 + 允許 對 AWS IoT TwinMaker 資料庫 AWS IoT SiteWise 執行中繼資料搜尋查詢。 如需 中允許動作的詳細資訊`AWSServiceRoleForIoTSiteWise`，請參閱 [AWS 的 受管政策 AWS IoT SiteWise](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSServiceRoleForIoTSiteWise)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws-us-gov:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws-us-gov:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws-us-gov:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowSiteWiseReadGreenGrass", "Effect": "Allow", "Action": [ "greengrass:GetAssociatedRole", "greengrass:GetCoreDefinition", "greengrass:GetCoreDefinitionVersion", "greengrass:GetGroup", "greengrass:GetGroupVersion" ], "Resource": "*" }, { "Sid": "AllowSiteWiseAccessLogGroup", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:DescribeLogGroups" ], "Resource": "arn:aws-cn:logs:*:*:log-group:/aws/iotsitewise*" }, { "Sid": "AllowSiteWiseAccessLog", "Effect": "Allow", "Action": [ "logs:CreateLogStream", "logs:DescribeLogStreams", "logs:PutLogEvents" ], "Resource": "arn:aws-cn:logs:*:*:log-group:/aws/iotsitewise*:log-stream:*" }, { "Sid": "AllowSiteWiseAccessSiteWiseManagedWorkspaceInTwinMaker", "Effect": "Allow", "Action": [ "iottwinmaker:GetWorkspace", "iottwinmaker:ExecuteQuery" ], "Resource": "arn:aws-cn:iottwinmaker:*:*:workspace/*", "Condition": { "ForAnyValue:StringEquals": { "iottwinmaker:linkedServices": [ "IOTSITEWISE" ] } } } ] } ``` ------ 您可以使用日誌來監控 SiteWise Edge 閘道並進行疑難排解。如需詳細資訊，請參閱[監控 SiteWise Edge 閘道日誌](monitor-gateway-logs.md)。 若要允許 IAM 實體 （例如使用者、群組或角色） 建立、編輯或刪除服務連結角色，請先設定許可。如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html#service-linked-role-permissions)。 # 建立 的服務連結角色 AWS IoT SiteWise AWS IoT SiteWise 需要服務連結角色才能執行特定動作，並代表您存取資源。服務連結角色是直接連結至的 AWS Identity and Access Management (IAM) 角色的唯一類型 AWS IoT SiteWise。透過建立此角色，您授予 AWS IoT SiteWise 必要的許可，以存取其操作所需的其他 AWS 服務和資源，例如 Amazon S3 用於資料儲存或 AWS IoT 裝置通訊。 您不需要手動建立服務連結角色，當您在 AWS IoT SiteWise 主控台中執行下列操作時， 會為您 AWS IoT SiteWise 建立服務連結角色。 + 建立 Greengrass V1 閘道。 + 設定記錄選項。 + 在執行查詢橫幅中選擇加入按鈕。 若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您在 AWS IoT SiteWise 主控台中執行任何操作時， 會再次為您 AWS IoT SiteWise 建立服務連結角色。 您也可以使用 IAM 主控台或 API 為 建立服務連結角色 AWS IoT SiteWise。 + 若要在 IAM 主控台中執行此操作，請使用 **AWSServiceRoleForIoTSiteWise** 政策建立角色，並與 建立信任關係`iotsitewise.amazonaws.com`。 + 若要使用 AWS CLI 或 IAM API 執行此操作，請使用 `arn:aws:iam::aws:policy/aws-service-role/AWSServiceRoleForIoTSiteWise`政策和與 的信任關係來建立角色`iotsitewise.amazonaws.com`。 如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html#create-service-linked-role)。 如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。 # 更新 的服務連結角色 AWS IoT SiteWise AWS IoT SiteWise 不允許您編輯 AWSServiceRoleForIoTSiteWise 服務連結角色。因為可能有各種實體會參考服務連結角色，所以您無法在建立角色之後變更其名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱[《IAM 使用者指南》中的更新服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-service-linked-role.html)。 ** # 刪除 的服務連結角色 AWS IoT SiteWise 如果不再使用需要服務連結角色的功能或服務，建議您刪除相關聯的角色。這是為了避免具有未受監控或維護的非作用中實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。 **注意** 如果 AWS IoT SiteWise 服務在您嘗試刪除資源時使用角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試。 **刪除 AWSServiceRoleForIoTSiteWise 使用 AWS IoT SiteWise 的資源** 1. 停用 的記錄 AWS IoT SiteWise。如需詳細資訊，請參閱[變更您的記錄層級](monitor-cloudwatch-logs.md#change-logging-level) 1. 刪除任何作用中的 SiteWise Edge 閘道。 **使用 IAM 手動刪除服務連結角色** 使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 AWSServiceRoleForIoTSiteWise 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除角色或執行個體描述](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html#delete-service-linked-role)檔。 ## AWS IoT SiteWise 服務連結角色支援的區域 AWS IoT SiteWise 支援在提供服務的所有區域中使用服務連結角色。如需詳細資訊，請參閱 [AWS IoT SiteWise 端點和配額](https://docs.aws.amazon.com/general/latest/gr/iot-sitewise.html)。 # 使用 的服務角色 AWS IoT SiteWise Monitor 服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 若要允許聯合身分 SiteWise Monitor 入口網站使用者存取您的 AWS IoT SiteWise和 AWS IAM Identity Center 資源，您必須將服務角色連接至您建立的每個入口網站。服務角色必須將 SiteWise Monitor 指定為信任的實體，並包含 [AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess) 受管政策或定義[同等許可](#monitor-service-role-permissions)。此政策由 維護 AWS ，並定義 SiteWise Monitor 用來存取 AWS IoT SiteWise 和 IAM Identity Center 資源的一組許可。 建立 SiteWise Monitor 入口網站時，您必須選擇允許該入口網站使用者存取 AWS IoT SiteWise和 IAM Identity Center 資源的角色。 AWS IoT SiteWise 主控台可以為您建立和設定角色。您可以稍後在 IAM 中編輯角色。如果您從角色移除必要的許可或刪除角色，您的入口網站使用者將遇到使用 SiteWise Monitor 入口網站的問題。 **注意** 在 2020 年 4 月 29 日前建立的入口網站不需要服務角色。如果您在此日期前建立了入口網站，則必須連接服務角色才能繼續使用。若要這樣做，請導覽至 [AWS IoT SiteWise 主控台](https://console.aws.amazon.com/iotsitewise/)中的**入口網站**頁面，然後選擇**遷移所有入口網站以使用 IAM 角色**。 下列各節說明如何在 AWS 管理主控台 或 中建立和管理 SiteWise Monitor 服務角色 AWS Command Line Interface。 **Contents** + [SiteWise Monitor 的服務角色許可 （傳統）](#monitor-service-role-permissions) + [SiteWise Monitor 的服務角色許可 (AI 感知）](#monitor-ai-service-role-permissions) + [管理 SiteWise Monitor 服務角色 （主控台）](#manage-portal-role-console) + [尋找入口網站的服務角色 （主控台）](#find-portal-role-console) + [建立 SiteWise Monitor 服務角色AWS IoT SiteWise （主控台）](#create-portal-role-sitewise-console) + [建立 SiteWise Monitor 服務角色 (IAM 主控台）](#create-portal-role-iam-console) + [變更入口網站的服務角色 （主控台）](#change-portal-role-console) + [管理 SiteWise Monitor 服務角色 (CLI)](#manage-portal-role-cli) + [尋找入口網站的服務角色 (CLI)](#find-portal-role-cli) + [建立 SiteWise Monitor 服務角色 (CLI)](#create-portal-role-cli) + [SiteWise Monitor 更新至 AWSIoTSiteWiseMonitorServiceRole](#monitor-role-permission-updates) ## SiteWise Monitor 的服務角色許可 （傳統） 當您建立入口網站時， 會 AWS IoT SiteWise 讓您建立名稱開頭為 **AWSIoTSiteWiseMonitorServiceRole** 的角色。此角色允許聯合 SiteWise Monitor 使用者存取您的入口網站組態、資產、資產資料和 IAM Identity Center 組態。 該角色會信任下列服務來擔任此角色： + `monitor.iotsitewise.amazonaws.com` 此角色使用下列許可政策，其開頭為 **AWSIoTSiteWiseMonitorServicePortalPolicy**，以允許 SiteWise Monitor 使用者對您帳戶中的資源完成動作。[AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess) 受管政策定義對等許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:DescribePortal", "iotsitewise:CreateProject", "iotsitewise:DescribeProject", "iotsitewise:UpdateProject", "iotsitewise:DeleteProject", "iotsitewise:ListProjects", "iotsitewise:BatchAssociateProjectAssets", "iotsitewise:BatchDisassociateProjectAssets", "iotsitewise:ListProjectAssets", "iotsitewise:CreateDashboard", "iotsitewise:DescribeDashboard", "iotsitewise:UpdateDashboard", "iotsitewise:DeleteDashboard", "iotsitewise:ListDashboards", "iotsitewise:CreateAccessPolicy", "iotsitewise:DescribeAccessPolicy", "iotsitewise:UpdateAccessPolicy", "iotsitewise:DeleteAccessPolicy", "iotsitewise:ListAccessPolicies", "iotsitewise:DescribeAsset", "iotsitewise:ListAssets", "iotsitewise:ListAssociatedAssets", "iotsitewise:DescribeAssetProperty", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetAssetPropertyAggregates", "iotsitewise:BatchPutAssetPropertyValue", "iotsitewise:ListAssetRelationships", "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels", "iotsitewise:UpdateAssetModel", "iotsitewise:UpdateAssetModelPropertyRouting", "sso-directory:DescribeUsers", "sso-directory:DescribeUser", "iotevents:DescribeAlarmModel", "iotevents:ListTagsForResource" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iotevents:BatchAcknowledgeAlarm", "iotevents:BatchSnoozeAlarm", "iotevents:BatchEnableAlarm", "iotevents:BatchDisableAlarm" ], "Resource": "*", "Condition": { "Null": { "iotevents:keyValue": "false" } } }, { "Effect": "Allow", "Action": [ "iotevents:CreateAlarmModel", "iotevents:TagResource" ], "Resource": "*", "Condition": { "Null": { "aws:RequestTag/iotsitewisemonitor": "false" } } }, { "Effect": "Allow", "Action": [ "iotevents:UpdateAlarmModel", "iotevents:DeleteAlarmModel" ], "Resource": "*", "Condition": { "Null": { "aws:ResourceTag/iotsitewisemonitor": "false" } } }, { "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": [ "iotevents.amazonaws.com" ] } } } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:CreateProject", "iotsitewise:DescribeProject", "iotsitewise:UpdateProject", "iotsitewise:DeleteProject", "iotsitewise:ListProjects", "iotsitewise:BatchAssociateProjectAssets", "iotsitewise:BatchDisassociateProjectAssets", "iotsitewise:ListProjectAssets", "iotsitewise:CreateDashboard", "iotsitewise:DescribeDashboard", "iotsitewise:UpdateDashboard", "iotsitewise:DeleteDashboard", "iotsitewise:ListDashboards", "iotsitewise:CreateAccessPolicy", "iotsitewise:DescribeAccessPolicy", "iotsitewise:UpdateAccessPolicy", "iotsitewise:DeleteAccessPolicy", "iotsitewise:ListAccessPolicies", "iotsitewise:DescribeAsset", "iotsitewise:ListAssets", "iotsitewise:ListAssociatedAssets", "iotsitewise:DescribeAssetProperty", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetAssetPropertyAggregates" ], "Resource": "*" } ] } ``` ------ 如需警示所需許可的詳細資訊，請參閱 [在 中設定事件警示的許可 AWS IoT SiteWise](alarms-iam-permissions.md)。 當入口網站使用者登入時，SiteWise Monitor 會根據服務角色的交集和該使用者的存取政策來[建立工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)政策。存取政策會定義 身分對入口網站和專案的存取權層級。如需入口網站許可和存取政策的詳細資訊，請參閱[管理您的 SiteWise Monitor 入口網站](administer-portals.md)和[建立存取政策](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_CreateAccessPolicy.html)。 ## SiteWise Monitor 的服務角色許可 (AI 感知） 當您建立入口網站時， 會 AWS IoT SiteWise 讓您建立名稱開頭為 **IoTSiteWisePortalRole** 的角色。此角色允許聯合 SiteWise Monitor 使用者存取您的入口網站組態、資產、資產資料和 IAM Identity Center 組態。 **警告** SiteWise Monitor (AI 感知） 不支援**專案擁有者**和**專案檢視器**角色。 該角色會信任下列服務來擔任此角色： + `monitor.iotsitewise.amazonaws.com` 此角色使用下列許可政策，其開頭為 **IoTSiteWiseAIPortalAccessPolicy**，以允許 SiteWise Monitor 使用者對您帳戶中的資源完成動作。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:CreateProject", "iotsitewise:DescribePortal", "iotsitewise:ListProjects", "iotsitewise:DescribeProject", "iotsitewise:UpdateProject", "iotsitewise:DeleteProject", "iotsitewise:CreateDashboard", "iotsitewise:DescribeDashboard", "iotsitewise:UpdateDashboard", "iotsitewise:DeleteDashboard", "iotsitewise:ListDashboards", "iotsitewise:ListAssets", "iotsitewise:DescribeAsset", "iotsitewise:ListAssociatedAssets", "iotsitewise:ListAssetProperties", "iotsitewise:DescribeAssetProperty", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetAssetPropertyAggregates", "iotsitewise:GetInterpolatedAssetPropertyValues", "iotsitewise:BatchGetAssetPropertyAggregates", "iotsitewise:BatchGetAssetPropertyValue", "iotsitewise:BatchGetAssetPropertyValueHistory", "iotsitewise:ListAssetRelationships", "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels", "iotsitewise:DescribeAssetCompositeModel", "iotsitewise:DescribeAssetModelCompositeModel", "iotsitewise:ListAssetModelProperties", "iotsitewise:ExecuteQuery", "iotsitewise:ListTimeSeries", "iotsitewise:DescribeTimeSeries", "iotsitewise:InvokeAssistant", "iotsitewise:DescribeDataset", "iotsitewise:ListDatasets", "iotevents:DescribeAlarmModel", "iotevents:ListTagsForResource", "iottwinmaker:ListWorkspaces", "iottwinmaker:ExecuteQuery", "iottwinmaker:GetWorkspace", "identitystore:DescribeUser" ], "Resource": "*" } ] } ``` ------ 當入口網站使用者登入時，SiteWise Monitor 會根據服務角色的交集和該使用者的存取政策來[建立工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)政策。 ## 管理 SiteWise Monitor 服務角色 （主控台） AWS IoT SiteWise 主控台 有助於管理入口網站的 SiteWise Monitor 服務角色。建立入口網站時，主控台會檢查是否適合連接的現有角色。如果沒有可用，主控台可以為您建立和設定服務角色。如需詳細資訊，請參閱[在 SiteWise Monitor 中建立入口網站](monitor-create-portal.md)。 **Topics** + [尋找入口網站的服務角色 （主控台）](#find-portal-role-console) + [建立 SiteWise Monitor 服務角色AWS IoT SiteWise （主控台）](#create-portal-role-sitewise-console) + [建立 SiteWise Monitor 服務角色 (IAM 主控台）](#create-portal-role-iam-console) + [變更入口網站的服務角色 （主控台）](#change-portal-role-console) ### 尋找入口網站的服務角色 （主控台） 使用下列步驟來尋找連接至 SiteWise Monitor 入口網站的服務角色。 **尋找入口網站的服務角色** 1. 導覽至 [AWS IoT SiteWise 主控台](https://console.aws.amazon.com/iotsitewise/)。 1. 在左側導覽窗格中選擇 **Portals (入口網站)**。 1. 選擇您要尋找服務角色的入口網站。 連接至入口網站的角色會顯示在 **Permissions (許可)**、[**Service role (服務角色)** 下方。 ### 建立 SiteWise Monitor 服務角色AWS IoT SiteWise （主控台） 當您建立 SiteWise Monitor 入口網站時，您可以為入口網站建立服務角色。如需詳細資訊，請參閱[在 SiteWise Monitor 中建立入口網站](monitor-create-portal.md)。 您也可以在 AWS IoT SiteWise 主控台中為現有入口網站建立服務角色。這會取代入口網站的現有服務角色。 **建立現有入口網站的服務角色** 1. 導覽至 [AWS IoT SiteWise 主控台](https://console.aws.amazon.com/iotsitewise/)。 1. 在導覽窗格中，選擇 **Portals (入口網站)**。 1. 選擇您要建立新服務角色的入口網站。 1. 在 **Portal details (入口網站詳細資訊)** 底下，選擇 **Edit (編輯)**。 1. 在 **Permissions (許可)** 下方，從清單中選擇 **Create and use a new service role (建立並使用新的服務角色)**。 1. 輸入您的新角色名稱。 1. 選擇**儲存**。 ### 建立 SiteWise Monitor 服務角色 (IAM 主控台） 您可以從 IAM 主控台中的服務角色範本建立服務角色。此角色範本包含 [AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess) 受管政策，並將 SiteWise Monitor 指定為信任的實體。 **從入口網站服務角色範本建立服務角色** 1. 導覽至 [IAM 主控台](https://console.aws.amazon.com/iam/)。 1. 在導覽窗格中，選擇 **Roles** (角色)。 1. 選擇 **Create Role** (建立角色)。 1. 在**選擇使用案例中**，選擇 **IoT SiteWise**。 1. 在**選取您的使用案例**中，選擇 **IoT SiteWise Monitor - Portal**。 1. 選擇 **Next: Permissions (下一步：許可)**。 1. 選擇 **Next: Tags (下一步：標籤)**。 1. 選擇下**一步：檢閱**。 1. 輸入新服務**角色的角色名稱**。 1. 選擇建**立角色**。 ### 變更入口網站的服務角色 （主控台） 使用下列程序為入口網站選擇不同的 SiteWise Monitor 服務角色。 **變更入口網站的服務角色** 1. 導覽至 [AWS IoT SiteWise 主控台](https://console.aws.amazon.com/iotsitewise/)。 1. 在導覽窗格中，選擇 **Portals (入口網站)**。 1. 選擇您要變更服務角色的入口網站。 1. 在 **Portal details (入口網站詳細資訊)** 底下，選擇 **Edit (編輯)**。 1. 在 **Permissions (許可)** 下方，選擇 **Use an existing role (使用現有的角色)**。 1. 選擇要連接至此入口網站的現有角色。 1. 選擇**儲存**。 ## 管理 SiteWise Monitor 服務角色 (CLI) 您可以使用 AWS CLI 執行下列入口網站服務角色管理任務： **Topics** + [尋找入口網站的服務角色 (CLI)](#find-portal-role-cli) + [建立 SiteWise Monitor 服務角色 (CLI)](#create-portal-role-cli) ### 尋找入口網站的服務角色 (CLI) 若要尋找連接至 SiteWise Monitor 入口網站的服務角色，請執行下列命令來列出目前區域中的所有入口網站。 ``` aws iotsitewise list-portals ``` 該操作會以下列格式傳回包含您入口網站摘要的回應。 ``` { "portalSummaries": [ { "id": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE", "name": "WindFarmPortal", "description": "A portal that contains wind farm projects for Example Corp.", "roleArn": "arn:aws:iam::123456789012:role/service-role/role-name", "startUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws", "creationDate": "2020-02-04T23:01:52.90248068Z", "lastUpdateDate": "2020-02-04T23:01:52.90248078Z" } ] } ``` 如果您知道入口網站的 ID，也可以使用[描述入口網站](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_DescribePortal.html)操作來尋找入口網站的角色。 ### 建立 SiteWise Monitor 服務角色 (CLI) 使用下列步驟建立新的 SiteWise Monitor 服務角色。 **建立 SiteWise Monitor 服務角色** 1. 建立具有信任政策的角色，允許 SiteWise Monitor 擔任該角色。此範例會根據儲存在 JSON 字串中的信任政策，建立名為 **MySiteWiseMonitorPortalRole** 的角色。 ------ #### [ Linux, macOS, or Unix ] ``` aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "monitor.iotsitewise.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }' ``` ------ #### [ Windows command prompt ] ``` aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"monitor.iotsitewise.amazonaws.com\"},\"Action\":\"sts:AssumeRole\"}]}" ``` ------ 1. 從輸出中的角色中繼資料，複製角色 ARN。建立入口網站時，您可使用此 ARN 將角色與入口網站建立關聯。如需建立入口網站的詳細資訊，請參閱 *AWS IoT SiteWise API 參考*中的 [CreatePortal](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_CreatePortal.html)。 1. 1. 對於 SiteWise Monitor (Classic) – 將`AWSIoTSiteWiseMonitorPortalAccess`政策連接至角色，或連接定義同等許可的政策。 ``` aws iam attach-role-policy --role-name MySiteWiseMonitorPortalRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess ``` 1. 對於 SiteWise Monitor (AI 感知） – 將`IoTSiteWiseAIPortalAccessPolicy`政策連接到角色，或連接定義同等許可的政策。例如，建立具有入口網站存取許可的政策。下列範例會建立名為 的政策`MySiteWiseMonitorPortalAccess`。 ``` aws iam create-policy \ --policy-name MySiteWiseMonitorPortalAccess \ --policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:CreateProject", "iotsitewise:DescribePortal", "iotsitewise:ListProjects", "iotsitewise:DescribeProject", "iotsitewise:UpdateProject", "iotsitewise:DeleteProject", "iotsitewise:CreateDashboard", "iotsitewise:DescribeDashboard", "iotsitewise:UpdateDashboard", "iotsitewise:DeleteDashboard", "iotsitewise:ListDashboards", "iotsitewise:ListAssets", "iotsitewise:DescribeAsset", "iotsitewise:ListAssociatedAssets", "iotsitewise:ListAssetProperties", "iotsitewise:DescribeAssetProperty", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetAssetPropertyAggregates", "iotsitewise:GetInterpolatedAssetPropertyValues", "iotsitewise:BatchGetAssetPropertyAggregates", "iotsitewise:BatchGetAssetPropertyValue", "iotsitewise:BatchGetAssetPropertyValueHistory", "iotsitewise:ListAssetRelationships", "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels", "iotsitewise:DescribeAssetCompositeModel", "iotsitewise:DescribeAssetModelCompositeModel", "iotsitewise:ListAssetModelProperties", "iotsitewise:ExecuteQuery", "iotsitewise:ListTimeSeries", "iotsitewise:DescribeTimeSeries", "iotsitewise:InvokeAssistant", "iotsitewise:DescribeDataset", "iotsitewise:ListDatasets", "iotevents:DescribeAlarmModel", "iotevents:ListTagsForResource", "iottwinmaker:ListWorkspaces", "iottwinmaker:ExecuteQuery", "iottwinmaker:GetWorkspace", "identitystore:DescribeUser" ], "Resource": "*" } ] }' ``` **將服務角色連接至現有入口網站** 1. 若要擷取入口網站的現有詳細資訊，請執行下列命令。將 *portal-id* 取代為入口網站的 ID。 ``` aws iotsitewise describe-portal --portal-id portal-id ``` 此操作會以下列格式傳回包含入口網站詳細資訊的回應。 ``` { "portalId": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE", "portalArn": "arn:aws:iotsitewise:region:account-id:portal/a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE", "portalName": "WindFarmPortal", "portalDescription": "A portal that contains wind farm projects for Example Corp.", "portalClientId": "E-1a2b3c4d5e6f_sn6tbqHVzLWVEXAMPLE", "portalStartUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws", "portalContactEmail": "support@example.com", "portalStatus": { "state": "ACTIVE" }, "portalCreationDate": "2020-04-29T23:01:52.90248068Z", "portalLastUpdateDate": "2020-04-29T00:28:26.103548287Z", "roleArn": "arn:aws:iam::123456789012:role/service-role/AWSIoTSiteWiseMonitorServiceRole_1aEXAMPLE" } ``` 1. 若要將服務角色連接至入口網站，請執行下列命令。將 *role-arn* 取代為服務角色 ARN，並以入口網站的現有值取代其餘參數。 ``` aws iotsitewise update-portal \ --portal-id portal-id \ --role-arn role-arn \ --portal-name portal-name \ --portal-description portal-description \ --portal-contact-email portal-contact-email ``` ## SiteWise Monitor 更新至 AWSIoTSiteWiseMonitorServiceRole 您可以檢視 SiteWise Monitor 的 **AWSIoTSiteWiseMonitorServiceRole** 更新的詳細資訊，從此服務開始追蹤變更開始。如需此頁面變更的自動提醒，請訂閱 AWS IoT SiteWise 文件歷史記錄頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSIoTSiteWiseMonitorPortalAccess](#monitor-service-role-permissions) – 更新的政策 | AWS IoT SiteWise 已更新警示功能的 [AWSIoTSiteWiseMonitorPortalAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess) 受管政策。 | 2021 年 5 月 27 日 | | AWS IoT SiteWise 開始追蹤變更 | AWS IoT SiteWise 已開始追蹤其服務角色的變更。 | 2020 年 12 月 15 日 | # 在 中設定事件警示的許可 AWS IoT SiteWise 當您使用 AWS IoT Events 警示模型來監控 AWS IoT SiteWise 資產屬性時，您必須擁有下列 IAM 許可： + 允許 將資料 AWS IoT Events 傳送至其中 AWS IoT Events 的服務角色 AWS IoT SiteWise。如需詳細資訊，請參閱《 *AWS IoT Events 開發人員指南*》中的 [的 Identity and Access Management AWS IoT Events](https://docs.aws.amazon.com/iotevents/latest/developerguide/security-iam.html)。 + 您必須具有下列 AWS IoT SiteWise 動作許可： `iotsitewise:DescribeAssetModel`和 `iotsitewise:UpdateAssetModelPropertyRouting`。這些許可允許 AWS IoT SiteWise 將資產屬性值傳送至 AWS IoT Events 警示模型。 如需詳細資訊，請參閱《*IAM 使用者指南*》中的[資源型政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_resource-based)。 ## 必要的動作許可 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。 定義 AWS IoT Events 警示模型之前，您必須授予下列許可， AWS IoT SiteWise 允許 將資產屬性值傳送至警示模型。 + `iotsitewise:DescribeAssetModel`、 `iotsitewise:ListAssetModels` – 允許 AWS IoT Events 檢查資產屬性是否存在。 + `iotsitewise:UpdateAssetModelPropertyRouting` – 允許 AWS IoT SiteWise 自動建立訂閱，讓 AWS IoT SiteWise 將資料傳送到其中 AWS IoT Events。 如需 AWS IoT SiteWise 支援動作的詳細資訊，請參閱《*服務授權參考*》中的 [定義的動作 AWS IoT SiteWise](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiotsitewise.html#awsiotsitewise-actions-as-permissions)。 **Example 範例許可政策 1** 下列政策允許 AWS IoT SiteWise 將資產屬性值傳送至任何 AWS IoT Events 警示模型。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotevents:CreateAlarmModel", "iotevents:UpdateAlarmModel" ], "Resource": "arn:aws:iotevents:us-east-1:123456789012:alarmModel/*" }, { "Effect": "Allow", "Action": [ "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels", "iotsitewise:UpdateAssetModelPropertyRouting" ], "Resource": "arn:aws:iotsitewise:us-east-1:123456789012:asset-model/*" } ] } ``` **Example 範例許可政策 2** 下列政策允許 AWS IoT SiteWise 將指定資產屬性的值傳送至指定的 AWS IoT Events 警示模型。 **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotevents:CreateAlarmModel", "iotevents:UpdateAlarmModel" ], "Resource": "arn:aws:iotevents:us-east-1:123456789012:alarmModel/*" }, { "Effect": "Allow", "Action": [ "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels" ], "Resource": "arn:aws:iotsitewise:us-east-1:123456789012:asset-model/*" }, { "Effect": "Allow", "Action": [ "iotsitewise:UpdateAssetModelPropertyRouting" ], "Resource": [ "arn:aws:iotsitewise:us-east-1:123456789012:asset-model/12345678-90ab-cdef-1234-567890abcdef" ], "Condition": { "StringLike": { "iotsitewise:propertyId": "abcdef12-3456-7890-abcd-ef1234567890", "aws:ResourceTag/AlarmModel": "arn:aws:iotevents:us-east-1:123456789012:alarmModel/MyAlarmModel" } } } ] } ``` ## （選用） ListInputRoutings 許可 當您更新或刪除資產模型時， AWS IoT SiteWise 可以檢查 中的 AWS IoT Events 警示模型是否正在監控與此資產模型相關聯的資產屬性。這可防止您刪除 AWS IoT Events 警示目前正在使用的資產屬性。若要在 中啟用此功能 AWS IoT SiteWise，您必須擁有 `iotevents:ListInputRoutings`許可。此許可允許 AWS IoT SiteWise 呼叫 支援的 [ListInputRoutings](https://docs.aws.amazon.com/iotevents/latest/apireference/API_ListInputRoutings.html) API 操作 AWS IoT Events。 **注意** 我們強烈建議您新增 `ListInputRoutings`許可。 **Example 許可政策範例** 下列政策可讓您更新和刪除資產模型，並在其中使用 `ListInputRoutings` API AWS IoT SiteWise。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:UpdateAssetModel", "iotsitewise:DeleteAssetModel", "iotevents:ListInputRoutings" ], "Resource": "arn:aws:iotsitewise:us-east-1:123456789012:asset-model/*" } ] } ``` ------ ## SiteWise Monitor 的必要許可 如果您想要在 SiteWise Monitor 入口網站中使用警示功能，您必須使用下列政策更新 [SiteWise Monitor 服務角色](monitor-service-role.md)： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iotsitewise:DescribePortal", "iotsitewise:CreateProject", "iotsitewise:DescribeProject", "iotsitewise:UpdateProject", "iotsitewise:DeleteProject", "iotsitewise:ListProjects", "iotsitewise:BatchAssociateProjectAssets", "iotsitewise:BatchDisassociateProjectAssets", "iotsitewise:ListProjectAssets", "iotsitewise:CreateDashboard", "iotsitewise:DescribeDashboard", "iotsitewise:UpdateDashboard", "iotsitewise:DeleteDashboard", "iotsitewise:ListDashboards", "iotsitewise:CreateAccessPolicy", "iotsitewise:DescribeAccessPolicy", "iotsitewise:UpdateAccessPolicy", "iotsitewise:DeleteAccessPolicy", "iotsitewise:ListAccessPolicies", "iotsitewise:DescribeAsset", "iotsitewise:ListAssets", "iotsitewise:ListAssociatedAssets", "iotsitewise:DescribeAssetProperty", "iotsitewise:GetAssetPropertyValue", "iotsitewise:GetAssetPropertyValueHistory", "iotsitewise:GetAssetPropertyAggregates", "iotsitewise:BatchPutAssetPropertyValue", "iotsitewise:ListAssetRelationships", "iotsitewise:DescribeAssetModel", "iotsitewise:ListAssetModels", "iotsitewise:UpdateAssetModel", "iotsitewise:UpdateAssetModelPropertyRouting", "sso-directory:DescribeUsers", "sso-directory:DescribeUser", "iotevents:DescribeAlarmModel", "iotevents:ListTagsForResource" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "iotevents:BatchAcknowledgeAlarm", "iotevents:BatchSnoozeAlarm", "iotevents:BatchEnableAlarm", "iotevents:BatchDisableAlarm" ], "Resource": "*", "Condition": { "Null": { "iotevents:keyValue": "false" } } }, { "Effect": "Allow", "Action": [ "iotevents:CreateAlarmModel", "iotevents:TagResource" ], "Resource": "*", "Condition": { "Null": { "aws:RequestTag/iotsitewisemonitor": "false" } } }, { "Effect": "Allow", "Action": [ "iotevents:UpdateAlarmModel", "iotevents:DeleteAlarmModel" ], "Resource": "*", "Condition": { "Null": { "aws:ResourceTag/iotsitewisemonitor": "false" } } }, { "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": [ "iotevents.amazonaws.com" ] } } } ] } ``` ------ # 中的跨服務混淆代理人預防 AWS IoT SiteWise 混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。 我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容索引鍵，以限制將另一個服務 AWS IoT SiteWise 提供給資源的許可。如果 `aws:SourceArn` 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 Amazon Resource Name (ARN))，則您必須使用這兩個全域條件內容索引鍵來限制許可。如果同時使用這兩個全域條件內容索引鍵，且 `aws:SourceArn` 值包含帳戶 ID，則在相同政策陳述式中使用 `aws:SourceAccount` 值和 `aws:SourceArn` 值中的帳戶時，必須使用相同的帳戶 ID。 + 如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。 + 如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 `aws:SourceAccount`。 的值`aws:SourceArn`必須是與`sts:AssumeRole`請求相關聯的 AWS IoT SiteWise 客戶資源。 防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 `aws:SourceArn` 全域條件內容索引鍵，同時使用萬用字元 (`*`) 表示 ARN 的未知部分。例如 `arn:aws:servicename:*:123456789012:*`。 **Example – 預防混淆代理人** 下列範例示範如何在 中使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容索引鍵 AWS IoT SiteWise ，以防止混淆代理人問題。 **** ``` { "Version":"2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "iotsitewise.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:iotsitewise:*:123456789012:*" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } } ``` # 對 AWS IoT SiteWise 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 AWS IoT SiteWise 和 AWS Identity and Access Management (IAM) 時可能遇到的常見問題。 **Topics** + [我無權在 中執行動作 AWS IoT SiteWise](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 `iam:PassRole` 的授權](#security_iam_troubleshoot-passrole) + [我想要允許 AWS 帳戶外的人員存取我的 AWS IoT SiteWise 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 中執行動作 AWS IoT SiteWise 如果 AWS 管理主控台 告知您無權執行 動作，則必須聯絡您的管理員尋求協助。您的管理員是為您提供使用者名稱和密碼的人員。 當 IAM `mateojackson` 使用者嘗試使用主控台檢視資產的詳細資訊，但沒有`iotsitewise:DescribeAsset`許可時，會發生下列範例錯誤。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: iotsitewise:DescribeAsset on resource: a1b2c3d4-5678-90ab-cdef-22222EXAMPLE ``` 在此情況下，Mateo 會請求管理員更新政策，允許其使用 `iotsitewise:DescribeAsset` 動作存取 ID 為 `a1b2c3d4-5678-90ab-cdef-22222EXAMPLE` 的資產資源。 ## 我未獲得執行 `iam:PassRole` 的授權 如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS IoT SiteWise。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS IoT SiteWise中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要允許 AWS 帳戶外的人員存取我的 AWS IoT SiteWise 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 是否 AWS IoT SiteWise 支援這些功能，請參閱 [AWS IoT SiteWise 如何使用 IAM](security_iam_service-with-iam.md)。 + 若要了解如何提供您擁有 AWS 帳戶 的資源存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 中為 IAM 使用者提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。