終止支援通知：在 2025 年 12 月 15 日， AWS 將終止對 的支援 AWS IoT Analytics。2025 年 12 月 15 日之後，您將無法再存取 AWS IoT Analytics 主控台或 AWS IoT Analytics 資源。如需詳細資訊，請參閱[AWS IoT Analytics 終止支援](https://docs.aws.amazon.com/iotanalytics/latest/userguide/iotanalytics-end-of-support.html)。
本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# AWS IoT Analytics 身分型政策範例
根據預設，使用者和角色不具備建立或修改 AWS IoT Analytics 資源的權限。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 操作的所需許可。管理員接著必須將這些政策連接至需要這些許可的使用者或群組。
若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[在 JSON 標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)
**Topics**
+ [政策最佳實務](#iam-policy-best-practices)
+ [使用 AWS IoT Analytics 主控台](#iam-id-based-policy-examples-console)
+ [允許使用者檢視他們自己的許可](#iam-view-permissions)
+ [存取一個 AWS IoT Analytics 輸入](#iam-access-one-input)
+ [根據標籤檢視 AWS IoT Analytics 頻道](#iam-view-input-tags)
## 政策最佳實務
身分型政策相當強大。他們會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS IoT Analytics 資源。這些動作可能會讓您的 AWS 帳戶產生成本。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策** - 若要 AWS IoT Analytics 快速開始使用 ，請使用 AWS 受管政策為您的員工提供所需的許可。這些政策已在您的 帳戶中提供，並由 維護和更新 AWS。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用許可搭配 AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-use-aws-defined-policies)。
+ **授予最低權限** - 當您建立自訂政策時，僅授予執行任務所需的許可。從一組最低許可開始，並視需要授予其他許可。這比一開始使用太寬鬆的許可，稍後再嘗試將他們限縮更為安全。如需詳細資訊，請參閱《IAM 使用者指南》中的[授予最低權限](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege)。
+ **為敏感操作啟用 MFA** - 為了提高安全性， 要求使用者使用多重驗證 (MFA) 來存取敏感資源或 API 操作。如需詳細資訊，請參閱《 IAM 使用者指南》**中的[在 AWS中使用多重要素驗證 (MFA)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html)。
+ **使用政策條件來提高安全性** - 在實際可行的範圍內，定義以身分為基礎的政策允許存取資源的條件。例如，您可以撰寫條件來指定請求必須來自的允許 IP 地址範圍。您也可以撰寫條件來僅允許指定日期或時間範圍內的請求，或要求使用 SSL 或 MFA。如需詳細資訊，請參閱《IAM 使用者指南》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
## 使用 AWS IoT Analytics 主控台
若要存取 AWS IoT Analytics 主控台，您必須擁有一組最低的許可。這些許可必須允許您列出和檢視 中 AWS IoT Analytics 資源的詳細資訊 AWS 帳戶。如果您建立的身分型政策比最低必要許可更嚴格。 主控台對於具有該政策的實體 （使用者或角色） 將無法如預期運作。
為了確保這些實體仍然可以使用 AWS IoT Analytics 主控台，請將下列 AWS 受管政策連接至實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iotanalytics:BatchPutMessage",
"iotanalytics:CancelPipelineReprocessing",
"iotanalytics:CreateChannel",
"iotanalytics:CreateDataset",
"iotanalytics:CreateDatasetContent",
"iotanalytics:CreateDatastore",
"iotanalytics:CreatePipeline",
"iotanalytics:DeleteChannel",
"iotanalytics:DeleteDataset",
"iotanalytics:DeleteDatasetContent",
"iotanalytics:DeleteDatastore",
"iotanalytics:DeletePipeline",
"iotanalytics:DescribeChannel",
"iotanalytics:DescribeDataset",
"iotanalytics:DescribeDatastore",
"iotanalytics:DescribeLoggingOptions",
"iotanalytics:DescribePipeline",
"iotanalytics:GetDatasetContent",
"iotanalytics:ListChannels",
"iotanalytics:ListDatasetContents",
"iotanalytics:ListDatasets",
"iotanalytics:ListDatastores",
"iotanalytics:ListPipelines",
"iotanalytics:ListTagsForResource",
"iotanalytics:PutLoggingOptions",
"iotanalytics:RunPipelineActivity",
"iotanalytics:SampleChannelData",
"iotanalytics:StartPipelineReprocessing",
"iotanalytics:TagResource",
"iotanalytics:UntagResource",
"iotanalytics:UpdateChannel",
"iotanalytics:UpdateDataset",
"iotanalytics:UpdateDatastore",
"iotanalytics:UpdatePipeline"
],
"Resource": "arn:aws:iotanalytics:us-east-1:123456789012:channel/your-channel-name",
"Resource": "arn:aws:iotanalytics:us-east-1:123456789012:dataset/your-datasetName",
"Resource": "arn:aws:iotanalytics:us-east-1:123456789012:datastore/your-datastoreName",
"Resource": "arn:aws:iotanalytics:us-east-1:123456789012:pipeline/your-pipelineName"
}
]
}
```
------
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合您嘗試執行之 API 操作的動作就可以了。
## 允許使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI API 以程式設計方式完成此動作的 AWS 許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": [
"arn:aws:iam:*:*:user/username"
]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
------
## 存取一個 AWS IoT Analytics 輸入
在此範例中，您想要將 AWS 帳戶 存取權授予您其中一個 AWS IoT Analytics 頻道 中的使用者`exampleChannel`。您也想要允許使用 新增、更新和刪除頻道。
政策會將`iotanalytics:ListChannels, iotanalytics:DescribeChannel, iotanalytics:CreateChannel, iotanalytics:DeleteChannel, and iotanalytics:UpdateChannel`許可授予使用者。如需將許可授予使用者並使用 主控台測試使用者之 Amazon S3 服務的範例逐步解說，請參閱[範例逐步解說：使用使用者政策來控制對儲存貯體的存取](https://docs.aws.amazon.com/AmazonS3/latest/userguide/walkthrough1.html)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"ListChannelsInConsole",
"Effect":"Allow",
"Action":[
"iotanalytics:ListChannels"
],
"Resource":"arn:aws:iotanalytics:*:*:*"
},
{
"Sid":"ViewSpecificChannelInfo",
"Effect":"Allow",
"Action":[
"iotanalytics:DescribeChannel"
],
"Resource":"arn:aws:iotanalytics:*:*:exampleChannel"
},
{
"Sid":"ManageChannels",
"Effect":"Allow",
"Action":[
"iotanalytics:CreateChannel",
"iotanalytics:DeleteChannel",
"iotanalytics:DescribeChannel",
"iotanalytics:ListChannels",
"iotanalytics:UpdateChannel"
],
"Resource":"arn:aws:iotanalytics:*:*:exampleChannel/*"
}
]
}
```
------
## 根據標籤檢視 AWS IoT Analytics 頻道
您可以在身分型政策中使用條件，根據標籤控制對 AWS IoT Analytics 資源的存取。此範例會示範如何建立政策，允許檢視 `channel`。不過，只有在`channel`標籤`Owner`具有該使用者名稱的值時，才會授予許可。此政策也會授予在主控台完成此動作的必要許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ListChannelsInConsole",
"Effect": "Allow",
"Action": "iotanalytics:ListChannels",
"Resource": "*"
},
{
"Sid": "ViewChannelsIfOwner",
"Effect": "Allow",
"Action": "iotanalytics:ListChannels",
"Resource": "arn:aws:iotanalytics:*:*:channel/*",
"Condition": {
"StringEquals": {"iotanalytics:ResourceTag/Owner": "${aws:username}"}
}
}
]
}
```
------
您可以將此政策連接到您帳戶中的 使用者。如果名為 的使用者`richard-roe`嘗試檢視 AWS IoT Analytics `channel`，`channel`則必須標記 `Owner=richard-roe or owner=richard-roe`。否則，他便會被拒絕存取。條件標籤金鑰 `Owner` 符合 `Owner` 和 `owner`，因為條件金鑰名稱不區分大小寫。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。