範例政策 - AWS OpsWorks
管理許可管理許可 部署許可

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

範例政策

重要

AWS OpsWorks Stacks 此服務已於 2024 年 5 月 26 日終止，並已針對新客戶和現有客戶停用。我們強烈建議客戶盡快將其工作負載遷移至其他解決方案。如果您對遷移有任何疑問，請透過 AWS re：Post 或透過 AWS Premium Support 聯絡 AWS 支援 團隊。

本節說明可套用至 Stacks 使用者的範例 IAM OpsWorks 政策。

管理許可

使用 IAM 主控台 https://console.aws.amazon.com/iam/：// AWSOpsWorks_FullAccess 政策，將此政策連接至使用者，以授予他們執行所有 Stacks OpsWorks 動作的許可。需要 IAM 許可，才能允許管理使用者匯入使用者。

您必須建立 IAM 角色，允許 OpsWorks Stacks 代表您存取其他 AWS 資源，例如 Amazon EC2 執行個體。您通常會讓管理使用者建立第一個堆疊，並讓 Stacks OpsWorks 為您建立角色，以處理此任務。您接著可以使用針對所有後續的堆疊使用該角色。如需詳細資訊，請參閱允許 OpsWorks Stacks 代表您採取行動。

建立第一個堆疊的管理使用者必須具有 AWSOpsWorks_FullAccess 政策中未包含的一些 IAM 動作的許可。將下列許可新增至政策的 Actions區段。若要取得適當的 JSON 語法，請務必在動作之間新增逗號，並移除動作清單結尾的結尾逗號。

"iam:PutRolePolicy",
"iam:AddRoleToInstanceProfile",
"iam:CreateInstanceProfile",
"iam:CreateRole"

管理許可

Manage (管理) 許可 layer 級允許使用者執行各種堆疊管理動作，包含新增或刪除 layer。本主題說明數個政策，您可以用來管理使用者以增強或限制標準許可。

拒絕 Manage (管理) 使用者新增或刪除 layer。

您可以限制管理許可層級，以允許使用者執行所有管理動作，但使用下列 IAM 政策新增或刪除層除外。將 region、account_id 和 stack_id 取代為您的組態適用的值。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "opsworks:CreateLayer",
                "opsworks:DeleteLayer"
            ],
            "Resource": "arn:aws:opsworks:us-east-1:account_id:stack/stack_id/"
        }
    ]
}
允許 Manage (管理) 使用者建立或複製堆疊

管理許可層級不允許使用者建立或複製堆疊。您可以變更管理許可，以允許使用者套用下列 IAM 政策來建立或複製堆疊。將 region 和 account_id 取代為您的組態適用的值。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRolePolicy",
        "iam:ListRoles",
        "iam:ListInstanceProfiles",
        "iam:ListUsers",
        "opsworks:DescribeUserProfiles",
        "opsworks:CreateUserProfile",
        "opsworks:DeleteUserProfile"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:opsworks::account_id:stack/*/",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "opsworks.amazonaws.com"
        }
      }
    }
  ]
}
拒絕 Manage (管理) 使用者註冊或取消註冊資源。

管理許可層級允許使用者向堆疊註冊和取消註冊 Amazon EBS 和彈性 IP 地址資源。您可以套用下列政策，限制管理許可以允許使用者執行除註冊資源以外的所有管理動作。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "opsworks:RegisterVolume",
        "opsworks:RegisterElasticIp"
      ],
      "Resource": "*"
    }
  ]
}
允許 Manage (管理) 使用者匯入使用者

管理許可層級不允許使用者將使用者匯入 OpsWorks Stacks。您可以透過套用下列 IAM 政策來增強管理許可，以允許使用者匯入和刪除使用者。將 region 和 account_id 取代為您的組態適用的值。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRolePolicy",
        "iam:ListRoles",
        "iam:ListInstanceProfiles",
        "iam:ListUsers",
        "iam:PassRole",
        "opsworks:DescribeUserProfiles",
        "opsworks:CreateUserProfile",
        "opsworks:DeleteUserProfile"
      ],
      "Resource": "arn:aws:iam:region:account_id:user/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "opsworks.amazonaws.com"
        }
      }
    }
  ]
}

部署許可

Deploy (部署) 許可層級不允許使用者建議或刪除應用程式。您可以擴增部署許可，以允許使用者套用下列 IAM 政策來建立和刪除應用程式。將 region、account_id 和 stack_id 取代為您的組態適用的值。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "opsworks:CreateApp",
                "opsworks:DeleteApp"
            ],
            "Resource": "arn:aws:opsworks:us-east-1:account_id:stack/stack_id/"
        }
    ]
}