Amazon Aurora DSQL での IAM 条件キーの使用
Aurora DSQL でアクセス許可を付与するときは、アクセス許可ポリシーを有効にする方法を決める条件を指定できます。以下に示しているのは、Aurora DSQL アクセス許可ポリシーでの条件キーの使用例です。
例 1: 特定の AWS リージョンにクラスターを作成するアクセス許可を付与する
次のポリシーは、米国東部 (バージニア北部) および米国東部 (オハイオ) リージョンにクラスターを作成するアクセス許可を付与します。このポリシーはリソース ARN を使用して許可されたリージョンを制限するため、Aurora DSQL はポリシーの Resource セクションでその ARN が指定されている場合にのみクラスターを作成できます。
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Action": ["dsql:CreateCluster"],
"Resource": [
"arn:aws:dsql:us-east-1:*:cluster/*",
"arn:aws:dsql:us-east-2:*:cluster/*"
],
"Effect": "Allow"
}
]
}
例 2: 特定の AWS リージョンにマルチリージョンクラスターを作成するアクセス許可を付与する
次のポリシーは、米国東部 (バージニア北部) および米国東部 (オハイオ) リージョンにマルチリージョンクラスターを作成するアクセス許可を付与します。このポリシーはリソース ARN を使用して許可されたリージョンを制限するため、Aurora DSQL はポリシーの Resource セクションでこの ARN が指定されている場合にのみマルチリージョンクラスターを作成できます。マルチリージョンクラスターを作成するには、指定された各リージョンで PutMultiRegionProperties、PutWitnessRegion、および AddPeerCluster のアクセス許可も必要であることに注意してください。
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"dsql:CreateCluster",
"dsql:PutMultiRegionProperties",
"dsql:PutWitnessRegion",
"dsql:AddPeerCluster"
],
"Resource": [
"arn:aws:dsql:us-east-1:123456789012:cluster/*",
"arn:aws:dsql:us-east-2:123456789012:cluster/*"
]
}
]
}
例 3: 特定の監視リージョンを持つマルチリージョンクラスターを作成するアクセス許可を付与する
次のポリシーでは、Aurora DSQL dsql:WitnessRegion 条件キーを使用し、米国西部 (オレゴン) に監視リージョンを持つマルチリージョンクラスターをユーザーが作成できるようにします。dsql:WitnessRegion 条件を指定しない場合は、任意のリージョンを監視リージョンとして使用できます。
- JSON
-
-
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowCreateWithSpecificWitness",
"Effect": "Allow",
"Action": [
"dsql:CreateCluster",
"dsql:PutWitnessRegion"
],
"Resource": "arn:aws:dsql:*:123456789012:cluster/*",
"Condition": {
"StringEquals": {
"dsql:WitnessRegion": "us-west-2"
}
}
},
{
"Sid": "AllowMultiRegionSetup",
"Effect": "Allow",
"Action": [
"dsql:PutMultiRegionProperties",
"dsql:AddPeerCluster"
],
"Resource": "arn:aws:dsql:*:123456789012:cluster/*"
}
]
}
