Autorização com políticas baseadas em identidade do IAM e políticas baseadas em recursos do DynamoDB
As políticas baseadas em identidade são associadas a uma identidade, como usuários, grupos de usuários e perfis do IAM. São os documentos da política do IAM que controlam quais ações uma identidade pode realizar, em quais recursos e em que condições. As políticas baseadas em identidade podem ser políticas gerenciadas e em linha.
As políticas baseadas em recursos são documentos de política do IAM que você associa a um recurso, como uma tabela do DynamoDB. Essas políticas concedem permissão à entidade principal especificada para executar ações específicas nesse recurso e definem em que condições isso se aplica. Por exemplo, a política baseada em recursos para uma tabela do DynamoDB também inclui o índice associado à tabela. As políticas baseadas em recursos são políticas em linha. Não há políticas baseadas em recursos gerenciadas.
Para ter mais informações sobre essas políticas, consulte Políticas baseadas em identidade e em recurso no Guia do usuário do IAM.
Se a entidade principal do IAM for da mesma conta que o proprietário do recurso, uma política baseada em recursos é suficiente para especificar as permissões de acesso ao recurso. Você ainda pode optar por uma política baseada em identidade do IAM além de uma política baseada em recursos. Em relação ao acesso entre contas, é necessário possibilitar o acesso de forma explícita nas políticas de identidade e de recursos, conforme especificado em Acesso entre contas com políticas baseadas em recurso no DynamoDB. Ao usar os dois tipos de políticas, uma política é avaliada conforme descrito em Determinar se uma solicitação é permitida ou negada em uma conta.
Importante
Se uma política baseada em identidade conceder acesso incondicional a uma tabela do DynamoDB (por exemplo, dynamodb:GetItem sem nenhuma condição), uma política baseada em recursos que permita acesso com condições em dynamodb:Attributes não restringirá esse acesso. A permissão incondicional da política baseada em identidade tem precedência, e as condições da política baseada em recursos não são aplicadas como restrições. Para restringir o acesso a atributos específicos, use uma instrução Deny explícita em vez de se fiar somente em instruções Allow condicionais na política baseada em recursos.
