本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # Identity and Access Management AWS Snowball Edge 每项 AWS Snowball Edge 作业都必须经过身份验证。为此，您可以在您的账户中创建和管理 IAM 用户。使用 IAM，您可以在 AWS中创建和管理用户和权限。 AWS Snowball Edge 用户必须具有某些与 IAM 相关的权限才能访问 AWS Snowball Edge AWS 管理控制台 才能创建作业。创建导入或导出任务的 IAM 用户还必须有权访问正确的亚马逊简单存储服务 (Amazon S3) Simple S3 资源，例如用于任务的 Amazon S3 存储桶、资源 AWS KMS 、Amazon SNS 主题以及用于边缘计算任务的与 EC2亚马逊兼容的 AMI。 **重要** 有关在本地使用 IAM 的信息，请参阅[在 Snowball Edge 上本地使用 IAM](using-local-iam.md)。 **Topics** + [Snowball Edge 控制台和创建作业的访问控制](authentication-and-access-control.md) # Snowball Edge 控制台和创建作业的访问控制 与所有 AWS 服务一样，访问 AWS Snowball Edge 需要 AWS 可用于对您的请求进行身份验证的证书。这些证书必须具有访问 AWS 资源（例如 Amazon S3 存储桶或 AWS Lambda 函数）的权限。 AWS Snowball Edge 有两个不同之处： 1. 中的任务 AWS Snowball Edge 没有 Amazon 资源名称 (ARNs)。 1. 由您负责对本地设备进行物理和网络访问控制。 [适用于 Identity and Access Managem AWS Snowball Edge](security-iam.md)如需详细了解如何使用[AWS 身份和访问管理 (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/)， AWS Snowball Edge 以及如何通过控制谁可以访问资源来帮助保护您的资源，请参见本地访问控制建议，以及本地访问控制建议。 AWS 云 # 适用于 Identity and Access Managem AWS Snowball Edge AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以*进行身份验证*（登录）和*授权*（拥有权限）使用 AWS Snow Family 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [受众](#security_iam_audience) + [使用身份进行身份验证](#security_iam_authentication) + [使用策略管理访问](#security_iam_access-manage) + [如何 AWS Snow Family 与 IAM 配合使用](security_iam_service-with-iam.md) + [基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) + [对 AWS Snowball Edge 身份和访问进行故障排除](security_iam_troubleshoot.md) ## 受众 您的使用方式 AWS Identity and Access Management (IAM) 会有所不同，具体取决于您所做的工作 AWS Snow Family。 **服务用户**-如果您使用该 AWS Snow Family 服务完成工作，则您的管理员会为您提供所需的凭证和权限。当你使用更多 AWS Snow Family 功能来完成工作时，你可能需要额外的权限。了解如何管理访问权限有助于您向管理员请求适合的权限。如果您无法访问 AWS Snow Family中的特征，请参阅 [对 AWS Snowball Edge 身份和访问进行故障排除](security_iam_troubleshoot.md)。 **服务管理员**-如果您负责公司的 AWS Snow Family 资源，则可能拥有完全访问权限 AWS Snow Family。您的工作是确定您的服务用户应访问哪些 AWS Snow Family 功能和资源。然后，您必须向 IAM 管理员提交请求以更改服务用户的权限。请查看该页面上的信息以了解 IAM 的基本概念。要详细了解您的公司如何使用 IAM AWS Snow Family，请参阅[如何 AWS Snow Family 与 IAM 配合使用](security_iam_service-with-iam.md)。 **IAM 管理员**：如果您是 IAM 管理员，您可能希望了解如何编写策略以管理对 AWS Snow Family的访问权限的详细信息。要查看您可以在 IAM 中使用的 AWS Snow Family 基于身份的策略示例，请参阅。[基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) ## 使用身份进行身份验证 身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户*身份或通过担 AWS 账户根用户任 IAM 角色进行身份验证*（登录 AWS）。 您可以使用通过身份源提供的凭据以 AWS 联合身份登录。 AWS IAM Identity Center （IAM Identity Center）用户、贵公司的单点登录身份验证以及您的 Google 或 Facebook 凭据就是联合身份的示例。当您以联合身份登录时，您的管理员以前使用 IAM 角色设置了身份联合验证。当你使用联合访问 AWS 时，你就是在间接扮演一个角色。 根据您的用户类型，您可以登录 AWS 管理控制台 或 AWS 访问门户。有关登录的更多信息 AWS，请参阅《*AWS 登录 用户指南》*[中的如何登录到您 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)的。 如果您 AWS 以编程方式访问，则会 AWS 提供软件开发套件 (SDK) 和命令行接口 (CLI)，以便使用您的凭据对请求进行加密签名。如果您不使用 AWS 工具，则必须自己签署请求。有关使用推荐的方法自行签署请求的更多信息，请参阅《IAM 用户指南》**中的[用于签署 API 请求的AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 无论使用何种身份验证方法，您都可能需要提供其他安全信息。例如， AWS 建议您使用多重身份验证 (MFA) 来提高账户的安全性。要了解更多信息，请参阅《AWS IAM Identity Center 用户指南》**中的[多重身份验证](https://docs.aws.amazon.com/singlesignon/latest/userguide/enable-mfa.html)和《IAM 用户指南》**中的 [IAM 中的AWS 多重身份验证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html)。 ### AWS 账户 root 用户 创建时 AWS 账户，首先要有一个登录身份，该身份可以完全访问账户中的所有资源 AWS 服务 和资源。此身份被称为 AWS 账户 *root 用户*，使用您创建帐户时使用的电子邮件地址和密码登录即可访问该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证，并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表，请参阅 *IAM 用户指南*中的[需要根用户凭证的任务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 联合身份 作为最佳实践，要求人类用户（包括需要管理员访问权限的用户）使用与身份提供商的联合身份验证 AWS 服务 通过临时证书进行访问。 *联合身份*是指您的企业用户目录、Web 身份提供商、Identity C enter 目录中的用户，或者任何使用 AWS 服务 通过身份源提供的凭据进行访问的用户。 Directory Service当联合身份访问时 AWS 账户，他们将扮演角色，角色提供临时证书。 要集中管理访问权限，建议您使用 AWS IAM Identity Center。您可以在 IAM Identity Center 中创建用户和群组，也可以连接并同步到您自己的身份源中的一组用户和群组，以便在您的所有 AWS 账户 和应用程序中使用。有关 IAM Identity Center 的信息，请参阅 *AWS IAM Identity Center 用户指南*中的[什么是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 用户和群组 I *[AM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是您 AWS 账户 内部对个人或应用程序具有特定权限的身份。在可能的情况下，我们建议使用临时凭证，而不是创建具有长期凭证（如密码和访问密钥）的 IAM 用户。但是，如果您有一些特定的使用场景需要长期凭证以及 IAM 用户，建议您轮换访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的[对于需要长期凭证的用例，应在需要时更新访问密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#rotate-credentials)。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)是一个指定一组 IAM 用户的身份。您不能使用组的身份登录。您可以使用组来一次性为多个用户指定权限。如果有大量用户，使用组可以更轻松地管理用户权限。例如，您可以拥有一个名为的群组，*IAMAdmins*并向该群组授予管理 IAM 资源的权限。 用户与角色不同。用户唯一地与某个人员或应用程序关联，而角色旨在让需要它的任何人代入。用户具有永久的长期凭证，而角色提供临时凭证。要了解更多信息，请参阅《IAM 用户指南》**中的 [IAM 用户的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 I *[AM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是您内部具有特定权限 AWS 账户 的身份。它类似于 IAM 用户，但与特定人员不关联。要在中临时担任 IAM 角色 AWS 管理控制台，您可以[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)。您可以通过调用 AWS CLI 或 AWS API 操作或使用自定义 URL 来代入角色。有关使用角色的方法的更多信息，请参阅《IAM 用户指南》中的[代入角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。** 具有临时凭证的 IAM 角色在以下情况下很有用： + **联合用户访问**：要向联合身份分配权限，请创建角色并为角色定义权限。当联合身份进行身份验证时，该身份将与角色相关联并被授予由此角色定义的权限。有关用于联合身份验证的角色的信息，请参阅《IAM 用户指南》**中的[针对第三方身份提供商创建角色（联合身份验证）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)。如果您使用 IAM Identity Center，则需要配置权限集。为控制您的身份在进行身份验证后可以访问的内容，IAM Identity Center 将权限集与 IAM 中的角色相关联。有关权限集的信息，请参阅《AWS IAM Identity Center 用户指南》**中的[权限集](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)。 + **临时 IAM 用户权限**：IAM 用户可代入 IAM 用户或角色，以暂时获得针对特定任务的不同权限。 + **跨账户存取**：您可以使用 IAM 角色以允许不同账户中的某个人（可信主体）访问您的账户中的资源。角色是授予跨账户访问权限的主要方式。但是，对于某些资源 AWS 服务，您可以将策略直接附加到资源（而不是使用角色作为代理）。要了解用于跨账户访问的角色和基于资源的策略之间的差别，请参阅 *IAM 用户指南*中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 + **跨服务访问** — 有些 AWS 服务 使用其他 AWS 服务服务中的功能。例如，当您在服务中拨打电话时，该服务通常会在 Amazon 中运行应用程序 EC2 或在 Amazon S3 中存储对象。服务可能会使用发出调用的主体的权限、使用服务角色或使用服务相关角色来执行此操作。 + **转发访问会话 (FAS)** — 当您使用 IAM 用户或角色在中执行操作时 AWS，您被视为委托人。使用某些服务时，您可能会执行一个操作，然后此操作在其他服务中启动另一个操作。FAS 使用调用委托人的权限以及 AWS 服务 向下游服务发出请求的请求。 AWS 服务只有当服务收到需要与其他 AWS 服务 或资源交互才能完成的请求时，才会发出 FAS 请求。在这种情况下，您必须具有执行这两项操作的权限。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 + **服务角色** - 服务角色是服务代表您在您的账户中执行操作而分派的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 + **服务相关角色**-服务相关角色是一种链接到的服务角色。 AWS 服务服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。 + 在 A@@ **mazon 上运行的应用程序 EC2** — 您可以使用 IAM 角色管理在 EC2 实例上运行并发出 AWS CLI 或 AWS API 请求的应用程序的临时证书。这比在 EC2 实例中存储访问密钥更可取。要为 EC2 实例分配 AWS 角色并使其可供其所有应用程序使用，您需要创建一个附加到该实例的实例配置文件。实例配置文件包含角色并允许在 EC2 实例上运行的程序获得临时证书。有关更多信息，请参阅 [IAM *用户指南中的使用 IAM 角色向在 A* mazon EC2 实例上运行的应用程序授予权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)。 ## 使用策略管理访问 您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略是其中的一个对象 AWS ，当与身份或资源关联时，它会定义其权限。 AWS 在委托人（用户、root 用户或角色会话）发出请求时评估这些策略。策略中的权限确定是允许还是拒绝请求。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的结构和内容的更多信息，请参阅 *IAM 用户指南*中的 [JSON 策略概览](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 默认情况下，用户和角色没有权限。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。管理员随后可以向角色添加 IAM 策略，用户可以代入角色。 IAM 策略定义操作的权限，无关乎您使用哪种方法执行操作。例如，假设您有一个允许 `iam:GetRole` 操作的策略。拥有该策略的用户可以从 AWS 管理控制台 AWS CLI、或 AWS API 获取角色信息。 ### 基于身份的策略 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户托管策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 基于身份的策略可以进一步归类为*内联策略*或*托管式策略*。内联策略直接嵌入单个用户、组或角色中。托管策略是独立的策略，您可以将其附加到中的多个用户、群组和角色 AWS 账户。托管策略包括 AWS 托管策略和客户托管策略。要了解如何在托管策略和内联策略之间进行选择，请参阅《IAM 用户指南》**中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 基于资源的策略 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。 基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。 ### 访问控制列表 (ACLs) 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 Amazon S3 和 Amazon VPC 就是支持的服务示例 ACLs。 AWS WAF要了解更多信息 ACLs，请参阅《*亚马逊简单存储服务开发者指南*》中的[访问控制列表 (ACL) 概述](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 ### 其他策略类型 AWS 支持其他不太常见的策略类型。这些策略类型可以设置更常用的策略类型向您授予的最大权限。 + **权限边界**：权限边界是一个高级特征，用于设置基于身份的策略可以为 IAM 实体（IAM 用户或角色）授予的最大权限。您可为实体设置权限边界。这些结果权限是实体基于身份的策略及其权限边界的交集。在 `Principal` 中指定用户或角色的基于资源的策略不受权限边界限制。任一项策略中的显式拒绝将覆盖允许。有关权限边界的更多信息，请参阅*IAM 用户指南*中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服务控制策略 (SCPs)** — SCPs 是 JSON 策略，用于指定中组织或组织单位 (OU) 的最大权限 AWS Organizations。 AWS Organizations 是一项用于对您的企业拥有的多 AWS 账户 项进行分组和集中管理的服务。如果您启用组织中的所有功能，则可以将服务控制策略 (SCPs) 应用于您的任何或所有帐户。SCP 限制成员账户中的实体（包括每个 AWS 账户根用户实体）的权限。有关 Organization SCPs s 和的更多信息，请参阅《*AWS Organizations 用户指南*》中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **资源控制策略 (RCPs)** — RCPs 是 JSON 策略，您可以使用它来设置账户中资源的最大可用权限，而无需更新附加到您拥有的每个资源的 IAM 策略。RCP 限制成员账户中资源的权限，并可能影响身份（包括身份）的有效权限 AWS 账户根用户，无论这些身份是否属于您的组织。有关 Organizations 的更多信息 RCPs，包括 AWS 服务 该支持的列表 RCPs，请参阅*《AWS Organizations 用户指南*》中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **会话策略**：会话策略是当您以编程方式为角色或联合用户创建临时会话时作为参数传递的高级策略。结果会话的权限是用户或角色的基于身份的策略和会话策略的交集。权限也可以来自基于资源的策略。任一项策略中的显式拒绝将覆盖允许。有关更多信息，请参阅 *IAM 用户指南*中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多个策略类型 当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # 如何 AWS Snow Family 与 IAM 配合使用 在使用 IAM 管理访问权限之前 AWS Snow Family，请先了解哪些可用的 IAM 功能 AWS Snow Family。 **您可以搭配使用的 IAM 功能 AWS Snow Family** | IAM 功能 | AWS Snow Family 支持 | | --- | --- | | [基于身份的策略](#security_iam_service-with-iam-id-based-policies) | 是 | | [基于资源的策略](#security_iam_service-with-iam-resource-based-policies) | 是 | | [策略操作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [策略资源](#security_iam_service-with-iam-id-based-policies-resources) | 是 | | [策略条件键（特定于服务）](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [ACLs](#security_iam_service-with-iam-acls) | 否 | | [ABAC（策略中的标签）](#security_iam_service-with-iam-tags) | 部分 | | [临时凭证](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [转发访问会话（FAS）](#security_iam_service-with-iam-principal-permissions) | 是 | | [服务角色](#security_iam_service-with-iam-roles-service) | 是 | | [服务相关角色](#security_iam_service-with-iam-roles-service-linked) | 否 | 要全面了解 AWS Snow Family 以及其他 AWS 服务如何与大多数 IAM 功能配合使用，请参阅 IAM *用户指南中的与 IAM* [配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ## 基于身份的策略 AWS Snow Family **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。您无法在基于身份的策略中指定主体，因为它适用于其附加的用户或角色。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 基于身份的策略示例 AWS Snow Family 要查看 AWS Snow Family 基于身份的策略的示例，请参阅。[基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) ## 内部基于资源的政策 AWS Snow Family **支持基于资源的策略：**是 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。 要启用跨账户访问，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。将跨账户主体添加到基于资源的策略只是建立信任关系工作的一半而已。当委托人和资源处于不同位置时 AWS 账户，可信账户中的 IAM 管理员还必须向委托人实体（用户或角色）授予访问资源的权限。他们通过将基于身份的策略附加到实体以授予权限。但是，如果基于资源的策略向同一个账户中的主体授予访问权限，则不需要额外的基于身份的策略。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 的政策行动 AWS Snow Family **支持策略操作：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API 操作同名。有一些例外情况，例如没有匹配 API 操作的*仅限权限* 操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为*相关操作*。 在策略中包含操作以授予执行关联操作的权限。 要查看 AWS Snow Family 操作列表，请参阅《*服务授权参考*》 AWS Snow Family中[定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html#awssnowball-actions-as-permissions)。 正在执行的策略操作在操作前 AWS Snow Family 使用以下前缀： ``` snowball ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。 ``` "Action": [ "snowball:action1", "snowball:action2" ] ``` 要查看 AWS Snow Family 基于身份的策略的示例，请参阅。[基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) ## 的政策资源 AWS Snow Family **支持策略资源：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。语句必须包含 `Resource` 或 `NotResource` 元素。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于支持特定资源类型（称为*资源级权限*）的操作，您可以执行此操作。 对于不支持资源级权限的操作（如列出操作），请使用通配符（\$1）指示语句应用于所有资源。 ``` "Resource": "*" ``` 要查看 AWS Snow Family 资源类型及其列表 ARNs，请参阅《*服务授权参考*[》 AWS Snow Family中定义的资源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html#awssnowball-resources-for-iam-policies)。要了解可以在哪些操作中指定每个资源的 ARN，请参阅 [AWS Snow Family定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html#awssnowball-actions-as-permissions)。 要查看 AWS Snow Family 基于身份的策略的示例，请参阅。[基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) ## 的策略条件密钥 AWS Snow Family **支持特定于服务的策略条件键：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 在 `Condition` 元素（或 `Condition` *块*）中，可以指定语句生效的条件。`Condition` 元素是可选的。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。 如果您在一个语句中指定多个 `Condition` 元素，或在单个 `Condition` 元素中指定多个键，则 AWS 使用逻辑 `AND` 运算评估它们。如果您为单个条件键指定多个值，则使用逻辑`OR`运算来 AWS 评估条件。在授予语句的权限之前必须满足所有的条件。 在指定条件时，您也可以使用占位符变量。例如，只有在使用 IAM 用户名标记 IAM 用户时，您才能为其授予访问资源的权限。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 策略元素：变量和标签](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html)。 AWS 支持全局条件密钥和特定于服务的条件密钥。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 要查看 AWS Snow Family 条件密钥列表，请参阅《*服务授权参考*》 AWS Snow Family中的[条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html#awssnowball-policy-keys)。要了解可以使用条件键的操作和资源，请参阅[由定义的操作 AWS Snow Family](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html#awssnowball-actions-as-permissions)。 要查看 AWS Snow Family 基于身份的策略的示例，请参阅。[基于身份的策略示例 AWS Snowball Edge](security_iam_id-based-policy-examples.md) ## ACLs in AWS Snow Family **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 ## ABAC with AWS Snow Family **支持 ABAC（策略中的标签）：**部分支持 基于属性的访问控制（ABAC）是一种授权策略，该策略基于属性来定义权限。在中 AWS，这些属性称为*标签*。您可以向 IAM 实体（用户或角色）和许多 AWS 资源附加标签。标记实体和资源是 ABAC 的第一步。然后设计 ABAC 策略，以在主体的标签与他们尝试访问的资源标签匹配时允许操作。 ABAC 在快速增长的环境中非常有用，并在策略管理变得繁琐的情况下可以提供帮助。 要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅*《IAM 用户指南》*中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 ## 将临时证书与 AWS Snow Family **支持临时凭证：**是 当你使用临时凭证登录时，有些 AWS 服务 不起作用。有关更多信息，包括哪些 AWS 服务 适用于临时证书，请参阅 IAM *用户指南中的[AWS 服务 与 IA](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) M* 配合使用的信息。 如果您使用除用户名和密码之外的任何方法登录，则 AWS 管理控制台 使用的是临时证书。例如，当您 AWS 使用公司的单点登录 (SSO) 链接进行访问时，该过程会自动创建临时证书。当您以用户身份登录控制台，然后切换角色时，您还会自动创建临时凭证。有关切换角色的更多信息，请参阅《IAM 用户指南》**中的[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)。 您可以使用 AWS CLI 或 AWS API 手动创建临时证书。然后，您可以使用这些临时证书进行访问 AWS。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)。 ## 转发访问会话 AWS Snow Family **支持转发访问会话（FAS）：**是 当您使用 IAM 用户或角色在中执行操作时 AWS，您被视为委托人。使用某些服务时，您可能会执行一个操作，然后此操作在其他服务中启动另一个操作。FAS 使用调用委托人的权限以及 AWS 服务 向下游服务发出请求的请求。 AWS 服务只有当服务收到需要与其他 AWS 服务 或资源交互才能完成的请求时，才会发出 FAS 请求。在这种情况下，您必须具有执行这两项操作的权限。有关发出 FAS 请求时的策略详细信息，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 ## AWS Snow Family的服务角色 **支持服务角色：**是 服务角色是由一项服务担任、代表您执行操作的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息，请参阅《IAM 用户指南》**中的[创建向 AWS 服务委派权限的角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。 **警告** 更改服务角色的权限可能会中断 AWS Snow Family 功能。只有在 AWS Snow Family 提供操作指导时才编辑服务角色。 ## 的服务相关角色 AWS Snow Family **支持服务相关角色：**否 服务相关角色是一种链接到的服务角色。 AWS 服务服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。 有关创建或管理服务相关角色的详细信息，请参阅[能够与 IAM 搭配使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在表中查找**服务相关角色**列中包含 `Yes` 的表。选择**是**链接以查看该服务的服务相关角色文档。 # 基于身份的策略示例 AWS Snowball Edge 默认情况下，用户和角色没有创建或修改 AWS Snow Family 资源的权限。他们也无法使用 AWS 管理控制台、 AWS Command Line Interface (AWS CLI) 或 AWS API 执行任务。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。管理员随后可以向角色添加 IAM 策略，用户可以代入角色。 要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》**中的[创建 IAM 策略（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。 有关由 AWS Snow Family定义的操作和资源类型（包括每种资源类型的格式）的详细信息，请参阅《*服务授权参考*》 AWS Snow Family中的[操作、资源和条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssnowball.html)。 ARNs **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices) + [使用 AWS Snow Family 控制台](#security_iam_id-based-policy-examples-console) + [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions) ## 策略最佳实践 基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 AWS Snow Family 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性** – IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅 *IAM 用户指南*中的 [IAM 中的安全最佳实操](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 AWS Snow Family 控制台 要访问 AWS Snow Family 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 AWS Snow Family 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。 为确保用户和角色仍然可以使用 AWS Snow Family 控制台，还需要将 AWS Snow Family `ConsoleAccess`或`ReadOnly` AWS 托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ## 允许用户查看他们自己的权限 该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # 对 AWS Snowball Edge 身份和访问进行故障排除 使用以下信息来帮助您诊断和修复在使用 AWS Snow Family 和 IAM 时可能遇到的常见问题。 **Topics** + [我无权在以下位置执行操作 AWS Snow Family](#security_iam_troubleshoot-no-permissions) + [我无权执行 iam：PassRole](#security_iam_troubleshoot-passrole) + [我想允许我以外的人 AWS 账户 访问我的 AWS Snow Family 资源](#security_iam_troubleshoot-cross-account-access) ## 我无权在以下位置执行操作 AWS Snow Family 如果您收到错误提示，指明您无权执行某个操作，则必须更新策略以允许执行该操作。 当 `mateojackson` IAM 用户尝试使用控制台查看有关虚构 `my-example-widget` 资源的详细信息，但不拥有虚构 `snowball:GetWidget` 权限时，会发生以下示例错误。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: snowball:GetWidget on resource: my-example-widget ``` 在此情况下，必须更新 `mateojackson` 用户的策略，以允许使用 `snowball:GetWidget` 操作访问 `my-example-widget` 资源。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我无权执行 iam：PassRole 如果您收到一个错误，表明您无权执行 `iam:PassRole` 操作，则必须更新策略以允许您将角色传递给 AWS Snow Family。 有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。 当名为 `marymajor` 的 IAM 用户尝试使用控制台在 AWS Snow Family中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在这种情况下，必须更新 Mary 的策略以允许她执行 `iam:PassRole` 操作。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我想允许我以外的人 AWS 账户 访问我的 AWS Snow Family 资源 您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。 要了解更多信息，请参阅以下内容： + 要了解是否 AWS Snow Family 支持这些功能，请参阅[如何 AWS Snow Family 与 IAM 配合使用](security_iam_service-with-iam.md)。 + 要了解如何提供对您拥有的资源的访问权限 AWS 账户 ，请参阅 [IAM 用户*指南中的向您拥有 AWS 账户 的另一个 IAM 用户*提供访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)权限。 + 要了解如何向第三方提供对您的资源的访问[权限 AWS 账户，请参阅 *IAM 用户指南*中的向第三方提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)访问权限。 AWS 账户 + 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（身份联合验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 中的访问控制 AWS 云 您可以通过有效的凭证在 AWS中对您的请求进行身份验证。但是，除非您拥有权限，否则您无法创建或访问 AWS 资源。例如，您必须具有创建任务的权限才能订购 Snowball Edge 设备。 以下部分将介绍如何为 AWS Snowball Edge管理基于云的权限。我们建议您先阅读概述。 + [管理资源访问权限的概述，请参阅 AWS 云](authentication-and-access-control.md#access-control-overview) + [使用基于身份的策略（IAM 策略） AWS Snowball Edge](access-control-managing-permissions.md) ## 管理资源访问权限的概述，请参阅 AWS 云 每个 AWS 资源都归人所有 AWS 账户，创建或访问资源的权限受权限策略的约束。账户管理员可以向 IAM 身份（即用户、群组和角色）附加权限策略，某些服务（例如 AWS Lambda）还支持向资源附加权限策略。 **注意** *账户管理员*（或管理员用户）是具有管理员权限的用户。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 最佳实操](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 **Topics** + [资源和操作](#access-control-resources) + [了解资源所有权](#access-control-owner) + [管理对资源的访问权限 AWS 云](#access-control-manage-access-intro) + [指定策略元素：操作、效果和主体](#access-control-specify-actions) + [在策略中指定条件](#specifying-conditions) ### 资源和操作 在中 AWS Snowball Edge，主要资源是*工作*。 AWS Snowball Edge 还有 Snowball 和 AWS Snowball Edge 设备之类的设备，但是，您只能在现有工作环境中使用这些设备。Amazon S3 S3 存储桶和 Lambda 函数分别是 Amazon S3 和 Lambda 的资源。 如前所述，作业没有与之关联的 Amazon 资源名称 (ARNs)。但是，其他服务的资源（例如 Amazon S3 存储桶）确实具有与之关联的唯一 (ARNs)，如下表所示。 | 资源类型 | ARN 格式 | | --- | --- | | S3 存储桶 | arn:aws:s3:region:account-id:BucketName/ObjectName | AWS Snowball Edge 提供了一组用于创建和管理作业的操作。有关可用操作的列表，请参阅 [AWS Snowball Edge API 参考](https://docs.aws.amazon.com/snowball/latest/api-reference/api-reference.html)。 ### 了解资源所有权 AWS 账户 拥有在账户中创建的资源，无论谁创建了这些资源。具体而言，资源所有者是 AWS 账户 对资源创建请求进行身份验证的[委托人实体](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html)（即根账户、IAM 用户或 IAM 角色）。以下示例说明了它的工作原理： + 如果您使用您的 AWS 账户 根账户证书创建 S3 存储桶，则您 AWS 账户 就是该资源的所有者（在中 AWS Snowball Edge，资源就是任务）。 + 如果您在中创建 IAM 用户 AWS 账户 并授予创建任务以向该用户订购 Snowball Edge 设备的权限，则该用户可以创建订购 Snowball Edge 设备的任务。但是，用户所属的您 AWS 账户拥有作业资源。 + 如果您在中创建 AWS 账户 具有创建任务权限的 IAM 角色，则任何能够担任该角色的人都可以创建任务来订购 Snowball Edge 设备。该角色所属的您 AWS 账户拥有作业资源。 ### 管理对资源的访问权限 AWS 云 *权限策略*规定谁可以访问哪些内容。下一节介绍创建权限策略时的可用选项。 **注意** 本节讨论在的上下文中使用 IAM AWS Snowball Edge。这里不提供有关 IAM 服务的详细信息。有关完整的 IAM 文档，请参阅《IAM 用户指南》中的[什么是 IAM？](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)。有关 IAM 策略语法和说明的信息，请参阅《IAM 用户指南》中的 [AWS IAM 策略参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。 *附加到 IAM 身份的策略称为*基于身份*的策略（IAM 策略），附加到资源的策略称为基于资源的策略。* AWS Snowball Edge 仅支持基于身份的策略（IAM 策略）。 **Topics** + [基于资源的策略](#access-control-manage-access-intro-resource-policies) #### 基于资源的策略 其他服务（如 Amazon S3）还支持基于资源的权限策略。例如，您可以将策略附加到 S3 存储桶，以管理对该存储桶的访问权限。 AWS Snowball Edge 不支持基于资源的策略。  ### 指定策略元素：操作、效果和主体 对于各个作业（参阅[资源和操作](#access-control-resources)），该服务均将定义一组 API 操作（参阅 [AWS Snowball Edge API 参考](https://docs.aws.amazon.com/snowball/latest/api-reference/api-reference.html)）来创建和管理上述作业。要授予这些 API 操作的权限，请 AWS Snowball Edge 定义一组可在策略中指定的操作。例如，将为某个作业定义以下操作：`CreateJob`、`CancelJob` 和 `DescribeJob`。请注意，执行某项 API 操作可能需要执行多个操作的权限。 以下是最基本的策略元素： + **资源**：在策略中，您可以使用 Amazon Resource Name（ARN）标识策略应用到的资源。有关更多信息，请参阅 [资源和操作](#access-control-resources)。 **注意** 亚马逊 S3、亚马逊 EC2、 AWS Lambda 和许多其他服务 AWS KMS都支持此功能。 Snowball 不支持在 IAM 策略语句的 `Resource` 元素中指定资源 ARN。要允许对Snowball 的访问权限，请在策略中指定 `“Resource”: “*”`。 + **操作**：您可以使用操作关键字标识要允许或拒绝的资源操作。例如，根据指定的 `Effect`，`snowball:*` 可以允许执行所有操作的用户权限，也可以拒绝这些用户权限。 **注意** 亚马逊 EC2、亚马逊 S3 和 IAM 都支持此功能。 + **效果**：您可以指定当用户请求特定操作（可以是允许或拒绝）时的效果。如果没有显式授予（允许）对资源的访问权限，则隐式拒绝访问。您也可显式拒绝对资源的访问，这样可确保用户无法访问该资源，即使有其他策略授予了访问权限的情况下也是如此。 **注意** 亚马逊 EC2、亚马逊 S3 和 IAM 都支持此功能。 + **主体**：在基于身份的策略（IAM policy）中，附加了策略的用户是隐式主体。对于基于资源的策略，您可以指定要获得权限的用户、账户、服务或其他实体（仅适用于基于资源的策略）。 AWS Snowball Edge 不支持基于资源的策略。 有关 IAM 策略语法和描述的更多信息，请参阅《IAM 用户指南》**中的 [AWS IAM 策略参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。 有关显示所有 AWS Snowball Edge API 操作的表格，请参阅[AWS Snowball Edge API 权限：操作、资源和条件参考](access-policy-examples-for-sdk-cli.md#snowball-api-permissions-ref)。 ### 在策略中指定条件 当您授予权限时，可使用 IAM 策略语言来指定规定策略何时生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》**中的[条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Condition)。 要表示条件，您可以使用预定义的条件键。没有特定于 AWS Snowball Edge的条件键。但是，您可以根据需要使用 AWS范围内的条件键。有关 AWS范围密钥的完整列表，请参阅 *IAM 用户指南*中的[条件可用密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 # 使用基于身份的策略（IAM 策略） AWS Snowball Edge 本主题提供了基于身份的策略的示例，这些示例演示了账户管理员如何向 IAM 身份（即，用户、组和角色）附加权限策略。因此，这些策略授予对中的 AWS Snowball Edge 资源执行操作的权限 AWS 云。 **重要** 我们建议您首先阅读以下介绍性主题，这些主题讲解了管理 AWS Snowball Edge 资源访问的基本概念和选项。有关更多信息，请参阅 [管理资源访问权限的概述，请参阅 AWS 云](authentication-and-access-control.md#access-control-overview)。 本主题的各个部分涵盖以下内容： + [使用 AWS Snowball Edge 控制台所需的权限](#additional-console-required-permissions) + [AWS-托管（预定义）策略 AWS Snowball Edge](authentication-and-access-control.md#access-policy-examples-aws-managed) + [客户托管策略示例](access-policy-examples-for-sdk-cli.md) 下面介绍权限策略示例。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "snowball:*", "importexport:*" ], "Resource": "*" } ] } ``` ------ 该策略包含两条语句： + 第一个语句为使用 `arn:aws:s3:::*` 的 *Amazon 资源名称（ARN）*的所有 Amazon S3 存储桶授予执行三个 Amazon S3 操作（`s3:GetBucketLocation`、`s3:GetObject` 和 `s3:ListBucket`）的权限。ARN 使用了通配符（\$1），以便用户可以选择从任意或全部 Amazon S3 存储桶导出数据。 + 第二条语句授予所有 AWS Snowball Edge 操作的权限。由于这些操作不支持资源级权限，该策略采用了通配符（\$1），且 `Resource` 值也采用了通配符。 该策略不指定 `Principal` 元素，因为在基于身份的策略中，您未指定获取权限的主体。附加了策略的用户是隐式主体。向 IAM 角色附加权限策略后，该角色的信任策略中标识的主体将获取权限。 有关显示所有 AWS Snowball Edge 任务管理 API 操作及其适用的资源的表格，请参阅[AWS Snowball Edge API 权限：操作、资源和条件参考](access-policy-examples-for-sdk-cli.md#snowball-api-permissions-ref)。 ## 使用 AWS Snowball Edge 控制台所需的权限 权限参考表列出了 AWS Snowball Edge 任务管理 API 操作并显示了每个操作所需的权限。有关作业管理 API 操作的更多信息，请参阅 [AWS Snowball Edge API 权限：操作、资源和条件参考](access-policy-examples-for-sdk-cli.md#snowball-api-permissions-ref)。 要使用 AWS Snow 系列管理控制台，您需要授予其他操作的权限，如以下权限策略所示： ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetBucketPolicy", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListAllMyBuckets" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:CreateBucket", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "lambda:GetFunction", "lambda:GetFunctionConfiguration" ], "Resource": "arn:aws:lambda:*::function:*" }, { "Effect": "Allow", "Action": [ "lambda:ListFunctions" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:GenerateDataKey", "kms:Decrypt", "kms:Encrypt", "kms:RetireGrant", "kms:ListKeys", "kms:DescribeKey", "kms:ListAliases" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "iam:AttachRolePolicy", "iam:CreatePolicy", "iam:CreateRole", "iam:ListRoles", "iam:ListRolePolicies", "iam:PutRolePolicy" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::*:role/snowball*", "Condition": { "StringEquals": { "iam:PassedToService": "importexport.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "ec2:DescribeImages", "ec2:ModifyImageAttribute" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:ListTopics", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:ListSubscriptionsByTopic", "sns:Subscribe" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:getServiceRoleForAccount" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "snowball:*" ], "Resource": [ "*" ] } ] } ``` ------ ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetBucketPolicy", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListAllMyBuckets" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:CreateBucket", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "lambda:GetFunction", "lambda:GetFunctionConfiguration" ], "Resource": "arn:aws:lambda:::function:*" }, { "Effect": "Allow", "Action": [ "lambda:ListFunctions" ], "Resource": "arn:aws:lambda:::*" }, { "Effect": "Allow", "Action": [ "iam:AttachRolePolicy", "iam:CreatePolicy", "iam:CreateRole", "iam:ListRoles", "iam:ListRolePolicies", "iam:PutRolePolicy" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::*:role/snowball*", "Condition": { "StringEquals": { "iam:PassedToService": "importexport.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "ec2:DescribeImages", "ec2:ModifyImageAttribute" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "sns:CreateTopic", "sns:ListTopics", "sns:GetTopicAttributes", "sns:SetTopicAttributes", "sns:ListSubscriptionsByTopic", "sns:Subscribe" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:getServiceRoleForAccount" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "snowball:*" ], "Resource": [ "*" ] } ] } ``` ------ 出于以下原因， AWS Snowball Edge 控制台需要这些额外权限： + `ec2:`— 它们允许用户描述 EC2与 Amazon 兼容的实例，并出于本地计算目的修改其属性。有关更多信息，请参阅 [在 Snowball EC2 Edge 上使用与亚马逊兼容的计算实例](using-ec2.md)。 + `kms:`：有了这些权限，用户可以创建或选择可加密数据的 KMS 密钥。有关更多信息，请参阅 [AWS Key Management Service in AWS Snowball Edge](data-protection.md#kms)。 + `iam:`— 它们允许用户创建或选择一个 IAM 角色 ARN，该角色 AWS Snowball Edge 将假定访问与创建和处理工作相关的 AWS 资源。 + `sns:`：有了这些权限，用户可以为其创建的作业创建或选择 Amazon SNS 通知。有关更多信息，请参阅 [Snowball Edge 的通知](notifications.md)。 ## AWS-托管（预定义）策略 AWS Snowball Edge AWS 通过提供由创建和管理的独立 IAM 策略来解决许多常见用例 AWS。托管策略可针对常见使用案例授予必要权限，因此，您无需自行调查具体需要哪些权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 您可以将以下 AWS托管策略与一起 AWS Snowball Edge使用。 ### 为 Snowball Edge Edge 创建 IAM 角色策略 创建的 IAM 角色策略必须拥有对 Amazon S3 存储桶的读写权限。IAM 角色还必须与 Snowball Edge 建立信任关系。建立信任关系意味着 AWS 可以将数据写入 Snowball 和您的 Amazon S3 存储桶，具体取决于您是导入还是导出数据。 当您在中创建订购 Snowball Edge 设备的任务时 AWS Snow 系列管理控制台，将在第 4 步的 “**权限**” 部分创建必要的 IAM 角色。此过程是自动的。您允许 Snowball Edge 担任的 IAM 角色仅在包含您已传输数据的 Snowball 到达时用于将您的数据写入存储桶。 AWS此流程包括下列步骤。 **为导入作业创建 IAM 角色** 1. 登录 AWS 管理控制台 并打开 AWS Snowball Edge 控制台，网址为[https://console.aws.amazon.com/importexport/](https://console.aws.amazon.com/importexport/)。 1. 请选择**创建作业**。 1. 在第一步中，在 Amazon S3 中填写导入作业的详细信息，然后选择**下一步**。 1. 在第二步中，在**权限**下选择**创建/选择 IAM 角色**。 IAM 管理控制台将打开，其中显示 AWS 用于将对象复制到您指定的 Amazon S3 存储桶的 IAM 角色。 1. 检查此页上的详细信息，然后选择**允许**。 您将返回到 AWS Snow 系列管理控制台，其中**选定的 IAM 角色 ARN** 包含您刚刚创建的 IAM 角色的亚马逊资源名称 (ARN)。 1. 选择**下一步**完成创建您的 IAM 角色。 上述过程创建了一个对您计划将数据导入到的 Amazon S3 存储桶拥有写权限的 IAM 角色。创建的 IAM 角色具有以下结构之一，具体取决于它是用于导入作业还是用于导出作业。 **用于导入作业的 IAM 角色** ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:ListBucketMultipartUploads" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:GetBucketPolicy", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" } ] } ``` ------ 如果您使用服务器端加密和 AWS KMS托管密钥 (SSE-KMS) 来加密与导入任务关联的 Amazon S3 存储桶，则还需要将以下语句添加到您的 IAM 角色中。 ``` { "Effect": "Allow", "Action": [ "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111" } ``` 如果对象大小较大，则用于执行导入过程的 Amazon S3 客户端会使用分段上传。如果您使用 SSE-KMS 启动分段上传，则所有上传的段都将使用指定的密钥进行加密。 AWS KMS 由于上传的各部分内容已加密，因此必须先对其进行解密，然后才能组合起来完成分段上传。因此，当您使用 SSE-KMS 将分段上传到 Amazon S3 时，您必须有权解密密 AWS KMS 钥 (`kms:Decrypt`)。 以下是需要 `kms:Decrypt` 权限的导入作业所需的 IAM 角色示例。 ``` { "Effect": "Allow", "Action": [ "kms:GenerateDataKey","kms:Decrypt" ], "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111" } ``` 以下是导出作业所需的 IAM 角色示例。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetBucketPolicy", "s3:GetObject", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" } ] } ``` ------ 如果您使用带有 AWS KMS托管密钥的服务器端加密来加密与导出任务关联的 Amazon S3 存储桶，则还需要在您的 IAM 角色中添加以下语句。 ``` { "Effect": "Allow", "Action": [ “kms:Decrypt” ], "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111" } ``` 您可以创建自己的自定义 IAM 策略，以授予 AWS Snowball Edge 任务管理的 API 操作权限。您可以将这些自定义策略附加到需要这些权限的 IAM 用户或组。 # 客户托管策略示例 在本节中，您可以找到为各种 AWS Snowball Edge 任务管理操作授予权限的用户策略示例。这些政策在您使用 AWS SDKs 或时起作用 AWS CLI。当您使用控制台时，您需要授予特定于控制台的其他权限，[使用 AWS Snowball Edge 控制台所需的权限](access-control-managing-permissions.md#additional-console-required-permissions) 中对此进行了讨论。 **注意** 所有示例都使用 us-west-2 区域并包含虚构账户。 IDs **Topics** + [示例 1：允许用户创建任务以通过 API 订购 Snowball Edge 设备的角色策略](#access-policy-example-create-api) + [示例 2：用于创建导入作业的角色策略](#role-policy-example-import) + [示例 3：用于创建导出作业的角色策略](#role-policy-example-export) + [示例 4：预期角色权限和信任策略](#expected-role-permissions-and-trust-policy) + [AWS Snowball Edge API 权限：操作、资源和条件参考](#snowball-api-permissions-ref) ## 示例 1：允许用户创建任务以通过 API 订购 Snowball Edge 设备的角色策略 以下权限策略是用于通过作业管理 API 授予作业或集群创建权限的任何策略的必要组成部分。该语句需要作为 Snowball IAM 角色的信任关系策略语句。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "importexport.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` ------ ## 示例 2：用于创建导入作业的角色策略 您可以使用以下角色信任策略为 Snowball Edge 创建使用由 AWS IoT Greengrass 函数 AWS Lambda 提供支持的导入任务。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:ListBucketMultipartUploads" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "s3:GetBucketPolicy", "s3:GetBucketLocation", "s3:ListBucketMultipartUploads", "s3:ListBucket", "s3:PutObject", "s3:AbortMultipartUpload", "s3:ListMultipartUploadParts", "s3:PutObjectAcl", "s3:GetObject" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "snowball:*" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "iot:AttachPrincipalPolicy", "iot:AttachThingPrincipal", "iot:CreateKeysAndCertificate", "iot:CreatePolicy", "iot:CreateThing", "iot:DescribeEndpoint", "iot:GetPolicy" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "lambda:GetFunction" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:CreateCoreDefinition", "greengrass:CreateDeployment", "greengrass:CreateDeviceDefinition", "greengrass:CreateFunctionDefinition", "greengrass:CreateGroup", "greengrass:CreateGroupVersion", "greengrass:CreateLoggerDefinition", "greengrass:CreateSubscriptionDefinition", "greengrass:GetDeploymentStatus", "greengrass:UpdateGroupCertificateConfiguration", "greengrass:CreateGroupCertificateAuthority", "greengrass:GetGroupCertificateAuthority", "greengrass:ListGroupCertificateAuthorities", "greengrass:ListDeployments", "greengrass:GetGroup", "greengrass:GetGroupVersion", "greengrass:GetCoreDefinitionVersion" ], "Resource": [ "*" ] } ] } ``` ------ ## 示例 3：用于创建导出作业的角色策略 您可以使用以下角色信任策略为 Snowball Edge 创建使用由 AWS IoT Greengrass 函数 AWS Lambda 提供支持的导出任务。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket" ], "Resource": "arn:aws:s3:::*" }, { "Effect": "Allow", "Action": [ "snowball:*" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "iot:AttachPrincipalPolicy", "iot:AttachThingPrincipal", "iot:CreateKeysAndCertificate", "iot:CreatePolicy", "iot:CreateThing", "iot:DescribeEndpoint", "iot:GetPolicy" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "lambda:GetFunction" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "greengrass:CreateCoreDefinition", "greengrass:CreateDeployment", "greengrass:CreateDeviceDefinition", "greengrass:CreateFunctionDefinition", "greengrass:CreateGroup", "greengrass:CreateGroupVersion", "greengrass:CreateLoggerDefinition", "greengrass:CreateSubscriptionDefinition", "greengrass:GetDeploymentStatus", "greengrass:UpdateGroupCertificateConfiguration", "greengrass:CreateGroupCertificateAuthority", "greengrass:GetGroupCertificateAuthority", "greengrass:ListGroupCertificateAuthorities", "greengrass:ListDeployments", "greengrass:GetGroup", "greengrass:GetGroupVersion", "greengrass:GetCoreDefinitionVersion" ], "Resource": [ "*" ] } ] } ``` ------ ## 示例 4：预期角色权限和信任策略 以下预期角色权限策略是使用现有服务角色所必需的。这是一次性设置。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "sns:Publish", "Resource": ["[[snsArn]]"] }, { "Effect": "Allow", "Action": [ "cloudwatch:ListMetrics", "cloudwatch:GetMetricData", "cloudwatch:PutMetricData" ], "Resource": [ "*" ], "Condition": { "StringEquals": { "cloudwatch:namespace": "AWS/SnowFamily" } } } ] } ``` ------ 以下预期角色信任策略是使用现有服务角色所必需的。这是一次性设置。 ------ #### [ JSON ] **** ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "importexport.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` ------ ## AWS Snowball Edge API 权限：操作、资源和条件参考 在设置 [中的访问控制 AWS 云](access-control.md) 和编写可附加到 IAM 身份的权限策略（基于身份的策略）时，可使用下面的表 作为参考。下表每项 AWS Snowball Edge 任务管理 API 操作以及您可以为其授予执行该操作的权限的相应操作。它还包括您可以为每个 API 操作授予权限的 AWS 资源。您可以在策略的 `Action` 字段中指定这些操作，并在策略的 `Resource` 字段中指定资源值。 您可以在 AWS Snowball Edge 策略中使用 AWS-wide 条件键来表达条件。有关 AWS范围密钥的完整列表，请参阅 *IAM 用户指南*中的[可用密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#AvailableKeys)。 **注意** 要指定操作，请在 API 操作名称之前使用 `snowball:` 前缀（例如，`snowball:CreateJob`）。 使用滚动条查看表的其余部分。 **AWS Snowball Edge Job Management API 和操作所需的权限** | 作业管理 API 操作 | 所需权限 | | --- | --- | | [CancelCluster](https://docs.aws.amazon.com/snowball/latest/api-reference/API_CancelCluster.html) | snowball:CancelCluster | | [CancelJob](https://docs.aws.amazon.com/snowball/latest/api-reference/API_CancelJob.html) | `snowball:CancelJob` | | [CreateAddress](https://docs.aws.amazon.com/snowball/latest/api-reference/API_CreateAddress.html) | snowball:CreateAddress | | [CreateCluster](https://docs.aws.amazon.com/snowball/latest/api-reference/API_CreateCluster.html) | 此操作需要以下权限： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/snowball/latest/developer-guide/access-policy-examples-for-sdk-cli.html) | | [CreateJob](https://docs.aws.amazon.com/snowball/latest/api-reference/API_CreateJob.html) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/snowball/latest/developer-guide/access-policy-examples-for-sdk-cli.html) | | [DescribeAddress](https://docs.aws.amazon.com/snowball/latest/api-reference/API_DescribeAddress.html) | snowball:DescribeAddress | | [DescribeAddresses](https://docs.aws.amazon.com/snowball/latest/api-reference/API_DescribeAddresses.html) | snowball:DescribeAddresses | | [DescribeCluster](https://docs.aws.amazon.com/snowball/latest/api-reference/API_DescribeCluster.html) | snowball:DescribeCluster | | [DescribeJob](https://docs.aws.amazon.com/snowball/latest/api-reference/API_DescribeJob.html) | snowball:DescribeJob | | [GetJobManifest](https://docs.aws.amazon.com/snowball/latest/api-reference/API_GetJobManifest.html) | snowball:GetJobManifest | | [GetJobUnlockCode](https://docs.aws.amazon.com/snowball/latest/api-reference/API_GetJobUnlockCode.html) | snowball:GetJobUnlockCode | | [GetSnowballUsage](https://docs.aws.amazon.com/snowball/latest/api-reference/API_GetSnowballUsage.html) | snowball:GetSnowballUsage | | [ListClusterJobs](https://docs.aws.amazon.com/snowball/latest/api-reference/API_ListClusterJobs.html) | snowball:ListClusterJobs | | [ListClusters](https://docs.aws.amazon.com/snowball/latest/api-reference/API_ListClusters.html) | snowball:ListClusters | | [ListJobs](https://docs.aws.amazon.com/snowball/latest/api-reference/API_ListJobs.html) | snowball:ListJobs | | [UpdateCluster](https://docs.aws.amazon.com/snowball/latest/api-reference/API_UpdateCluster.html) | snowball:UpdateCluster | | [UpdateJob](https://docs.aws.amazon.com/snowball/latest/api-reference/API_UpdateJob.html) | snowball:UpdateJob |