本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon MQ 如何搭配 IAM 運作
在您使用 IAM 管理對 Amazon MQ 的存取權之前，您應該瞭解哪些 IAM 功能可以與 Amazon MQ 搭配使用。若要全面了解 Amazon MQ 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
Amazon MQ 使用 IAM for Amazon MQ API 操作來建立、更新、刪除和列出代理程式。對於發佈和訂閱訊息的代理程式存取權，Amazon MQ for ActiveMQ 支援原生 ActiveMQ 身分驗證和 LDAP，而 Amazon MQ for RabbitMQ 支援 IAM 身分驗證和其他方法。如需詳細資訊，請參閱[中介裝置身分驗證和授權](security-broker-auth-ref.md)。
**Topics**
+ [Amazon MQ 以身分為基礎的政策](#security_iam_service-with-iam-id-based-policies)
+ [Amazon MQ 以資源為基礎的政策](#security_iam_service-with-iam-resource-based-policies)
+ [以 Amazon MQ 標籤為基礎的授權](#security_iam_service-with-iam-tags)
+ [Amazon MQ IAM 角色](#security_iam_service-with-iam-roles)
## Amazon MQ 以身分為基礎的政策
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Amazon MQ 支援特定動作、資源和條件金鑰。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 動作
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
Amazon MQ 中的政策動作會在動作之前使用下列前綴：`mq:`。例如，若要授予某人使用 Amazon MQ `CreateBroker` API 操作來執行 Amazon MQ 執行個體的許可，請在其政策中加入 `mq:CreateBroker` 動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Amazon MQ 會定義自己的一組動作，描述您可以使用此服務執行的任務。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [
"mq:action1",
"mq:action2"
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：
```
"Action": "mq:Describe*"
```
若要查看 Amazon MQ 動作清單，請參閱《*IAM 使用者指南*》中 [Amazon MQ 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonmq.html#amazonmq-actions-as-permissions)。
### Resources
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
在 Amazon MQ 中，主要 AWS 資源是 Amazon MQ 訊息代理程式及其組態。Amazon MQ 代理程式與組態都有獨一無二的 Amazon 資源名稱 (ARN) 與其相關聯，如下表所示。
****
| 資源類型 | ARN | 條件金鑰 |
| --- | --- | --- |
| brokers | arn:aws:mq:us-east-1:123456789012:broker:\$1\$1brokerName\$1:\$1\$1brokerId\$1 | [aws:ResourceTag/\$1\$1TagKey\$1](#amazonmq-aws_ResourceTag___TagKey_) |
| configurations | arn:\$1\$1Partition\$1:mq:\$1\$1Region\$1:\$1\$1Account\$1:configuration:\$1\$1configuration-id\$1 | [aws:ResourceTag/\$1\$1TagKey\$1](#amazonmq-aws_ResourceTag___TagKey_) |
如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。
例如，若要在您的陳述式中指定名為 `MyBroker` 且 brokerId 為 `b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9` 的代理程式，請使用以下 ARN：
```
"Resource": "arn:aws:mq:us-east-1:123456789012:broker:MyBroker:b-1234a5b6-78cd-901e-2fgh-3i45j6k178l9"
```
若要指定屬於特定帳戶的所有代理程式和組態，請使用萬用字元 (\$1)：
```
"Resource": "arn:aws:mq:us-east-1:123456789012:*"
```
有些 Amazon MQ 動作無法對特定資源執行，例如用來建立資源的動作。在這些情況下，您必須使用萬用字元 (\$1)。
```
"Resource": "*"
```
API 動作 `CreateTags` 同時需要代理程式和組態。若要在單一陳述式中指定多項資源，請使用逗號分隔 ARN。
```
"Resource": [
"resource1",
"resource2"
```
若要查看 Amazon MQ 資源類型及其 ARN 的清單，請參閱《*IAM 使用者指南*》中的 [Amazon MQ 定義的資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonmq.html#amazonmq-resources-for-iam-policies) 。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [Amazon MQ 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonmq.html#amazonmq-actions-as-permissions)。
### 條件索引鍵
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
Amazon MQ 未定義任何服務專用條件索引鍵，但支援一些全域條件索引鍵的使用。若要查看 Amazon MQ 條件金鑰的清單，請參閱《*IAM 使用者指南*》中的 [Amazon MQ 條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonmq.html#amazonmq-policy-keys)。若要了解您可以搭配哪些動作和資源使用條件金鑰，請參閱 [Amazon MQ 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonmq.html#amazonmq-actions-as-permissions)。
****
| 條件金鑰 | 描述 | Type |
| --- | --- | --- |
| [aws:RequestTag/\$1\$1TagKey\$1](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-requesttag) | 根據要求中傳遞的標籤篩選動作。 | String |
| [aws:ResourceTag/\$1\$1TagKey\$1](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-resourcetag) | 根據與資源相關聯的標籤篩選動作。 | String |
| [aws:TagKeys](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-tagkeys) | 根據要求中傳遞的標籤鍵篩選動作。 | String |
### 範例
若要檢視 Amazon MQ 身分類型政策的範例，請參閱[Amazon MQ 身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon MQ 以資源為基礎的政策
目前，Amazon MQ 不支援使用資源型許可或資源型政策，進行 IAM 身分驗證。
## 以 Amazon MQ 標籤為基礎的授權
您可以將標籤連接至 Amazon MQ 資源，或是在請求中將標籤傳遞至 Amazon MQ。如需根據標籤控制存取，請使用 `mq:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
Amazon MQ 支援以標籤為基礎的政策。例如，您可以拒絕包含索引鍵為 `environment`，值為 `production` 之標籤的 Amazon MQ 資源存取。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"mq:DeleteBroker",
"mq:RebootBroker",
"mq:DeleteTags"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/environment": "production"
}
}
}
]
}
```
------
此政策將 `Deny` 以下功能：刪除或重新啟動包含標籤 `environment/production` 的 Amazon MQ 代理程式。
如需標記的詳細資訊，請參閱：
+ [將標籤新增至 Amazon MQ 資源](amazon-mq-tagging.md)
+ [使用 IAM 標籤控制存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_iam-tags.html)
## Amazon MQ IAM 角色
[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。
### 搭配使用暫時登入資料與 Amazon MQ
您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。
Amazon MQ 支援使用臨時登入資料。
### 服務角色
此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。
Amazon MQ 支援服務角色。