本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# AWS CloudTrail 資源型政策範例
本節提供 CloudTrail Lake 儀表板、事件資料存放區和頻道的資源型政策範例。
CloudTrail 支援下列類型的資源型政策：
+ 用於 CloudTrail Lake 與 外部事件來源整合之頻道的資源型政策 AWS。通道的資源型政策會定義哪些主體實體 (帳戶、使用者、角色和聯合身分使用者) 可在通道上呼叫 `PutAuditEvents`，將事件傳送至目的地事件資料存放區。如需與 CloudTrail Lake 建立整合的詳細資訊，請參閱[在 外部建立與事件來源的整合 AWS](query-event-data-store-integration.md)。
+ 以資源為基礎的政策，以控制哪些委託人可以在您的事件資料存放區上執行動作。您可以使用資源型政策來提供事件資料存放區的跨帳戶存取權。
+ 儀表板上的資源型政策，允許 CloudTrail 在您為儀表板設定重新整理排程時，以您定義的間隔重新整理 CloudTrail Lake 儀表板。如需詳細資訊，請參閱[使用 CloudTrail 主控台設定自訂儀表板的重新整理排程](lake-dashboard-refresh.md)。
**Topics**
+ [頻道的資源型政策範例](#security_iam_resource-based-policy-examples-channels)
+ [事件資料存放區的資源型政策範例](#security_iam_resource-based-policy-examples-eds)
+ [儀表板的資源型政策範例](#security_iam_resource-based-policy-examples-dashboards)
## 頻道的資源型政策範例
通道的資源型政策會定義哪些主體實體 (帳戶、使用者、角色和聯合身分使用者) 可在通道上呼叫 `PutAuditEvents`，將事件傳送至目的地事件資料存放區。
政策所需的資訊取決於整合類型。
+ 對於直接整合，CloudTrail 會要求政策包含合作夥伴的 AWS 帳戶 ID，並要求您輸入合作夥伴提供的唯一外部 ID。當您使用 CloudTrail 主控台建立整合時，CloudTrail 會自動將合作夥伴的 AWS 帳戶 IDs 新增至資源政策。請參閱[合作夥伴的文件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/query-event-data-store-integration.html#cloudtrail-lake-partner-information#lake-integration-partner-documentation)，了解如何取得政策所需的 AWS 帳戶 號碼。
+ 對於解決方案整合，您必須指定至少一個 AWS 帳戶 ID 做為委託人，並且可以選擇輸入外部 ID 以防止混淆代理人。
資源型政策的需求如下：
+ 政策至少包含一個陳述式。政策最多可以有 20 個陳述式。
+ 每個陳述式至少包含一個主體。委託人是帳戶、使用者、角色或聯合身分使用者。陳述式最多可以有 50 個主體。
+ 政策中定義的資源 ARN 必須與政策所連接的通道 ARN 相符。
+ 政策僅包含一個動作：`cloudtrail-data:PutAuditEvents`
通道擁有者可以在通道上呼叫 `PutAuditEvents` API，除非政策拒絕擁有者存取資源。
**Topics**
+ [範例：提供通道存取權給主體](#security_iam_resource-based-policy-examples-principals)
+ [範例：使用外部 ID 預防混淆代理人](#security_iam_resource-based-policy-examples-externalID)
### 範例：提供通道存取權給主體
下列範例將許可授與具有 ARN `arn:aws:iam::111122223333:root`、`arn:aws:iam::444455556666:root` 和 `arn:aws:iam::123456789012:root` 的主體，以在具有 ARN `arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b` 的 CloudTrail 通道上呼叫 [PutAuditEvents](https://docs.aws.amazon.com/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html) API。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Sid": "ChannelPolicy",
"Effect": "Allow",
"Principal":
{
"AWS":
[
"arn:aws:iam::{{111122223333}}:root",
"arn:aws:iam::444455556666:root",
"arn:aws:iam::123456789012:root"
]
},
"Action": "cloudtrail-data:PutAuditEvents",
"Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b"
}
]
}
```
------
### 範例：使用外部 ID 預防混淆代理人
下列範例使用外部 ID 來處理和預防[混淆代理人](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cross-service-confused-deputy-prevention.html)。混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。
整合合作夥伴建立要在政策中使用的外部 ID。然後，在建立整合的過程中向您提供該外部 ID。該值可為任何唯一字串，例如密碼短語或帳戶號碼。
下列範例將許可授與具有 ARN `arn:aws:iam::111122223333:root`、`arn:aws:iam::444455556666:root` 和 `arn:aws:iam::123456789012:root` 的主體，以在 CloudTrail 通道資源上呼叫 [PutAuditEvents](https://docs.aws.amazon.com/awscloudtraildata/latest/APIReference/API_PutAuditEvents.html) API (如果對 `PutAuditEvents` API 的呼叫含有在政策中定義的外部 ID 值)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Sid": "ChannelPolicy",
"Effect": "Allow",
"Principal":
{
"AWS":
[
"arn:aws:iam::{{111122223333}}:root",
"arn:aws:iam::444455556666:root",
"arn:aws:iam::123456789012:root"
]
},
"Action": "cloudtrail-data:PutAuditEvents",
"Resource": "arn:aws:cloudtrail:us-east-1:777788889999:channel/EXAMPLE-80b5-40a7-ae65-6e099392355b"
}
]
}
```
------
## 事件資料存放區的資源型政策範例
資源型政策可讓您控制哪些主體可對您的事件存放區執行動作。
您可以使用資源型政策來提供跨帳戶存取，以允許選取的委託人查詢您的事件資料存放區、列出和取消查詢，以及檢視查詢結果。
對於 CloudTrail Lake 儀表板，資源型政策用於允許 CloudTrail 在事件資料存放區上執行查詢，以在儀表板重新整理時填入儀表板小工具的資料。當您在 CloudTrail 主控台[上建立自訂儀表板](lake-dashboard-custom.md)或[啟用反](lake-dashboard-highlights.md)白儀表板時，CloudTrail Lake 可讓您選擇將預設資源型政策連接至事件資料存放區。
事件資料存放區的資源型政策支援下列動作：
+ `cloudtrail:StartQuery`
+ `cloudtrail:CancelQuery`
+ `cloudtrail:ListQueries`
+ `cloudtrail:DescribeQuery`
+ `cloudtrail:GetQueryResults`
+ `cloudtrail:GenerateQuery`
+ `cloudtrail:GenerateQueryResultsSummary`
+ `cloudtrail:GetEventDataStore`
當您在 CloudTrail 主控台上[建立](query-event-data-store-cloudtrail.md#query-event-data-store-cloudtrail-procedure)或[更新](query-event-data-store-update.md)事件資料存放區，或管理儀表板時，您可以選擇將資源型政策新增至事件資料存放區。您也可以執行 [put-resource-policy](https://docs.aws.amazon.com/cli/latest/reference/cloudtrail/put-resource-policy.html) 命令，將資源型政策連接至事件資料存放區。
資源型政策包含一或多個陳述式。例如，它可以包含一個允許 CloudTrail 查詢儀表板事件資料存放區的陳述式，以及另一個允許跨帳戶存取以查詢事件資料存放區的陳述式。您可以從 CloudTrail 主控台的事件資料存放區詳細資訊頁面[更新](query-event-data-store-update.md)現有事件資料存放區的資源型政策。
對於[組織事件資料存放區](cloudtrail-lake-organizations.md)，CloudTrail 會建立[預設資源型政策](cloudtrail-lake-organizations.md#cloudtrail-lake-organizations-eds-rbp)，列出允許委派管理員帳戶在組織事件資料存放區上執行的動作。此政策中的許可衍生自 中的委派管理員許可 AWS Organizations。此政策會在組織事件資料存放區或組織變更後自動更新 （例如，CloudTrail 委派管理員帳戶已註冊或移除）。
**Topics**
+ [範例：允許 CloudTrail 執行查詢以重新整理儀表板](#security_iam_resource-based-policy-examples-eds-dashboard)
+ [範例：允許其他帳戶查詢事件資料存放區並檢視查詢結果](#security_iam_resource-based-policy-examples-eds-query)
### 範例：允許 CloudTrail 執行查詢以重新整理儀表板
若要在重新整理期間填入 CloudTrail Lake 儀表板上的資料，您需要允許 CloudTrail 代表您執行查詢。若要這樣做，請將資源型政策連接到與儀表板小工具相關聯的每個事件資料存放區，其中包含允許 CloudTrail 執行 `StartQuery`操作以填入小工具的資料的陳述式。
以下是 陳述式的要求：
+ 唯一的 `Principal`是 `cloudtrail.amazonaws.com`。
+ 唯一`Action`允許的是 `cloudtrail:StartQuery`。
+ `Condition` 僅包含儀表板 ARN (s) 和 AWS 帳戶 ID。對於 `AWS:SourceArn`，您可以提供儀表板 ARNs的陣列。
下列範例政策包含一個陳述式，允許 CloudTrail 針對名為 `example-dashboard1`和 的兩個自訂儀表板`example-dashboard2`，以及針對帳戶 名為 `AWSCloudTrail-Highlights`的 Highlights 儀表板，在事件資料存放區上執行查詢`123456789012`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Effect": "Allow",
"Principal":
{
"Service": "cloudtrail.amazonaws.com"
},
"Action":
[
"cloudtrail:StartQuery"
],
"Resource": "arn:aws:cloudtrail:{{us-east-1}}:{{123456789012}}:dashboard/*",
"Condition": {
"StringLike": {
"AWS:SourceArn": [
"arn:aws:cloudtrail:us-east-1:123456789012:dashboard/example-dashboard1",
"arn:aws:cloudtrail:us-east-1:123456789012:dashboard/example-dashboard2",
"arn:aws:cloudtrail:us-east-1:123456789012:dashboard/AWSCloudTrail-Highlights"
],
"AWS:SourceAccount": "123456789012"
}
}
}
]
}
```
------
### 範例：允許其他帳戶查詢事件資料存放區並檢視查詢結果
您可以使用資源型政策來提供事件資料存放區的跨帳戶存取權，以允許其他帳戶在您的事件資料存放區上執行查詢。
下列範例政策包含一個陳述式，允許帳戶 `111122223333`、`999999999999`、 `777777777777`和 中的根使用者`111111111111`對帳戶 ID 擁有的事件資料存放區執行查詢並取得查詢結果`555555555555`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "policy1",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::{{111122223333}}:root",
"arn:aws:iam::777777777777:root",
"arn:aws:iam::999999999999:root",
"arn:aws:iam::111111111111:root"
]
},
"Action": [
"cloudtrail:StartQuery",
"cloudtrail:GetEventDataStore",
"cloudtrail:GetQueryResults"
],
"Resource": "arn:aws:cloudtrail:us-east-1:555555555555:eventdatastore/example80-699f-4045-a7d2-730dbf313ccf"
}
]
}
```
------
## 儀表板的資源型政策範例
您可以為 CloudTrail Lake 儀表板設定重新整理排程，這可讓 CloudTrail 在您設定重新整理排程時，以您定義的間隔代表您重新整理儀表板。若要這樣做，您需要將資源型政策連接到儀表板，以允許 CloudTrail 在儀表板上執行 `StartDashboardRefresh`操作。
資源型政策的需求如下：
+ 唯一的 `Principal`是 `cloudtrail.amazonaws.com`。
+ 政策中唯一`Action`允許的是 `cloudtrail:StartDashboardRefresh`。
+ `Condition` 僅包含儀表板 ARN 和 AWS 帳戶 ID。
下列範例政策允許 CloudTrail 重新整理帳戶 名為 `exampleDash`的儀表板`123456789012`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Effect": "Allow",
"Principal":
{
"Service": "cloudtrail.amazonaws.com"
},
"Action":
[
"cloudtrail:StartDashboardRefresh"
],
"Resource": "arn:aws:cloudtrail:{{us-east-1}}:{{123456789012}}:dashboard/*",
"Condition": {
"StringEquals": {
"AWS:SourceArn": "arn:aws:cloudtrail:us-east-1:123456789012:dashboard/exampleDash",
"AWS:SourceAccount":"123456789012"
}
}
}
]
}
```
------