本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# AWS 付款密碼編譯如何與 IAM 搭配使用
<a name="security_iam_service-with-iam"></a>

在您使用 IAM 管理 AWS 付款密碼編譯的存取權之前，您應該了解哪些 IAM 功能可與 AWS 付款密碼編譯搭配使用。若要深入了解 AWS 付款密碼編譯和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。

**Topics**
+ [AWS 付款密碼編譯身分型政策](#security_iam_service-with-iam-id-based-policies)
+ [以 AWS 付款密碼編譯標籤為基礎的授權](#security_iam_service-with-iam-tags)

## AWS 付款密碼編譯身分型政策
<a name="security_iam_service-with-iam-id-based-policies"></a>

透過 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及允許或拒絕動作的條件。 AWS 付款密碼編譯支援特定動作、資源和條件金鑰。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。

### 動作
<a name="security_iam_service-with-iam-id-based-policies-actions"></a>

管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。

JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。

 AWS 付款密碼編譯中的政策動作在動作之前使用下列字首：`payment-cryptography:`。例如，若要授予某人執行 AWS Payment Cryptography `VerifyCardData` API 操作的許可，請在其政策中包含 `payment-cryptography:VerifyCardData`動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。 AWS 付款密碼編譯會定義自己的一組動作，描述您可以使用此服務執行的任務。

若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：

```
"Action": [
      "payment-cryptography:action1",
      "payment-cryptography:action2"
```

您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定以字詞開頭的所有動作 `List`（例如 `ListKeys`和 `ListAliases`)，請包含下列動作：

```
"Action": "payment-cryptography:List*"
```



若要查看 AWS 付款密碼編譯動作的清單，請參閱《*IAM 使用者指南*》中的[AWS 付款密碼編譯定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awskeymanagementservice.html#awskeymanagementservice-actions-as-permissions)。

### Resources
<a name="security_iam_service-with-iam-id-based-policies-resources"></a>

管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。

`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。

```
"Resource": "*"
```



付款加密金鑰資源具有下列 ARN：

```
arn:${Partition}:payment-cryptography:${Region}:${Account}:key/${keyARN}
```

如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。

例如，若要在陳述式中指定 `arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h` 執行個體，請使用以下 ARN：

```
"Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
```

若要指定屬於特定帳戶的所有金鑰，請使用萬用字元 (\$1)：

```
"Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/*"
```

某些 AWS 付款密碼編譯動作無法在特定資源上執行，例如用於建立金鑰的動作。在這些情況下，您必須使用萬用字元 (\$1)。

```
"Resource": "*"
```

若要在單一陳述式中指定多個資源，請使用逗號，如下所示：

```
"Resource": [
      "resource1",
      "resource2"
```

### 範例
<a name="security_iam_service-with-iam-id-based-policies-examples"></a>



若要檢視 AWS 付款密碼編譯身分型政策的範例，請參閱 [AWS 付款密碼編譯身分型政策範例](security_iam_id-based-policy-examples.md)。

## 以 AWS 付款密碼編譯標籤為基礎的授權
<a name="security_iam_service-with-iam-tags"></a>

您可以將標籤連接至 AWS 付款密碼編譯資源，或在請求中將標籤傳遞至 AWS 付款密碼編譯。如需根據標籤控制存取，請使用 `payment-cryptography:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。