本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Amazon Textract 如何搭配 IAM 運作
<a name="security_iam_service-with-iam"></a>

在您使用 IAM 管理對 Amazon Textract 的存取權之前，您應該瞭解哪些 IAM 功能可以與 Amazon Textract 搭配使用。若要了解 Amazon Textract 和其他AWS服務可搭配 IAM 運作，請參[AWS可搭配 IAM 運作的服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)中的*IAM User Guide*。

**Topics**
+ [Amazon Textract 身分型政策](#security_iam_service-with-iam-id-based-policies)
+ [Amazon Textract 資源型政策](#security_iam_service-with-iam-resource-based-policies)
+ [以 Amazon Textract 標籤為基礎的授權](#security_iam_service-with-iam-tags)
+ [Amazon Textract IAM 角色](#security_iam_service-with-iam-roles)

## Amazon Textract 身分型政策
<a name="security_iam_service-with-iam-id-based-policies"></a>

使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Amazon Textract 支援特定動作、資源和條件金鑰。若要了解您在 JSON 政策中使用的所有元素，請參閱《IAM 使用者指南》**中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。

### 動作
<a name="security_iam_service-with-iam-id-based-policies-actions"></a>

管理員可以使用 AWS JSON 政策來指定誰可以存取哪些內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。

JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策動作的名稱通常會和相關聯的 AWS API 操作相同。有一些例外狀況，例如沒有相符的 API 作業的*僅限許可動作*。也有一些作業需要政策中的多個動作。這些額外的動作稱為*相依動作*。

政策會使用動作來授予執行相關聯操作的許可。

Amazon Textract 中的異步操作需要授予兩個操作權限，一個用於「開始」操作，另一個用於獲取操作。此外，如果您使用 Amazon S3 存儲桶傳遞文檔，則需要授予您的賬户讀取訪問權限。

在 Amazon Textract 中，所有策略操作都以以下幾點開始：`textract:`。 例如，若要授予某人使用 Amazon Textract 操作的許可`AnalyzeDocument`操作時，您可以將`textract:AnalyzeDocument`行動在他們的政策。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Amazon Textract 會定義自己的一組動作，描述您可以使用此服務執行的任務。

若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示。

```
"Action": [
      "textract:action1",
      "textract:action2"
```

您也可以使用萬用字元 (\*) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：

```
"Action": "textract:Describe*"
```



如需 Amazon Textract 殊操作的清單，請參[Amazon Textract 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazontextract.html#amazontextract-actions-as-permissions)中的*IAM User Guide*。

### 資源
<a name="security_iam_service-with-iam-id-based-policies-resources"></a>

管理員可以使用 AWS JSON 政策來指定誰可以存取哪些內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。

`Resource` JSON 政策元素可指定要套用動作的物件。陳述式必須包含 `Resource` 或 `NotResource` 元素。最佳實務是使用其 [Amazon 資源名稱 (ARN)](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) 來指定資源。您可以針對支援特定資源類型的動作 (*稱為資源層級許可*) 來這麼做。

對於不支援資源層級許可的動作 (例如列出作業)，請使用萬用字元 (\*) 來表示陳述式適用於所有資源。

```
"Resource": "*"
```

Amazon Textract 不支援在政策中指定資源 ARN。

### 條件索引鍵
<a name="security_iam_service-with-iam-id-based-policies-conditionkeys"></a>

管理員可以使用 AWS JSON 政策來指定誰可以存取哪些內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。

`Condition` 元素 (或 `Condition` *區塊*) 可讓您指定使陳述式生效的條件。`Condition` 元素是選用項目。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件表達式 (例如等於或小於)，來比對政策中的條件和請求中的值。

若您在陳述式中指定多個 `Condition` 元素，或是在單一 `Condition` 元素中指定多個金鑰，AWS 會使用邏輯 `AND` 操作評估他們。若您為單一條件索引鍵指定多個值，AWS 會使用邏輯 `OR` 操作評估條件。必須符合所有條件，才會授予陳述式的許可。

 您也可以在指定條件時使用預留位置變數。例如，您可以只在使用者使用其 IAM 使用者名稱標記時，將存取資源的許可授予該 IAM 使用者。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 政策元素：變數和標籤](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html)。

AWS 支援全域條件索引鍵和服務特定的條件索引鍵。若要查看 AWS 全域條件索引鍵，請參閱《[IAM 使用者指南](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)》中的 *AWS 全域條件內容索引鍵*。

Amazon Textract 不提供任何服務專用條件金鑰，但它支援使用一些全域條件金鑰。如需所有AWS全域條件索引鍵，請參[AWS全球條件內容金鑰](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)中的*IAM User Guide*。

### 範例
<a name="security_iam_service-with-iam-id-based-policies-examples"></a>



若要檢視 Amazon Textract 身分類型政策的範例，請參[Amazon Textract 身分型政策範例](security_iam_id-based-policy-examples.md)。

## Amazon Textract 資源型政策
<a name="security_iam_service-with-iam-resource-based-policies"></a>

Amazon Textract 不支援資源類型政策。

## 以 Amazon Textract 標籤為基礎的授權
<a name="security_iam_service-with-iam-tags"></a>

Amazon Textract 不支援根據標籤來標記資源或控制存取。

## Amazon Textract IAM 角色
<a name="security_iam_service-with-iam-roles"></a>

[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具備特定許可的實體。

### 搭配使用暫時登入資料與 Amazon Textract
<a name="security_iam_service-with-iam-roles-tempcreds"></a>

您可以搭配聯合使用臨時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您取得臨時安全憑證的方式是透過呼叫 AWS STS API 操作 (例如，[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html))。

Amazon Textract 支援使用臨時登入資料。

### 服務連結角色
<a name="security_iam_service-with-iam-roles-service-linked"></a>

[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代您完成動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。

Amazon Textract 不支援服務連結角色。

**注意**  
Amazon Textract 不支援服務連結角色，因此不支援 AWS 服務委託人。如需服務主體的詳細資訊，請參[AWS 服務委託人](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html#principal-services)中的*IAM User Guide*

### 服務角色
<a name="security_iam_service-with-iam-roles-service"></a>

此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。

Amazon Textract 支援服務角色。