本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon VPC Lattice 的身分和存取管理
下列各節說明如何透過控制可執行 VPC Lattice API 動作的人員，來使用 AWS Identity and Access Management (IAM) 協助保護 VPC Lattice 資源。
**Topics**
+ [Amazon VPC Lattice 如何與 IAM 搭配使用](security_iam_service-with-iam.md)
+ [Amazon VPC Lattice API 許可](additional-api-permissions.md)
+ [Amazon VPC Lattice 的身分型政策](security_iam_id-based-policies.md)
+ [使用 Amazon VPC Lattice 的服務連結角色](using-service-linked-roles.md)
+ [AWS Amazon VPC Lattice 的 受管政策](managed-policies.md)
# Amazon VPC Lattice 如何與 IAM 搭配使用
在您使用 IAM 管理對 VPC Lattice 的存取之前，請先了解哪些 IAM 功能可與 VPC Lattice 搭配使用。
| IAM 功能 | VPC Lattice 支援 |
| --- | --- |
| [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 |
| [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 是 |
| [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 |
| [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 |
| [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 |
| [ACL](#security_iam_service-with-iam-acls) | 否 |
| [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 |
| [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 |
| [服務角色](#security_iam_service-with-iam-roles-service) | 否 |
| [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 |
如需 VPC Lattice 和其他 AWS 服務如何與大多數 IAM 功能搭配使用的高階檢視，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **
## VPC Lattice 的身分型政策
**支援身分型政策：**是
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
## VPC Lattice 內的資源型政策
**支援資源型政策：**是
以資源為基礎的政策是您連接到 中資源的 JSON 政策文件 AWS。在支援資源型政策的 AWS 服務中，服務管理員可以使用它們來控制對該 AWS 服務特定資源的存取。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中指定主體。
VPC Lattice 支援*身分驗證政策*，這是一種以資源為基礎的政策，可讓您控制對服務網路中服務的存取。如需詳細資訊，請參閱[使用身分驗證政策控制對 VPC Lattice 服務的存取](auth-policies.md)。
VPC Lattice 也支援與 整合的資源型許可政策 AWS Resource Access Manager。您可以使用這些以資源為基礎的政策，授予許可來管理與其他 AWS 帳戶或組織的 服務、資源組態和服務網路的連線。如需詳細資訊，請參閱[分享您的 VPC Lattice 實體](sharing.md)。
## VPC Lattice 的政策動作
**支援政策動作：**是
在 IAM 政策陳述式中，您可以從任何支援 IAM 的服務指定任何 API 動作。對於 VPC Lattice，請使用下列字首搭配 API 動作的名稱：`vpc-lattice:`。例如：`vpc-lattice:CreateService`、`vpc-lattice:CreateTargetGroup` 和 `vpc-lattice:PutAuthPolicy`。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [ "vpc-lattice:action1", "vpc-lattice:action2" ]
```
您也可以使用萬用字元指定多個動作。例如，您可以指定名稱開頭為 `Get` 文字的所有動作，如下所示：
```
"Action": "vpc-lattice:Get*"
```
如需 VPC Lattice API 動作的完整清單，請參閱*《服務授權參考*》中的 [Amazon VPC Lattice 定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonvpclattice.html#amazonvpclattice-actions-as-permissions)。
## VPC Lattice 的政策資源
**支援政策資源：**是
在 IAM 政策陳述式中，`Resource` 元素指定陳述式所涵蓋的一個或多個物件。對於 VPC Lattice，每個 IAM 政策陳述式都適用於您使用其 ARNs指定的資源。
特定的 Amazon Resource Name (ARN) 格式取決於資源。當您提供 ARN 時，請將*斜體*文字取代為您的資源特定資訊。
+ **存取日誌訂閱：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:accesslogsubscription/access-log-subscription-id"
```
+ **接聽程式：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id"
```
+ **資源閘道**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:resourcegateway/resource-gateway-id"
```
+ **資源組態**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:resourceconfiguration/resource-configuration-id"
```
+ **規則：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id/rule/rule-id"
```
+ **服務：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id"
```
+ **服務網路：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:servicenetwork/service-network-id"
```
+ **服務網路服務關聯：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkserviceassociation/service-network-service-association-id"
```
+ **服務網路資源組態關聯**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkresourceassociation/service-network-resource-association-id"
```
+ **服務網路 VPC 關聯：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkvpcassociation/service-network-vpc-association-id"
```
+ **目標群組：**
```
"Resource": "arn:aws:vpc-lattice:region:account-id:targetgroup/target-group-id"
```
## VPC Lattice 的政策條件索引鍵
**支援服務特定政策條件金鑰：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
若要查看 VPC Lattice 條件索引鍵的清單，請參閱*《服務授權參考*》中的 [Amazon VPC Lattice 的條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonvpclattice.html#amazonvpclattice-policy-keys)。
AWS 支援全域條件金鑰和服務特定的條件金鑰。如需 AWS 全域條件索引鍵的資訊，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
## VPC Lattice 中的存取控制清單 (ACLs)
**支援 ACL：**否
存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。
## 具有 VPC Lattice 的屬性型存取控制 (ABAC)
**支援 ABAC (政策中的標籤)：**是
屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。
如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。
如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
## 搭配 VPC Lattice 使用臨時登入資料
**支援臨時憑證：**是
臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## VPC Lattice 的服務角色
**支援服務角色：**否
服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[建立角色以委派許可給 AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**警告**
變更服務角色的許可可能會中斷 VPC Lattice 功能。只有在 VPC Lattice 提供指引時，才能編輯服務角色。
## VPC Lattice 的服務連結角色
**支援服務連結角色：**是
服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
如需建立或管理 VPC Lattice 服務連結角色的資訊，請參閱 [使用 Amazon VPC Lattice 的服務連結角色](using-service-linked-roles.md)。
# Amazon VPC Lattice API 許可
您必須授予 IAM 身分 （例如使用者或角色） 許可來呼叫他們所需的 VPC Lattice API 動作，如中所述[VPC Lattice 的政策動作](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies-actions)。此外，對於某些 VPC Lattice 動作，您必須授予 IAM 身分從其他 AWS APIs許可。
## API 的必要許可
從 API 呼叫下列動作時，您必須授予 IAM 使用者呼叫指定動作的許可。
`CreateResourceConfiguration`
+ `vpc-lattice:CreateResourceConfiguration`
+ `ec2:DescribeSubnets`
+ `rds:DescribeDBInstances`
+ `rds:DescribeDBClusters`
`CreateResourceGateway`
+ `vpc-lattice:CreateResourceGateway`
+ `ec2:AssignPrivateIpAddresses`
+ `ec2:AssignIpv6Addresses`
+ `ec2:CreateNetworkInterface`
+ `ec2:CreateNetworkInterfacePermission`
+ `ec2:DeleteNetworkInterface`
+ `ec2:DescribeNetworkInterfaces`
+ `ec2:DescribeSecurityGroups`
+ `ec2:DescribeSubnets`
`DeleteResourceGateway`
+ `vpc-lattice:DeleteResourceGateway`
+ `ec2:DeleteNetworkInterface`
`UpdateResourceGateway`
+ `vpc-lattice:UpdateResourceGateway`
+ `ec2:AssignPrivateIpAddresses`
+ `ec2:AssignIpv6Addresses`
+ `ec2:UnassignPrivateIpAddresses`
+ `ec2:CreateNetworkInterface`
+ `ec2:CreateNetworkInterfacePermission`
+ `ec2:DeleteNetworkInterface`
+ `ec2:DescribeNetworkInterfaces`
+ `ec2:DescribeSecurityGroups`
+ `ec2:DescribeSubnets`
+ `ec2:ModifyNetworkInterfaceAttribute`
`CreateServiceNetworkResourceAssociation`
+ `vpc-lattice:CreateServiceNetworkResourceAssociation`
+ `ec2:AssignIpv6Addresses`
+ `ec2:CreateNetworkInterface`
+ `ec2:CreateNetworkInterfacePermission`
+ `ec2:DescribeNetworkInterfaces`
`CreateServiceNetworkVpcAssociation`
+ `vpc-lattice:CreateServiceNetworkVpcAssociation`
+ `ec2:DescribeVpcs`
+ `ec2:DescribeSecurityGroups` （只有在提供安全群組時才需要）
`UpdateServiceNetworkVpcAssociation`
+ `vpc-lattice:UpdateServiceNetworkVpcAssociation`
+ `ec2:DescribeSecurityGroups` （只有在提供安全群組時才需要）
`CreateTargetGroup`
+ `vpc-lattice:CreateTargetGroup`
+ `ec2:DescribeVpcs`
`RegisterTargets`
+ `vpc-lattice:RegisterTargets`
+ `ec2:DescribeInstances` （只有在 `INSTANCE`是目標群組類型時才需要）
+ `ec2:DescribeVpcs` （只有在 `INSTANCE`或 `IP`為目標群組類型時才需要）
+ `ec2:DescribeSubnets` （只有在 `INSTANCE`或 `IP`為目標群組類型時才需要）
+ `lambda:GetFunction` （只有在 `LAMBDA`是目標群組類型時才需要）
+ `lambda:AddPermission` （只有在目標群組尚未擁有叫用指定 Lambda 函數的許可時，才需要）
`DeregisterTargets`
+ `vpc-lattice:DeregisterTargets`
`CreateAccessLogSubscription`
+ `vpc-lattice:CreateAccessLogSubscription`
+ `logs:GetLogDelivery`
+ `logs:CreateLogDelivery`
`DeleteAccessLogSubscription`
+ `vpc-lattice:DeleteAccessLogSubscription`
+ `logs:DeleteLogDelivery`
`UpdateAccessLogSubscription`
+ `vpc-lattice:UpdateAccessLogSubscription`
+ `logs:UpdateLogDelivery`
# Amazon VPC Lattice 的身分型政策
根據預設，使用者和角色沒有建立或修改 VPC Lattice 資源的許可。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。
如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
如需 VPC Lattice 定義的動作和資源類型的詳細資訊，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [Amazon VPC Lattice 的動作、資源和條件金鑰](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonvpclattice.html)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [完整存取的其他必要許可](#security_iam_id-based-policy-additional-permissions)
+ [VPC Lattice 的身分型政策範例](#security_iam_id-based-policy-examples)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 VPC Lattice 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 完整存取的其他必要許可
若要使用與 AWS VPC Lattice 整合的其他服務，以及整個 VPC Lattice 功能套件，您必須擁有特定的額外許可。由於[存在混淆代理人](https://docs.aws.amazon.com//IAM/latest/UserGuide/confused-deputy.html)權限提升風險，這些許可不包含在`VPCLatticeFullAccess`受管政策中。
您必須將下列政策連接至您的角色，並將其與 `VPCLatticeFullAccess`受管政策搭配使用。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"firehose:TagDeliveryStream",
"lambda:AddPermission",
"s3:PutBucketPolicy"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"logs:PutResourcePolicy"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": [
"vpc-lattice.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:PutRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
},
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:PutRolePolicy"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery*"
}
]
}
```
------
此政策提供下列其他許可：
+ `iam:AttachRolePolicy`：可讓您將指定的受管政策連接至指定的 IAM 角色。
+ `iam:PutRolePolicy`：可讓您新增或更新內嵌在指定 IAM 角色中的內嵌政策文件。
+ `s3:PutBucketPolicy`：可讓您將儲存貯體政策套用至 Amazon S3 儲存貯體。
+ `firehose:TagDeliveryStream`：可讓您新增或更新 Firehose 交付串流的標籤。
## VPC Lattice 的身分型政策範例
**Topics**
+ [範例政策：管理與服務網路的 VPC 關聯](#security_iam_id-based-policy-examples-vpc-to-service-network-association)
+ [範例政策：建立與服務網路的服務關聯](#security_iam_id-based-policy-examples-service-to-service-network-association)
+ [範例政策：將標籤新增至資源](#security_iam_id-based-policy-examples-tag-resources)
+ [範例政策：建立服務連結角色](#security_iam_id-based-policy-examples-service-linked-role)
### 範例政策：管理與服務網路的 VPC 關聯
以下範例示範一個政策，該政策為具有此政策的使用者提供許可，以建立、更新和刪除與服務網路的 VPC 關聯，但僅適用於 條件中指定的 VPC 和服務網路。如需指定條件索引鍵的詳細資訊，請參閱 [VPC Lattice 的政策條件索引鍵](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies-conditionkeys)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:CreateServiceNetworkVpcAssociation",
"vpc-lattice:UpdateServiceNetworkVpcAssociation",
"vpc-lattice:DeleteServiceNetworkVpcAssociation"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"vpc-lattice:ServiceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example",
"vpc-lattice:VpcId": "vpc-1a2b3c4d"
}
}
}
]
}
```
------
### 範例政策：建立與服務網路的服務關聯
如果您不是使用條件金鑰來控制對 VPC Lattice 資源的存取，您可以在 `Resource`元素中指定資源ARNs，以改為控制存取。
下列範例示範政策，透過指定可與 `CreateServiceNetworkServiceAssociation` API 動作搭配使用的 服務和 服務網路的 ARNs，將服務關聯限制為使用者可建立的服務網路。如需指定 ARN 值的詳細資訊，請參閱 [VPC Lattice 的政策資源](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies-resources)。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:CreateServiceNetworkServiceAssociation"
],
"Resource": [
"arn:aws:vpc-lattice:us-west-2:123456789012:servicenetworkserviceassociation/*",
"arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-04d5cc9b88example",
"arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example"
]
}
]
}
```
------
### 範例政策：將標籤新增至資源
以下範例示範一個政策，該政策授予具有此政策的使用者在 VPC Lattice 資源上建立標籤的許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"vpc-lattice:TagResource"
],
"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:*/*"
}
]
}
```
------
### 範例政策：建立服務連結角色
當 中的任何使用者第一次建立 VPC Lattice 資源時，VPC Lattice 需要許可才能 AWS 帳戶 建立服務連結角色。如果服務連結角色尚不存在，VPC Lattice 會在您的帳戶中建立該角色。服務連結角色會授予 VPC Lattice 的許可，使其可以 AWS 服務 代表您呼叫其他 。如需詳細資訊，請參閱[使用 Amazon VPC Lattice 的服務連結角色](using-service-linked-roles.md)。
為能成功自動建立該角色，使用者必須已獲許可執行 `iam:CreateServiceLinkedRole` 動作。
```
"Action": "iam:CreateServiceLinkedRole"
```
下列範例示範一個政策，該政策授予具有此政策的使用者為 VPC Lattice 建立服務連結角色的許可。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice",
"Condition": {
"StringLike": {
"iam:AWSServiceName":"vpc-lattice.amazonaws.com"
}
}
}
]
}
```
------
如需詳細資訊，請參閱 *IAM 使用者指南*中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
# 使用 Amazon VPC Lattice 的服務連結角色
Amazon VPC Lattice 會將服務連結角色用於 AWS 服務 代表您呼叫其他 所需的許可。如需詳細資訊，請參閱「IAM 使用者指南」**中的[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create-service-linked-role.html)。
VPC Lattice 使用名為 的服務連結角色AWSServiceRoleForVpcLattice。
## VPC Lattice 的服務連結角色許可
**AWSServiceRoleForVpcLattice** 服務連結角色信任下列服務擔任該角色：
+ `vpc-lattice.amazonaws.com`
名為 的角色許可政策AWSVpcLatticeServiceRolePolicy允許 VPC Lattice 在`AWS/VpcLattice`命名空間中發佈 CloudWatch 指標。如需詳細資訊，請參閱《 *AWS 受管政策參考*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSVpcLatticeServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSVpcLatticeServiceRolePolicy.html)》中的 。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱[範例政策：建立服務連結角色](security_iam_id-based-policies.md#security_iam_id-based-policy-examples-service-linked-role)。
## 為 VPC Lattice 建立服務連結角色
您不需要手動建立服務連結角色，當您在 AWS 管理主控台、 AWS CLI或 AWS API 中建立 VPC Lattice 資源時，VPC Lattice 會為您建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您建立 VPC Lattice 資源時，VPC Lattice 會再次為您建立服務連結角色。
## 編輯 VPC Lattice 的服務連結角色
您可以使用 IAM 編輯 **AWSServiceRoleForVpcLattice** 的描述。如需詳細資訊，請參閱 *IAM 使用者指南*中的[編輯服務連結角色描述](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-service-linked-role.html#edit-service-linked-role-iam-console)。
## 刪除 VPC Lattice 的服務連結角色
如果您不再需要使用 Amazon VPC Lattice，我們建議您刪除 **AWSServiceRoleForVpcLattice**。
只有在刪除 中的所有 VPC Lattice 資源後，才能刪除此服務連結角色 AWS 帳戶。
使用 IAM 主控台 AWS CLI、 或 AWS API 來刪除 **AWSServiceRoleForVpcLattice** 服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html#id_roles_manage_delete_slr)。
刪除服務連結角色之後，當您在 中建立 VPC Lattice 資源時，VPC Lattice 會再次建立角色 AWS 帳戶。
## VPC Lattice 服務連結角色支援的 區域
VPC Lattice 支援在提供服務的所有區域中使用服務連結角色。
# AWS Amazon VPC Lattice 的 受管政策
AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。
請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。
您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新 AWS 受管政策中定義的許可，則更新會影響政策連接的所有主體身分 （使用者、群組和角色）。 AWS 服務 當新的 啟動或新的 API 操作可用於現有 服務時， AWS 最有可能更新 AWS 受管政策。
如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
## AWS 受管政策：VPCLatticeFullAccess
此政策提供 Amazon VPC Lattice 的完整存取權，以及對其他相依服務的有限存取權。它包含執行下列動作的許可：
+ ACM – 擷取自訂網域名稱的 SSL/TLS 憑證 ARN。
+ CloudWatch – 檢視存取日誌和監控資料。
+ CloudWatch Logs – 設定存取日誌並將其傳送至 CloudWatch Logs。
+ Amazon EC2 – 設定網路介面並擷取 EC2 執行個體和 VPCs的相關資訊。這用於建立資源組態、資源閘道和目標群組、設定 VPC Lattice 實體關聯，以及註冊目標。
+ Elastic Load Balancing – 擷取 Application Load Balancer 的相關資訊，將其註冊為目標。
+ Firehose – 擷取用於存放存取日誌之交付串流的相關資訊。
+ Lambda – 擷取 Lambda 函數的相關資訊，將其註冊為目標。
+ Amazon RDS – 擷取 RDS 叢集和執行個體的相關資訊。
+ Amazon S3 – 擷取用於存放存取日誌之 S3 儲存貯體的相關資訊。
若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [VPCLatticeFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/VPCLatticeFullAccess.html)。
若要使用與 AWS VPC Lattice 整合的其他服務，以及整個 VPC Lattice 功能套件，您必須擁有特定的額外許可。由於[存在混淆代理人](https://docs.aws.amazon.com//IAM/latest/UserGuide/confused-deputy.html)權限提升風險，這些許可不包含在`VPCLatticeFullAccess`受管政策中。如需詳細資訊，請參閱[完整存取的其他必要許可](security_iam_id-based-policies.md#security_iam_id-based-policy-additional-permissions)。
## AWS 受管政策：VPCLatticeReadOnlyAccess
此政策提供對 Amazon VPC Lattice 的唯讀存取權，以及對其他相依服務的有限存取權。它包含執行下列動作的許可：
+ ACM – 擷取自訂網域名稱的 SSL/TLS 憑證 ARN。
+ CloudWatch – 檢視存取日誌和監控資料。
+ CloudWatch Logs – 檢視存取日誌訂閱的日誌交付資訊。
+ Amazon EC2 – 擷取 EC2 執行個體和 VPCs 的相關資訊，以建立目標群組並註冊目標。
+ Elastic Load Balancing – 擷取 Application Load Balancer 的相關資訊。
+ Firehose – 擷取有關存取日誌交付的交付串流資訊。
+ Lambda – 檢視 Lambda 函數的相關資訊。
+ Amazon RDS – 擷取 RDS 叢集和執行個體的相關資訊。
+ Amazon S3 – 擷取存取日誌交付的 S3 儲存貯體相關資訊。
若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [VPCLatticeReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/VPCLatticeReadOnlyAccess.html)。
## AWS 受管政策：VPCLatticeServicesInvokeAccess
此政策提供叫用 Amazon VPC Lattice 服務的存取權。
若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [VPCLatticeServicesInvokeAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/VPCLatticeServicesInvokeAccess.html)。
## AWS 受管政策：AWSVpcLatticeServiceRolePolicy
此政策會連接到名為 **AWSServiceRoleForVpcLattice** 的服務連結角色，以允許 VPC Lattice 代表您執行動作。您無法將此政策連接至 IAM 實體。如需詳細資訊，請參閱[使用 Amazon VPC Lattice 的服務連結角色](using-service-linked-roles.md)。
若要檢視此政策的許可，請參閱《 *AWS 受管政策參考*》中的 [AWSVpcLatticeServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSVpcLatticeServiceRolePolicy.html)。
## AWS 受管政策的 VPC Lattice 更新
檢視自此服務開始追蹤這些變更以來，VPC Lattice AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 VPC Lattice 使用者指南的 RSS 摘要。
| 變更 | 描述 | Date |
| --- | --- | --- |
| [VPCLatticeFullAccess](#vpc-lattice-fullaccess-policy) | VPC Lattice 新增唯讀許可來描述 Amazon RDS 叢集和執行個體。 | 2024 年 12 月 1 日 |
| [VPCLatticeReadOnlyAccess](#vpc-lattice-read-onlyaccess-policy) | VPC Lattice 新增唯讀許可來描述 Amazon RDS 叢集和執行個體。 | 2024 年 12 月 1 日 |
| [AWSVpcLatticeServiceRolePolicy](#service-linked-role-policy) | VPC Lattice 新增許可，以允許 VPC Lattice 建立請求者管理的網路介面。 | 2024 年 12 月 1 日 |
| [VPCLatticeFullAccess](#vpc-lattice-fullaccess-policy) | VPC Lattice 新增了新的政策，以授予對 Amazon VPC Lattice 的完整存取權，以及對其他相依服務的有限存取權。 | 2023 年 3 月 31 日 |
| [VPCLatticeReadOnlyAccess](#vpc-lattice-read-onlyaccess-policy) | VPC Lattice 新增了新的政策，以授予對 Amazon VPC Lattice 的唯讀存取許可，以及對其他相依服務的有限存取許可。 | 2023 年 3 月 31 日 |
| [VPCLatticeServicesInvokeAccess](#vpc-lattice-services-invoke-access-policy) | VPC Lattice 新增了新政策，以授予叫用 Amazon VPC Lattice 服務的存取權。 | 2023 年 3 月 31 日 |
| [AWSVpcLatticeServiceRolePolicy](#service-linked-role-policy) | VPC Lattice 會將許可新增至其服務連結角色，以允許 VPC Lattice 在AWS/VpcLattice命名空間中發佈 CloudWatch 指標。此AWSVpcLatticeServiceRolePolicy政策包含呼叫 CloudWatch [PutMetricData](https://docs.aws.amazon.com/AmazonCloudWatch/latest/APIReference/API_PutMetricData.html) API 動作的許可。如需詳細資訊，請參閱[使用 Amazon VPC Lattice 的服務連結角色](using-service-linked-roles.md)。 | 2022 年 12 月 5 日 |
| VPC Lattice 已開始追蹤變更 | VPC Lattice 已開始追蹤其 AWS 受管政策的變更。 | 2022 年 12 月 5 日 |