支援終止通知：2027 年 3 月 31 日， AWS 將終止對 Amazon WorkMail 的支援。2027 年 3 月 31 日之後，您將無法再存取 Amazon WorkMail 主控台或 Amazon WorkMail 資源。如需詳細資訊，請參閱 [Amazon WorkMail 終止支援](https://docs.aws.amazon.com/workmail/latest/adminguide/workmail-end-of-support.html)。
本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon WorkMail 如何與 IAM 搭配使用
使用 IAM 管理 Amazon WorkMail 的存取權之前，您應該了解哪些 IAM 功能可與 Amazon WorkMail 搭配使用。若要全面了解 Amazon WorkMail 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **
**Topics**
+ [Amazon WorkMail 身分型政策](#security_iam_service-with-iam-id-based-policies)
+ [Amazon WorkMail 資源型政策](#security_iam_service-with-iam-resource-based-policies)
+ [以 Amazon WorkMail 標籤為基礎的授權](#security_iam_service-with-iam-tags)
+ [Amazon WorkMail IAM 角色](#security_iam_service-with-iam-roles)
## Amazon WorkMail 身分型政策
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。Amazon WorkMail 支援特定動作、資源和條件金鑰。若要了解您在 JSON 政策中使用的所有元素，請參閱 *IAM 使用者指南*中的 [JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 動作
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
Amazon WorkMail 中的政策動作在動作之前使用下列字首：`workmail:`。例如，若要授予某人使用 Amazon WorkMail `ListUsers` API 操作擷取使用者清單的許可，請在其政策中包含 `workmail:ListUsers`動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Amazon WorkMail 會定義自己的一組動作，描述您可以使用此服務執行的任務。
若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示：
```
"Action": [
"workmail:ListUsers",
"workmail:DeleteUser"
```
您也可以使用萬用字元 (\*) 來指定多個動作。例如，若要指定開頭是 `List` 文字的所有動作，請包含以下動作：
```
"Action": "workmail:List*"
```
若要查看 Amazon WorkMail 動作的清單，請參閱《*IAM 使用者指南*》中的 [Amazon WorkMail 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonworkmail.html#amazonworkmail-actions-as-permissions)。
### Resources
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\*) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
Amazon WorkMail 支援 Amazon WorkMail 組織的資源層級許可。
Amazon WorkMail 組織資源具有下列 ARN：
```
arn:aws:workmail:${Region}:${Account}:organization/${OrganizationId}
```
如需 ARNs 格式的詳細資訊，請參閱 [Amazon Resource Name (ARNs AWS 和服務命名空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。
例如，若要在陳述式中指定 `m-n1pq2345678r901st2u3vx45x6789yza` 組織，請使用以下 ARN。
```
"Resource": "arn:aws:workmail:us-east-1:111122223333:organization/m-n1pq2345678r901st2u3vx45x6789yza"
```
若要指定所有屬於特定帳戶的組織，請使用萬用字元 (\*)：
```
"Resource": "arn:aws:workmail:us-east-1:111122223333:organization/*"
```
有些 Amazon WorkMail 動作無法在特定資源上執行，例如用於建立資源的動作。在這些情況下，您必須使用萬用字元 (\*)。
```
"Resource": "*"
```
若要查看 Amazon WorkMail 資源類型及其 ARNs 的清單，請參閱《*IAM 使用者指南*》中的 [Amazon WorkMail 定義的資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonworkmail.html#amazonworkmail-resources-for-iam-policies)。若要了解您可以為每個資源的 ARN 指定哪些動作，請參閱 [Amazon WorkMail 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonworkmail.html)。
### 條件索引鍵
Amazon WorkMail 支援下列全域條件金鑰。
+ `aws:CurrentTime`
+ `aws:EpochTime`
+ `aws:MultiFactorAuthAge`
+ `aws:MultiFactorAuthPresent`
+ `aws:PrincipalOrgID`
+ `aws:PrincipalArn`
+ `aws:RequestedRegion`
+ `aws:SecureTransport`
+ `aws:UserAgent`
下列範例政策僅授予來自 `eu-west-1` AWS 區域中 MFA 驗證 IAM 主體的 Amazon WorkMail 主控台存取權。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ses:Describe*",
"ses:Get*",
"workmail:Describe*",
"workmail:Get*",
"workmail:List*",
"workmail:Search*",
"lambda:ListFunctions",
"iam:ListRoles",
"logs:DescribeLogGroups",
"cloudwatch:GetMetricData"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:RequestedRegion": [
"eu-west-1"
]
},
"Bool": {
"aws:MultiFactorAuthPresent": true
}
}
}
]
}
```
------
若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
`workmail:ImpersonationRoleId` 是 Amazon WorkMail 唯一支援的服務特定條件金鑰。
下列範例政策會將`AssumeImpersonationRole`動作範圍縮小至特定 WorkMail 組織和模擬角色。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"workmail:AssumeImpersonationRole"
],
"Resource": "arn:aws:workmail:{{us-east-1}}:{{111122223333}}:organization/{{m-n1pq2345678r901st2u3vx45x6789yza}}",
"Condition": {
"StringEquals": {
"workmail:ImpersonationRoleId":"{{12345678-1234-1234-1234-123456789012}}"
}
}
}
]
}
```
------
### 範例
若要檢視 Amazon WorkMail 身分型政策的範例，請參閱 [Amazon WorkMail 身分型政策範例](security_iam_id-based-policy-examples.md)。
## Amazon WorkMail 資源型政策
Amazon WorkMail 不支援以資源為基礎的政策。
## 以 Amazon WorkMail 標籤為基礎的授權
您可以將標籤連接至 Amazon WorkMail 資源，或在請求中將標籤傳遞至 Amazon WorkMail。如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。如需標記 Amazon WorkMail 資源的詳細資訊，請參閱 [標記組織](org-tag.md)。
## Amazon WorkMail IAM 角色
[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。
### 搭配 Amazon WorkMail 使用臨時憑證
您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。
Amazon WorkMail 支援使用臨時登入資料。
### 服務連結角色
[服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
Amazon WorkMail 支援服務連結角色。如需建立或管理 Amazon WorkMail 服務連結角色的詳細資訊，請參閱 [使用 Amazon WorkMail 的服務連結角色](using-service-linked-roles.md)。
### 服務角色
此功能可讓服務代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。此角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，且由該帳戶所擁有。這表示 IAM 管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。
Amazon WorkMail 支援服務角色。