Amazon MemoryDB 的操作、资源和条件密钥

Amazon MemoryDB（服务前缀：memorydb）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon MemoryDB 定义的操作
Amazon MemoryDB 定义的资源类型
Amazon MemoryDB 的条件密钥

Amazon MemoryDB 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定所有资源（“*”）。如果该列包含一种资源类型，则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限 ARN，则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种类型而不使用其他类型。

有关下表中各列的详细信息，请参阅操作表。

注意

在 IAM 中为 Redis 策略创建 MemoryDB 时，必须为资源块使用 "*" 通配符。有关在 IAM 策略中使用以下 Redis API 操作的信息，请参阅内存数据库操作和 IAM。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
BatchUpdateCluster	授予应用服务更新的权限	写入	cluster*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs s3:GetObject
BatchUpdateCluster	授予应用服务更新的权限	写入		aws:ResourceTag/${TagKey}
CopySnapshot	授予权限以复制现有快照	写入	snapshot*		memorydb:TagResource s3:DeleteObject s3:GetBucketAcl s3:PutObject
CopySnapshot	授予权限以复制现有快照	写入		aws:ResourceTag/${TagKey} aws:RequestTag/${TagKey} aws:TagKeys
CreateAcl	授予权限以创建新的访问控制列表	写入	user*		memorydb:TagResource
CreateAcl	授予权限以创建新的访问控制列表	写入		aws:ResourceTag/${TagKey} aws:RequestTag/${TagKey} aws:TagKeys
CreateCluster	授予权限以创建集群	写入	acl*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs memorydb:TagResource s3:GetObject
			parametergroup*
			subnetgroup*
			snapshot
				aws:ResourceTag/${TagKey} aws:RequestTag/${TagKey} aws:TagKeys
CreateParameterGroup	授予权限以创建新的参数组	写入		aws:RequestTag/${TagKey} aws:TagKeys	memorydb:TagResource
CreateSnapshot	授予在当前时间点创建群集备份的权限	写入	cluster*		memorydb:TagResource s3:DeleteObject s3:GetBucketAcl s3:PutObject
CreateSnapshot	授予在当前时间点创建群集备份的权限	写入		aws:ResourceTag/${TagKey} aws:RequestTag/${TagKey} aws:TagKeys
CreateSubnetGroup	授予权限以创建新的子网组	写入		aws:RequestTag/${TagKey} aws:TagKeys	memorydb:TagResource
CreateUser	授予权限以创建新用户	写入		aws:RequestTag/${TagKey} aws:TagKeys	memorydb:TagResource
DeleteAcl	授予权限以删除访问控制列表	写入	acl*
DeleteAcl	授予权限以删除访问控制列表	写入		aws:ResourceTag/${TagKey}
DeleteCluster	授予权限以删除以前预配置的集群	写入	cluster*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
			snapshot
				aws:ResourceTag/${TagKey}
DeleteParameterGroup	授予权限以删除参数组	写入	parametergroup*
DeleteParameterGroup	授予权限以删除参数组	写入		aws:ResourceTag/${TagKey}
DeleteSnapshot	授予权限以删除快照	写入	snapshot*
DeleteSnapshot	授予权限以删除快照	写入		aws:ResourceTag/${TagKey}
DeleteSubnetGroup	授予删除子网组的权限	写入	subnetgroup*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
DeleteSubnetGroup	授予删除子网组的权限	写入		aws:ResourceTag/${TagKey}
DeleteUser	授予权限，以删除用户	写入	user*
DeleteUser	授予权限，以删除用户	写入		aws:ResourceTag/${TagKey}
DescribeAcls	授予权限以检索有关 IP 访问控制列表的信息	读取	acl*
DescribeAcls	授予权限以检索有关 IP 访问控制列表的信息	读取		aws:ResourceTag/${TagKey}
DescribeClusters	如果未指定集群标识符，则授予检索有关所有已设置集群的信息的权限；如果提供了集群标识符，则授予检索有关特定集群的信息的权限	读取	cluster*
DescribeClusters		读取		aws:ResourceTag/${TagKey}
DescribeEngineVersions	授予权限以列出可用的引擎及其版本	读取
DescribeEvents	授予权限以检索与集群、子网组和参数组相关的事件	读取
DescribeParameterGroups	授予权限以检索有关参数组的信息	读取	parametergroup*
DescribeParameterGroups	授予权限以检索有关参数组的信息	读取		aws:ResourceTag/${TagKey}
DescribeParameters	授予权限以检索特定参数组的详细参数列表	读取	parametergroup*
DescribeParameters	授予权限以检索特定参数组的详细参数列表	读取		aws:ResourceTag/${TagKey}
DescribeServiceUpdates	授予权限以检索服务更新详细信息	读取
DescribeSnapshots	授予权限以检索有关集群快照的信息	读取	snapshot*
DescribeSnapshots	授予权限以检索有关集群快照的信息	读取		aws:ResourceTag/${TagKey}
DescribeSubnetGroups	授予权限以检索子网组列表	读取	subnetgroup*
DescribeSubnetGroups	授予权限以检索子网组列表	读取		aws:ResourceTag/${TagKey}
DescribeUsers	授予权限以检索有关用户的信息	读取	user*
DescribeUsers	授予权限以检索有关用户的信息	读取		aws:ResourceTag/${TagKey}
FailoverShard	授予权限以测试集群中的指定分片上的自动故障转移	写入	cluster*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
FailoverShard	授予权限以测试集群中的指定分片上的自动故障转移	写入		aws:ResourceTag/${TagKey}
ListAllowedNodeTypeUpdates	授予列出可用节点类型更新的权限	读取	cluster*
ListAllowedNodeTypeUpdates	授予列出可用节点类型更新的权限	读取		aws:ResourceTag/${TagKey}
ListTags	授予列出成本分配标签的权限	读取	acl
			cluster
			parametergroup
			snapshot
			subnetgroup
			user
				aws:ResourceTag/${TagKey}
ResetParameterGroup	授予权限以将参数组的参数修改为引擎或者系统默认值	写入	parametergroup*
ResetParameterGroup	授予权限以将参数组的参数修改为引擎或者系统默认值	写入		aws:ResourceTag/${TagKey}
TagResource	授予将最多 10 个成本分配标签添加到命名资源的权限	Tagging	acl
			cluster
			parametergroup
			snapshot
			subnetgroup
			user
				aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	授予权限以删除 TagKeys 列表中指明的标签	Tagging	acl
			cluster
			parametergroup
			snapshot
			subnetgroup
			user
				aws:TagKeys aws:ResourceTag/${TagKey}
UpdateAcl	授予更新访问控制规则的权限	写入	acl*
			user*
				aws:ResourceTag/${TagKey}
UpdateCluster	授予更新集群设置的权限	写入	cluster*		ec2:CreateNetworkInterface ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
			acl
			parametergroup
				aws:ResourceTag/${TagKey}
UpdateParameterGroup	授予权限以更新参数组的参数	写入	parametergroup*
UpdateParameterGroup	授予权限以更新参数组的参数	写入		aws:ResourceTag/${TagKey}
UpdateSubnetGroup	授予权限以更新子网组	写入	subnetgroup*
UpdateSubnetGroup	授予权限以更新子网组	写入		aws:ResourceTag/${TagKey}
UpdateUser	授予权限以更新用户	写入	user*
UpdateUser	授予权限以更新用户	写入		aws:ResourceTag/${TagKey}

Amazon MemoryDB 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
parametergroup	`arn:${Partition}:memorydb:${Region}:${Account}:parametergroup/${ParameterGroupName}`	aws:ResourceTag/${TagKey}
subnetgroup	`arn:${Partition}:memorydb:${Region}:${Account}:subnetgroup/${SubnetGroupName}`	aws:ResourceTag/${TagKey}
cluster	`arn:${Partition}:memorydb:${Region}:${Account}:cluster/${ClusterName}`	aws:ResourceTag/${TagKey}
snapshot	`arn:${Partition}:memorydb:${Region}:${Account}:snapshot/${SnapshotName}`	aws:ResourceTag/${TagKey}
user	`arn:${Partition}:memorydb:${Region}:${Account}:user/${UserName}`	aws:ResourceTag/${TagKey}
acl	`arn:${Partition}:memorydb:${Region}:${Account}:acl/${AclName}`	aws:ResourceTag/${TagKey}

Amazon MemoryDB 的条件密钥

Amazon MemoryDB 定义以下可在 IAM 策略的 Condition 元素中使用的条件密钥。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中传递的标签筛选操作	字符串
aws:ResourceTag/${TagKey}	根据与资源关联的标签筛选操作	字符串
aws:TagKeys	根据在请求中传递的标签键筛选操作	字符串

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon Web Services Marketplace Metering Service

Amazon Message Delivery Service