View a markdown version of this page

Abilitazione di ABAC per DynamoDB Streams - Amazon DynamoDB
Audit delle policyautorizzazioni IAMAbilitazione di Streams ABAC

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Abilitazione di ABAC per DynamoDB Streams

DynamoDB Streams ABAC è abilitato di default per la maggior parte delle persone. Account AWS Per i clienti esistenti, Streams ABAC è disabilitato per impostazione predefinita e può essere abilitato dopo aver verificato le politiche. Utilizzando la console DynamoDB, puoi confermare se Streams ABAC è abilitato per il tuo account. Apri la console DynamoDB utilizzando un ruolo con l'autorizzazione. dynamodb:GetAbacStatus Quindi, apri la pagina Impostazioni della console DynamoDB.

Il controllo di Attribute-based accesso per la scheda Streams viene visualizzato nella pagina Impostazioni solo se si dispone di una tabella DynamoDB nella regione corrente. AWS Se hai una tabella, lo stato Attivo (o nessuna scheda) significa che Streams ABAC è abilitato, mentre Off (mostrato nell'immagine seguente) significa che non lo è. Senza una tabella nella regione, l'assenza della carta non indica lo stato.

La pagina delle impostazioni della console DynamoDB mostra Attribute-based il controllo di accesso per la scheda Streams con lo stato Disattivato, a indicare che Streams ABAC non è abilitato per l'account.

Per abilitare Streams ABAC per il tuo account, ti consigliamo di controllare prima le tue politiche come descritto nella sezione. Verifica delle politiche prima di abilitare Streams ABAC Quindi, includi le autorizzazioni richieste per Streams ABAC nella tua policy IAM. Infine, esegui i passaggi descritti in Abilitazione di Streams ABAC nella console per abilitare Streams ABAC per il tuo account nella regione corrente. AWS Dopo aver abilitato Streams ABAC, puoi annullare l'iscrizione entro i prossimi sette giorni di calendario dall'attivazione.

Verifica delle politiche prima di abilitare Streams ABAC

Prima di abilitare Streams ABAC, verifica le tue politiche. Verifica che tutte le condizioni basate sui tag nelle politiche del tuo account siano configurate come previsto per le risorse di streaming. Il controllo delle policy consente di evitare modifiche impreviste delle autorizzazioni nei flussi di lavoro DynamoDB Streams dopo aver abilitato Streams ABAC.

Durante il controllo, cerca politiche che:

  • Usa aws:ResourceTag le condizioni sugli ARN di streaming (formato:) arn:aws:dynamodb:*:*:table/*/stream/*

  • Utilizzo aws:RequestTag o aws:TagKeys condiziona le dynamodb:TagResource dynamodb:UntagResource nostre azioni sulle risorse di streaming

  • Usa le risorse wildcard ARNs (arn:aws:dynamodb:*:*:*) con condizioni basate su tag che potrebbero applicarsi involontariamente agli stream

Per visualizzare esempi di utilizzo di condizioni basate su attributi con i tag e il comportamento prima e dopo l’implementazione dell’ABAC, consulta Esempi di utilizzo di ABAC con DynamoDB Streams.

Autorizzazioni IAM necessarie per abilitare Streams ABAC

È necessaria l'dynamodb:UpdateAbacStatusautorizzazione per abilitare Streams ABAC per il proprio account nella regione corrente. Per confermare se Streams ABAC è abilitato per il tuo account, devi disporre anche dell'autorizzazione. dynamodb:GetAbacStatus Con questa autorizzazione, puoi visualizzare lo stato di Streams ABAC di un account in qualsiasi regione. Queste autorizzazioni si aggiungono a quelle necessarie per accedere alla console DynamoDB e visualizzare le tabelle.

La seguente politica IAM concede l'autorizzazione ad abilitare Streams ABAC e visualizzarne lo stato per un account nella regione corrente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:UpdateAbacStatus",
        "dynamodb:GetAbacStatus"
      ],
      "Resource": "*"
    }
  ]
}

Abilitazione di Streams ABAC nella console

  1. Accedi Console di gestione AWS e apri la console DynamoDB all'indirizzo. https://console.aws.amazon.com/dynamodb/

  2. Dal pannello di navigazione in alto, scegli la regione per la quale desideri abilitare Streams ABAC.

  3. Nel riquadro di navigazione a sinistra, scegli Impostazioni.

  4. Nella pagina Settings (Impostazioni), eseguire le operazioni descritte di seguito.

    1. Nella scheda di controllo degli Attribute-based accessi per Streams, scegli Abilita.

    2. Nella casella di impostazione Conferma il controllo di accesso basato sugli attributi per Streams, scegli Abilita per confermare la tua scelta.

      Ciò abilita Streams ABAC per la regione corrente e la scheda di controllo di Attribute-based accesso per Streams mostra lo stato di Attivato.

      Se desideri annullare l'iscrizione dopo aver abilitato Streams ABAC sulla console, puoi farlo entro i prossimi sette giorni di calendario dall'attivazione. Per disattivarlo, scegli Disabilita nella scheda di controllo dell'Attribute-based accesso per Streams nella pagina Impostazioni.

      Nota

      L'aggiornamento dello stato di Streams ABAC è un'operazione asincrona. Se DynamoDB non valuta subito i tag nelle tue policy, attendi qualche minuto e riprova. Le modifiche alla valutazione dei tag alla fine sono coerenti.