允許訪問特定表的DynamoDB控制檯的IAM策略

Question

是否可以創建僅爲特定表提供對DynamoDB控制檯訪問權限的AWS IAM策略？我曾嘗試：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "Stmt0000000001", 
      "Action": [ 
       "dynamodb:DescribeTable", 
       "dynamodb:ListTables", 
       <other actions> 
      ], 
      "Effect": "Allow", 
      "Resource": [ 
       "arn:aws:dynamodb:<region>:<account>:table/FooTable", 
       "arn:aws:dynamodb:<region>:<account>:table/BarTable" 
      ] 
     } 
    ] 
} 

但附有此策略的用戶，在DynamoDB表列出了說「不授權」（如在沒有政策連接起來）。

將「Resource」設置爲「*」並添加如下所示的新語句可讓用戶在FooTable和BarTable上執行其他操作，但它們也可以查看錶格列表中的所有其他表格。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "Stmt0000000001", 
      "Action": [ 
       <other actions> 
      ], 
      "Effect": "Allow", 
      "Resource": [ 
       "arn:aws:dynamodb:<region>:<account>:table/FooTable", 
       "arn:aws:dynamodb:<region>:<account>:table/BarTable" 
      ] 
     }, 
     { 
      "Sid": "Stmt0000000002", 
      "Action": [ 
       "dynamodb:DescribeTable", 
       "dynamodb:ListTables" 
      ], 
      "Effect": "Allow", 
      "Resource": "*" 
     } 
    ] 
} 

Answer 1

很抱歉的壞消息，但AWS管理控制檯需要對整個DynamoDB的兩個DescribeTable和ListTables權限才能正常運行。

然而，有一個小的解決辦法...你可以給控制檯用戶的URL直接帶他們到表，而且運行良好查看和添加項目等

只需將URL從複製用戶擁有正確的權限，例如：

https://REGION.console.aws.amazon.com/dynamodb/home?region=REGION#explore:name=TABLE-NAME 

Answer 2

我發現除了DynamoDB，用戶需要具有通配符權限CloudWatch的和SNS。請參閱此處：http://docs.aws.amazon.com/amazondynamodb/latest/developerguide/using-identity-based-policies.html（主題：「示例5：爲獨立的測試和生產環境設置權限策略」）。

您可以將AmazonDynamoDBReadOnlyAccess預定義策略添加到您的。