dynamicoDbパーミッションスコープをいくつかのプレフィックスを持つテーブルだけに設定できますか？

Question

私は共有awsアカウントを使用しているとしましょう。私は、例えば、セットアップに接頭辞 "X-チーム" と私のテーブルが欲しい：

• X-team_customer_order
• X-team_customer

もう一つのチームはまた、異なる接頭辞が命名規則と他のテーブルを持っています。アプリケーションの範囲を制限するために、各チームが使用する異なる資格情報を設定する必要があります。

この文書では、http://docs.aws.amazon.com/amazondynamodb/latest/developerguide/ddb-api-permissions-ref.htmlにはワイルドカード*が使用されていますが、表の接頭辞名体系にワイルドカードを使用することはできません。

Answer 1

はい、可能です。

このポリシーは、ユーザーが自分のユーザー名とアンダースコアで命名されたテーブルを作成、読み取り、更新、および削除できるようになります。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "AllAPIActionsOnUserSpecificTable", 
      "Effect": "Allow", 
      "Action": [ 
       "dynamodb:*" 
      ], 
      "Resource": "arn:aws:dynamodb:us-west-2:494057818753:table/${aws:username}_*" 
     }, 
     { 
      "Sid": "AdditionalPrivileges", 
      "Effect": "Allow", 
      "Action": [ 
       "dynamodb:ListTables", 
       "dynamodb:DescribeTable" 
      ], 
      "Resource": "*" 
     } 
    ] 
} 

これは非常に簡単にthis example in the AWS DynamoDB documentationの下部に記載されています。

もちろん、ユーザー名とは異なるプレフィックスを使用する場合は、サポートしたいプレフィックスごとに個別のポリシーを設定するだけで済みます。