DynamoDB-条件

DynamoDBでは、パーミッションを付与する際に、条件キーを使用した詳細なIAMポリシーを通じてパーミッションの条件を指定できます。これは、特定のアイテムや属性へのアクセスなどの設定をサポートします。

Note −DynamoDBはタグをサポートしていません。

詳細な制御

いくつかの条件により、ユーザーアカウントに基づいて特定のアイテムへの読み取り専用アクセスを許可するなど、アイテムや属性に至るまでの特異性が許可されます。セキュリティ資格情報を管理する条件付きIAMポリシーを使用して、このレベルの制御を実装します。次に、ポリシーを目的のユーザー、グループ、およびロールに適用するだけです。後で説明するトピックであるWebIdentity Federationは、Amazon、Facebook、およびGoogleのログインを介したユーザーアクセスを制御する方法も提供します。

IAMポリシーの条件要素は、アクセス制御を実装します。ポリシーに追加するだけです。その使用例は、テーブル項目および属性へのアクセスを拒否または許可することです。条件要素は、条件キーを使用して権限を制限することもできます。

条件キーの次の2つの例を確認できます-

• dynamodb:LeadingKeys −パーティションキー値と一致するIDを持たないユーザーによるアイテムアクセスを防止します。

• dynamodb:Attributes −ユーザーがリストされている属性以外の属性にアクセスしたり操作したりするのを防ぎます。

評価時に、IAMポリシーは真または偽の値になります。いずれかの部分がfalseと評価された場合、ポリシー全体がfalseと評価され、アクセスが拒否されます。ユーザーが適切にアクセスできるように、条件キーに必要なすべての情報を必ず指定してください。

事前定義された条件キー

AWSは、すべてのサービスに適用される事前定義された条件キーのコレクションを提供します。これらは、ユーザーとアクセスを調べる際の幅広い使用法と詳細をサポートします。

Note −条件キーには大文字と小文字が区別されます。

次のサービス固有のキーの選択を確認できます-

• dynamodb:LeadingKey−テーブルの最初のキー属性を表します。パーティションキー。条件でForAllValues修飾子を使用します。

• dynamodb:Select−クエリ/スキャン要求の選択パラメータを表します。値はALL_ATTRIBUTES、ALL_PROJECTED_ATTRIBUTES、SPECIFIC_ATTRIBUTES、またはCOUNTである必要があります。

• dynamodb:Attributes−リクエスト内の属性名リスト、またはリクエストから返された属性を表します。その値とその関数はAPIアクションパラメーターに似ています。たとえば、BatchGetItemはAttributesToGetを使用します。

• dynamodb:ReturnValues −リクエストのReturnValuesパラメータを表し、ALL_OLD、UPDATED_OLD、ALL_NEW、UPDATED_NEW、およびNONEの値を使用できます。

• dynamodb:ReturnConsumedCapacity −リクエストのReturnConsumedCapacityパラメータを表し、TOTALおよびNONEの値を使用できます。