DynamoDB IAMポリシーで特定項目だけを許可する

2021/01/10 2021/01/10

検証記録です。

対象テーブル

書籍のサンプルで作ったこちらです。
所属バンドの楽曲配信記録を蓄積するイメージのテーブルです。

IAMポリシー

IAMポリシーはユーザーガイドAmazon DynamoDB: DynamoDB ID に基づいた Amazon Cognito への行レベルのアクセスを許可するを参考に、クエリだけ許可した次のポリシーにしました。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:Query"
            ],
            "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/SongsRevenue",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "dynamodb:LeadingKeys": "TCJPC1574876"
                }
            }
        }
    ]
}

{

"Version": "2012-10-17",

"Statement": [

{

"Effect": "Allow",

"Action": [

"dynamodb:Query"

"Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/SongsRevenue",

"Condition": {

"ForAllValues:StringEquals": {

"dynamodb:LeadingKeys": "TCJPC1574876"

}

]

}

ISRCキーがTCJPC1574876の項目のみ許可しています。

実行

IAMユーザーには、AWS管理ポリシーAWSCloudShellFullAccessをアタッチして、CloudShellを使えるようにしました。
CloudShellでPython3からboto3を使います。

$ python3

$ python3

import boto3
table = boto3.resource('dynamodb').Table('SongsRevenue')
from boto3.dynamodb.conditions import Key
table.query(
    KeyConditionExpression=Key('ISRC').eq('TCJPC1574876')
)

import boto3

table = boto3.resource('dynamodb').Table('SongsRevenue')

from boto3.dynamodb.conditions import Key

table.query(

KeyConditionExpression=Key('ISRC').eq('TCJPC1574876')

)

結果が表示されました。

table.query(
    KeyConditionExpression=Key('ISRC').eq('TCJPC00000')
)

table.query(

KeyConditionExpression=Key('ISRC').eq('TCJPC00000')

)

キーの値を変えて実行すると、「is not authorized to perform: dynamodb:Query」になりました。

最後までお読みいただきましてありがとうございました！

「AWS認定資格試験テキスト＆問題集　AWS認定ソリューションアーキテクト - プロフェッショナル改訂第2版」という本を書きました。

「AWS認定資格試験テキスト AWS認定クラウドプラクティショナー改訂第3版」という本を書きました。

「ポケットスタディ AWS認定デベロッパーアソシエイト［DVA-C02対応］」という本を書きました。

「要点整理から攻略するAWS認定ソリューションアーキテクト-アソシエイト」という本を書きました。

「AWSではじめるLinux入門ガイド」という本を書きました。

@yamamanx

開発ベンダー5年、ユーザ企業システム部門通算9年、ITインストラクター5年目でプロトタイプビルダーもやりだしたSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。

このブログの内容/発言の一切は個人の見解であり、所属する組織とは関係ありません。
このブログは経験したことなどの共有を目的としており、手順や結果などを保証するものではありません。
ご参考にされる際は、読者様自身のご判断にてご対応をお願いいたします。

また、勉強会やイベントのレポートは自分が気になったことをメモしたり、聞いて思ったことを書いていますので、登壇者の意見や発表内容ではありません。

- AWS AWS, dynamodb

: EC2インスタンスプロファイルによってAssumeRoleされた認証情報の有効期限は短くできるのでしょうか

「EC2インスタンスプロファイルによってAssumeRoleされた認証情報の有効 …

: EC2にSystems MangerからCloudWatchエージェントをインストール

CloudWatchエージェント EC2の標準メトリクスでは収集できないメモリの …

: AWSアカウント内のすべてのS3バケットを削除するLambda(Python)

やりたいこと特定アカウント内のS3バケットを全部削除したいです。バケット内の …

: NATインスタンスを作成する

プライベートサブネットのEC2インスタンスからカスタムメトリクスとCloudWa …

: Projectタグを強制するSCPでアクションやリソースを限定しないとき成り立つのか

ふと疑問に思ったので試しました。予想は、拒否されてしまう、です。 [crayo …

: AWS Lambda Layersのアーカイブファイルをダウンロードする

Cloud9にLambda Layersをダウンロードしたかったので検索してみた …

: AWS Transit GatewayのAcceleratedサイト間VPN接続確認

Transit GatewayでVPN接続を作成するときに、Global Acc …

: AWS Lambda(Python)でDynamoDB テーブルを日次で削除/作成(オートスケーリング付き)

この記事はAWS #2 Advent Calendar 2018に参加した記事で …

: API GatewayからLambdaを介さずにSNSトピックへ送信

やりたいこと APIリクエストをまずLambdaで受けて、SNSトピックへ送信す …

: Pandocサーバーのコンテナイメージを作成する

マークダウンからEPUBへの変換をAWS Batchで行いたく、ECRにアップロ …

PREV: S3バケットにWebフォントをアップロードしてCORSを設定する
NEXT: DynamoDB IAMポリシーで特定属性だけを許可する

DynamoDB IAMポリシーで特定項目だけを許可する

対象テーブル

IAMポリシー

実行

ad

ad

関連記事