使用 IAM 的Amazon服务

下面列出的 Amazon 服务根据其 Amazon 产品类别分组，包含所支持的 IAM 功能的信息：

服务 - 您可以选择一项服务的名称，以查看有关该服务的 IAM 授权和访问权限的 Amazon 文档。
操作 – 您可以指定策略中的各项操作。如果服务不支持此功能，则 visual editor（可视化编辑器）中将选中 All actions（所有操作）。在 JSON 策略文档中，您必须在 * 元素中使用 Action。有关每个服务中的操作列表，请参阅 Amazon 服务的操作、资源和条件键。
资源级权限 – 您可以使用 ARN 在策略中指定各个资源。如果服务不支持此功能，则 policy visual editor（策略可视化编辑器）中将选中 All resources（所有资源）。在 JSON 策略文档中，您必须在 * 元素中使用 Resource。某些操作 (如 List* 操作) 不支持指定 ARN，因为它们被设计为返回多个资源。如果某项服务只针对部分资源支持此功能，将在表格中用 Partial（部分）标明。有关更多信息，请参阅该服务的文档。
基于资源的策略 – 您可以将基于资源的策略附加到服务中的某项资源。基于资源的策略包含 Principal 元素，用于指定可以访问此资源的 IAM 身份。有关更多信息，请参阅基于身份的策略和基于资源的策略。
ABAC（基于标签的授权） – 要利用标签来控制访问权限，您需要在策略的条件元素中使用 aws:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键提供标签信息。如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为 Yes（是）。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为 Partial（部分）。有关基于标签等属性定义权限的更多信息，请参阅什么是适用于 Amazon 的 ABAC？。要查看有关 ABAC 设置步骤的教程，请参阅使用基于属性的访问权限控制（ABAC）。
Temporary credentials（临时凭证）- 您可以使用在通过 IAM Identity Center 登录时获得的短期凭证、在控制台中切换角色或在 Amazon CLI 或 Amazon API 中使用 Amazon STS 生成的临时凭证。只有在使用长期 IAM 用户凭证时，您才能访问带有否值的服务。这包括用户名和密码或用户访问密钥。有关更多信息，请参阅IAM 临时安全凭证。
服务相关角色 – 服务相关角色是一种特殊类型的服务角色，可授予服务代表您访问其他服务中的资源的权限。选择 Yes 链接可查看文档，了解支持这些角色的服务。此列不指示服务是否使用标准服务角色。有关更多信息，请参阅使用服务相关角色。
更多信息 – 如果服务不能完全支持某项功能，您可以检查该条目的脚注，查看限制以及相关信息的链接。

计算服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon App Runner	是	是	不支持	是	是	是
Amazon Batch	是	部分	不支持	是	是	是
Amazon Elastic Compute Cloud (Amazon EC2)	是	部分	不支持	是	是	部分¹
Amazon EC2 Auto Scaling	是	是	不支持	是	是	是
EC2 Image Builder	是	是	不支持	是	是	是
Amazon EC2 Instance Connect	是	是	不支持	否	是	不支持
Amazon Elastic Beanstalk	是	部分	不支持	是	是	是
Amazon Elastic Inference	是	是	不支持	否	是	不支持
Amazon Elastic Load Balancing	是	部分	不支持	部分	是	是
Amazon Lambda	是	是	是	部分²	是	部分³
Amazon Lightsail	是	部分⁴	否	部分⁴	是	是
Amazon Outposts	是	是	不支持	否	是	是
Amazon 回收站	是	是	不支持	是	是	不支持
Amazon Serverless Application Repository	是	是	是	不支持	是	不支持
Amazon SimSpace Weaver	是	是	不支持	是	是	不支持

¹ Amazon EC2 仅针对以下功能支持服务相关角色：竞价型实例请求、竞价型实例集请求、Amazon EC2 Fleet 和 Windows 实例的快速启动。

² Amazon Lambda 支持对使用 Lambda 函数作为所需资源的 API 操作进行基于属性的访问权限控制（ABAC）。不支持层、事件源映射和代码签名配置资源。

³ Amazon Lambda 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。

⁴ Amazon Lightsail 部分支持资源级权限和 ABAC。有关更多信息，请参阅 Amazon Lightsail 的操作、资源和条件键。

容器服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon App2Container	是	不支持	不支持	否	是	不支持
Amazon App Runner	是	是	不支持	是	是	是
Amazon Elastic Container Registry (Amazon ECR)	是	是	是	是	是	是
Amazon Elastic Container Registry 公有（Amazon ECR 公有）	是	是	不支持	是	是	不支持
Amazon Elastic Container Service (Amazon ECS)	是	部分¹	不支持	是	是	是
Amazon Elastic Kubernetes Service (Amazon EKS)	是	是	不支持	是	是	是

¹ 仅某些 Amazon ECS 操作支持资源级权限。

存储服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Backup	是	是	是	是	是	是
Amazon Backup 网关	是	是	不支持	是	是	不支持
Amazon Backup 存储	是	不支持	不支持	否	是	不支持
Amazon Elastic Block Store (Amazon EBS)	是	部分	不支持	是	是	不支持
Amazon 弹性灾难恢复	是	是	不支持	是	是	是
Amazon Elastic File System (Amazon EFS)	是	是	是	部分	是	是
Amazon FSx	是	是	不支持	是	是	是
Amazon Import/Export	是	不支持	不支持	否	是	不支持
Amazon S3 Glacier	是	是	是	是	是	不支持
Amazon Simple Storage Service (Amazon S3)	是	是	是	部分¹	是	部分²
Amazon Outposts 上的 Amazon Simple Storage Service (Amazon S3)	是	是	是	不支持	是	不支持
Amazon Simple Storage Service (Amazon S3) 对象 Lambda	是	是	不支持	否	是	不支持
Amazon Snow Device Management	是	是	不支持	是	是	不支持
Amazon Snowball	是	不支持	不支持	否	是	不支持
Amazon Snowball 边缘	是	不支持	不支持	否	是	不支持
Amazon Storage Gateway	是	是	不支持	是	是	不支持

¹ Amazon S3 仅为对象资源支持基于标签的授权。

² Amazon S3 支持针对 Amazon S3 Storage Lens 的服务关联角色。

数据库服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Database Query Metadata Service	是	不支持	不支持	否	是	不支持
Amazon DocumentDB Elastic Clusters	是	是	不支持	是	是	不支持
Amazon DynamoDB	是	是	不支持	否	是	不支持
Amazon DynamoDB Accelerator (DAX)	是	是	不支持	否	是	是
Amazon ElastiCache	是	是	不支持	是	是	是
Amazon Keyspaces (for Apache Cassandra)	是	是	不支持	是	是	是
Amazon MediaImport	是	不支持	不支持	不支持	不支持	不支持
Amazon MemoryDB for Redis	是	是	不支持	是	是	是
Amazon Neptune	是	是	不支持	否	是	是
Amazon 性能详情	是	是	不支持	否	是	不支持
Amazon Quantum Ledger Database (Amazon QLDB)	是	是	不支持	是	是	不支持
Amazon Redshift	是	是	不支持	是	是	是
Amazon Redshift 数据 API	是	是	不支持	否	是	不支持
Amazon Redshift Serverless	是	是	是	是	是	不支持
Amazon Relational Database Service (Amazon RDS)¹	是	是	不支持	是	是	是
Amazon RDS Data API	是	是	不支持	否	是	不支持
Amazon RDS IAM 身份验证	是	是	不支持	否	是	不支持
Amazon SimpleDB	是	是	不支持	否	是	不支持
Amazon SQL Workbench	是	是	不支持	是	是	不支持
Amazon Timestream	是	是	不支持	是	是	不支持

¹ Amazon Aurora 是一个与 MySQL 和 PostgreSQL 兼容的完全托管式的关系数据库引擎。在通过 Amazon RDS 设置新的数据库服务器时，您可以选择 Aurora MySQL 或 Aurora PostgreSQL 作为数据库引擎选项。有关更多信息，请参阅《Amazon Aurora 用户指南》中的 Amazon Aurora 的身份和访问管理。

开发人员工具服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Cloud9	是	是	是	是	是	是
Amazon Web Services 云 Control API	是	不支持	不支持	否	是	不支持
Amazon CloudShell	是	是	不支持	否	是	不支持
Amazon CodeArtifact	是	是	是	是	是	不支持
Amazon CodeBuild	是	是	是¹	部分²	是	不支持
Amazon CodeCatalyst	是	是	不支持	是	是	不支持
Amazon CodeCommit	是	是	不支持	是	是	不支持
Amazon CodeDeploy	是	是	不支持	是	是	不支持
Amazon CodeDeploy 安全主机命令服务	是	不支持	不支持	否	是	不支持
Amazon CodePipeline	是	部分	不支持	是	是	不支持
AWS CodeStar	是	部分	不支持	是	是	不支持
AWS CodeStar 连接	是	是	不支持	是	是	不支持
AWS CodeStar 通知	是	是	不支持	是	是	是
Amazon CodeWhisperer	是	是	不支持	否	是	不支持
Amazon Fault Injection Simulator	是	是	不支持	是	是	是
Amazon Microservice Extractor for .NET	是	不支持	不支持	否	是	不支持
Amazon X-Ray	是	部分³	不支持	部分⁴	是	不支持

¹ CodeBuild 支持使用 Amazon RAM 进行跨账户资源共享。

² CodeBuild 支持将 ABAC 用于基于项目的操作。

³ X-Ray 并非对所有操作均支持资源级权限。

⁴ X-Ray 支持针对组和采样规则实现基于标签的访问控制。

安全性、身份与合规性服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Artifact	是	是	不支持	否	是	不支持
Amazon 审计管理器	是	是	不支持	是	是	是
Amazon Cloud Directory	是	是	不支持	否	是	不支持
Amazon CodeGuru 安全	是	不支持	不支持	否	是	不支持
Amazon Cognito	是	是	不支持	是	是	是
Amazon Cognito Sync	是	是	不支持	否	是	是
Amazon Cognito 用户池	是	是	不支持	是	是	是
Amazon Detective	是	是	不支持	是	是	不支持
Amazon Directory Service	是	是	不支持	是	是	不支持
Amazon Firewall Manager	是	是	不支持	是	是	部分
Amazon GuardDuty	是	是	不支持	是	是	是
Amazon IAM Identity Center (successor to Amazon Single Sign-On)	是	是	不支持	是	是	是
IAM Identity Center 目录	是	不支持	不支持	否	是	不支持
IAM Identity Center Identity Store	是	是	不支持	否	是	不支持
Amazon Identity Store Auth	是	不支持	不支持	否	是	不支持
Amazon Identity and Access Management (IAM)	是	是	部分¹	部分²	部分³	不支持
Amazon Identity and Access Management 访问分析器	是	是	不支持	是	是	部分
Amazon Identity and Access Management Roles Anywhere	是	是	不支持	是	是	是
Amazon Identity Sync	是	是	不支持	否	是	不支持
Amazon Inspector	是	是	不支持	是	是	是
Amazon Inspector Classic	是	不支持	不支持	否	是	是
Amazon Macie	是	是	不支持	是	是	是
Amazon 网络防火墙	是	是	不支持	是	是	是
Amazon Resource Access Manager (Amazon RAM)	是	是	不支持	是	是	是
Amazon Secrets Manager	是	是	是	是	是	不支持
Amazon Security Hub	是	是	不支持	是	是	是
Amazon Security Lake	是	不支持	不支持	否	是	是
Amazon Security Token Service (Amazon STS)	是	部分⁴	不支持	是	部分⁵	不支持
Amazon Shield	是	是	不支持	是	是	是
Amazon WAF	是	是	不支持	是	是	是
Amazon WAF Classic	是	是	不支持	是	是	是
Amazon WAF 区域性	是	是	不支持	是	是	是

¹ IAM 仅支持一种类型的基于资源的策略（称为角色信任策略），这种策略附加到 IAM 角色。有关更多信息，请参阅向用户授予切换角色的权限。

² IAM 为大多数 IAM 资源支持基于标签的访问控制。有关更多信息，请参阅标记 IAM 资源。

³ 只能使用临时凭证调用 IAM 的一部分 API 操作。有关更多信息，请参阅比较您的 API 选项。

⁴ Amazon STS 没有“资源”，但允许以类似的方式限制用户访问。有关更多信息，请参阅根据名称拒绝访问临时安全凭证。

⁵ 仅 Amazon STS 的一部分 API 操作支持使用临时凭证进行调用。有关更多信息，请参阅比较您的 API 选项。

加密和 PKI 服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Certificate Manager (ACM)	是	是	不支持	是	是	是
Amazon Private Certificate Authority (Amazon Private CA)	是	是	是	是	是	不支持
Amazon CloudHSM	是	是	不支持	是	是	是
Amazon Key Management Service (Amazon KMS)	是	是	是	是	是	是
Amazon Signer	是	是	是	是	是	不支持

机器学习服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon BugBust	是	是	不支持	是	是	是
Amazon CodeGuru Profiler	是	是	不支持	是	是	是
Amazon CodeGuru Reviewer	是	是	不支持	是	是	是
Amazon Comprehend	是	是	不支持	是	是	不支持
Amazon Comprehend Medical	是	不支持	不支持	否	是	不支持
Amazon DeepComposer	是	是	不支持	是	是	不支持
Amazon DeepLens	是	是	不支持	否	是	不支持
Amazon DeepRacer	是	是	不支持	是	是	是
Amazon DevOps Guru	是	是	不支持	否	是	是
Amazon Forecast	是	是	不支持	是	是	不支持
Amazon Fraud Detector	是	是	不支持	是	是	不支持
Ground Truth 标记	是	不支持	不支持	否	是	不支持
Amazon HealthLake	是	是	不支持	是	是	不支持
Amazon Kendra	是	是	不支持	是	是	不支持
Amazon Kendra Intelligent Ranking	是	是	不支持	是	是	不支持
Amazon Lex	是	是	不支持	是	是	是
Amazon Lex V2	是	是	是	是	是	是
Amazon Lookout for Equipment	是	是	不支持	是	是	不支持
Amazon Lookout for Metrics	是	是	不支持	是	是	不支持
Amazon Lookout for Vision	是	是	不支持	是	是	不支持
Amazon Machine Learning	是	是	不支持	否	是	不支持
Amazon Monitron	是	是	不支持	是	是	是
Amazon Omics	是	是	不支持	是	是	不支持
Amazon Panorama	是	是	不支持	是	是	是
Amazon Personalize	是	是	不支持	否	是	不支持
Amazon Polly	是	是	不支持	否	是	不支持
Amazon Rekognition	是	是	不支持	是	是	不支持
Amazon SageMaker	是	是	不支持	是	是	部分¹
Amazon SageMaker 地理空间功能	是	是	不支持	是	是	不支持
Amazon SageMaker Ground Truth Synthetic	是	不支持	不支持	否	是	不支持
Amazon Textract	是	不支持	不支持	否	是	不支持
Amazon Transcribe	是	是	不支持	是	是	不支持
Amazon Translate	是	是	不支持	是	是	不支持

¹ 服务相关角色目前可用于 SageMaker Studio 和 SageMaker 培训职位。

管理和治理服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Account Management	是	是	不支持	否	是	不支持
Application Auto Scaling	是	是	不支持	是	是	是
Amazon AppConfig	是	是	不支持	是	是	不支持
Amazon Auto Scaling	是	不支持	不支持	否	是	是
Amazon Chatbot	是	是	不支持	否	是	是
Amazon CloudFormation	是	是	不支持	是	是	不支持
Amazon CloudTrail	是	是	部分¹	是	是	是
Amazon CloudTrail 数据	是	是	不支持	是	是	不支持
Amazon CloudWatch	是	是	不支持	是	是	部分²
Amazon CloudWatch Application Insights	是	不支持	不支持	否	是	不支持
Amazon CloudWatch Evidently	是	是	不支持	是	是	不支持
Amazon CloudWatch Internet Monitor	是	是	不支持	是	是	不支持
Amazon CloudWatch Logs	是	是	是	部分	是	是
Amazon CloudWatch Observability Access Manager	是	是	不支持	是	是	不支持
Amazon CloudWatch RUM	是	是	不支持	是	是	不支持
Amazon CloudWatch Synthetics	是	是	不支持	是	是	不支持
Amazon Compute Optimizer	是	不支持	不支持	否	是	是
Amazon Config	是	部分³	不支持	是	是	是
Amazon Control Tower	是	不支持	不支持	否	是	不支持
Amazon Data Lifecycle Manager	是	是	不支持	是	是	不支持
Amazon Health API 和通知	是	是	不支持	否	是	不支持
Amazon Launch Wizard	是	不支持	不支持	否	是	不支持
Amazon License Manager	是	是	不支持	是	是	是
Amazon License Manager Linux Subscriptions Manager	是	不支持	不支持	否	是	不支持
Amazon License Manager 用户订阅	是	不支持	不支持	否	是	是
Amazon Managed Grafana	是	是	不支持	是	是	是
Amazon Managed Service for Prometheus	是	是	不支持	是	是	不支持
Amazon Message Delivery Service	是	不支持	不支持	否	是	不支持
Amazon OpsWorks	是	是	不支持	否	是	不支持
Amazon OpsWorks 配置管理	是	是	不支持	否	是	不支持
Amazon Organizations	是	是	不支持	是	不支持	是
Amazon Proton	是	是	不支持	是	是	是
Amazon Resilience Hub	是	是	不支持	是	是	不支持
Amazon 资源探索器	是	是	不支持	是	是	不支持
Amazon Resource Groups	是	是	不支持	是	部分⁴	不支持
Amazon Resource Groups Tagging API	是	不支持	不支持	否	是	不支持
Amazon RHEL 知识库门户	是	不支持	不支持	否	是	不支持
服务目录	是	是	不支持	是	是	是
服务限额	是	是	不支持	是	是	不支持
Amazon Session Manager Message Gateway Service	是	不支持	不支持	否	是	不支持
Amazon Systems Manager	是	是	不支持	是	是	是
Amazon Systems Manager for SAP	是	是	不支持	是	是	不支持
Amazon Systems Manager GUI Connect	是	不支持	不支持	否	是	不支持
Amazon Systems Manager Incident Manager	是	是	是	是	是	是
Amazon Systems Manager Incident Manager Contacts	是	是	是	不支持	是	不支持
标签编辑器	是	不支持	不支持	否	是	不支持
Amazon 电信网络生成器	是	是	不支持	是	是	不支持
Amazon Trusted Advisor	部分⁵	是	不支持	不支持	部分	是
Amazon Well-Architected Tool	是	是	不支持	是	是	不支持

¹ Amazon CloudTrail 仅支持用于 CloudTrail Lake 与 Amazon 之外事件源集成的 CloudTrail 通道上基于资源的策略。

² 无法使用 Amazon Web Services Management Console 创建 Amazon CloudWatch 服务相关角色，这些角色仅支持警报操作功能。

³ 对于多账户多区域数据聚合和 Amazon Config 规则，Amazon Config 支持资源级权限。有关受支持的资源列表，请参阅 Amazon Config API 指南中的多账户多区域数据聚合部分与 Amazon Config 规则部分。

⁴ 用户可以通过允许 Amazon Resource Groups 操作的策略代入角色。

⁵ 针对 Trusted Advisor 的 API 访问通过 Amazon Web Services Support API 执行，并受 Amazon Web Services Support IAM policy 的控制。

迁移和传输服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Application Discovery Service	是	不支持	不支持	否	是	是
Amazon Application Discovery Arsenal	是	不支持	不支持	否	是	不支持
Amazon Application Migration Service	是	是	不支持	是	是	是
Amazon Connector Service	是	不支持	不支持	否	是	不支持
Amazon Transfer Family	是	是	不支持	是	是	不支持
Amazon Database Migration Service	是	是	否¹	是	是	是
Amazon DataSync	是	是	不支持	是	是	是
Amazon Mainframe Modernization	是	是	不支持	是	是	是
Amazon Migration Hub	是	是	不支持	否	是	是
Amazon Migration Hub Orchestrator	是	是	不支持	是	是	不支持
Amazon Migration Hub Refactor Spaces	是	是	是	是	是	是
Amazon Migration Hub Strategy Recommendations	是	不支持	不支持	否	是	是

¹ 您可以创建和修改附加到您创建的 Amazon KMS 加密密钥的策略，以加密迁移到支持的目标终端节点的数据。支持的目标终端节点包括 Amazon Redshift 和 Amazon S3。有关更多信息，请参阅 Amazon Database Migration Service 用户指南中的创建和使用 Amazon KMS 密钥以加密 Amazon Redshift 目标数据和创建 Amazon KMS 密钥以加密 Amazon S3 目标对象。

移动服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Amplify	是	是	不支持	是	是	不支持
Amazon Amplify 管理员	是	是	不支持	否	是	不支持
Amazon Amplify UI Builder	是	是	不支持	是	是	不支持
Amazon AppSync	是	是	不支持	是	是	不支持
Amazon Device Farm	是	是	不支持	是	是	是
Amazon Location Service	是	是	不支持	是	是	不支持

网络和内容分发服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon API Gateway	是	是	是	不支持	是	是
Amazon API Gateway 管理	是	是	不支持	是	是	不支持
Amazon API Gateway 管理第 2 版	是	是	不支持	是	是	不支持
Amazon App Mesh	是	是	不支持	是	是	是
Amazon App Mesh 预览	是	是	不支持	否	是	是
Amazon Client VPN	是	是	不支持	否	是	是
Amazon CloudFront	是	是	不支持	是	是	部分¹
Amazon Cloud Map	是	是	不支持	是	是	不支持
Amazon Direct Connect	是	是	不支持	是	是	是
Amazon Global Accelerator	是	是	不支持	是	是	是
Amazon Network Manager	是	是	不支持	是	是	是²
Amazon 私有 5G	是	是	不支持	是	是	不支持
Amazon Route 53	是	是	不支持	否	是	不支持
Amazon Route 53 Application Recovery Controller – 可用区转移	是	是	不支持	否	是	不支持
Amazon Route 53 域	是	不支持	不支持	不支持	不支持	不支持
Amazon Route 53 Recovery 集群	是	是	不支持	否	是	不支持
Amazon Route 53 恢复控制配置	是	是	不支持	是	是	不支持
Amazon Route 53 Recovery 就绪性	是	是	不支持	是	是	是
Amazon Route 53 Resolver	是	是	不支持	是	是	是
Amazon Site-to-Site VPN	是	是	不支持	否	是	是
Amazon Tiros API（用于 Reachability Analyzer）	是	不支持	不支持	不支持	不支持	不支持
Amazon Virtual Private Cloud (Amazon VPC)	是	部分³	部分⁴	是	是	部分⁵
Amazon Amazon VPC Lattice	是	是	不支持	是	是	不支持
Amazon VPC Lattice Service	是	是	不支持	否	是	不支持

¹ Amazon CloudFront 不具有服务相关角色，但 Lambda@Edge 具有。有关更多信息，请参阅《Amazon CloudFront 开发人员指南》中的 Lambda@Edge 的服务相关角色。

² Amazon Cloud WAN 还支持服务相关角色。有关更多信息，请参阅《Amazon VPC Amazon Cloud WAN 指南》中的 Amazon Cloud WAN 相关角色。

³ 在 IAM 用户策略中，您不能限定为仅向某个 Amazon VPC 端点授予权限。包含 ec2:*VpcEndpoint* 或 ec2:DescribePrefixLists API 操作的任何 Action 元素都必须指定“"Resource": "*"”。有关更多信息，请参阅《Amazon PrivateLink 指南》中的 VPC 终端节点和 VPC 终端节点服务的身份和访问管理。

⁴ Amazon VPC 支持通过将单个资源策略附加到 VPC 端点来限制可通过该端点访问的内容。有关使用基于资源的策略控制特定 Amazon VPC 端点访问资源的更多信息，请参阅 Amazon PrivateLink 用户指南中的使用端点策略控制服务访问。

⁵ Amazon VPC 不具有服务相关角色，但 Amazon Transit Gateway 具有。有关更多信息，请参阅《Amazon VPC Amazon Transit Gateway 用户指南》中的使用中转网关的服务相关角色。

媒体服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Elastic Transcoder	是	是	不支持	否	是	不支持
Amazon Elemental Appliances and Software	是	是	不支持	是	是	不支持
Amazon Elemental Appliances and Software 激活服务	是	是	不支持	是	是	不支持
AWS Elemental MediaConnect	是	是	不支持	否	是	不支持
AWS Elemental MediaConvert	是	是	不支持	是	是	不支持
AWS Elemental MediaLive	是	是	不支持	是	是	不支持
AWS Elemental MediaPackage	是	是	不支持	是	是	部分¹
AWS Elemental MediaPackage VOD	是	是	不支持	是	是	部分¹
AWS Elemental MediaStore	是	是	是	是	是	不支持
AWS Elemental MediaTailor	是	是	不支持	是	是	是
Amazon Elemental Support 案例	是	不支持	不支持	否	是	不支持
Amazon Elemental Support 内容	是	不支持	不支持	否	是	不支持
Amazon Interactive Video Service	是	是	不支持	是	是	是
Amazon Interactive Video Service Chat	是	是	不支持	是	是	不支持
Amazon Kinesis Video Streams	是	是	不支持	是	是	不支持
Amazon Nimble Studio	是	是	不支持	是	是	不支持

¹ MediaPackage 支持将客户访问日志发布到 CloudWatch 的服务相关角色，但不支持其他 API 操作。

分析服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Athena	是	是	不支持	是	是	不支持
Amazon Clean Rooms	是	是	不支持	是	是	不支持
Amazon CloudSearch	是	是	不支持	否	是	不支持
Amazon Data Exchange	是	是	不支持	是	是	不支持
Amazon Data Pipeline	是	是	不支持	部分	是	不支持
Amazon DataZone	是	不支持	不支持	否	是	不支持
Amazon DataZone Control	是	是	不支持	是	是	不支持
Amazon OpenSearch Service	是	是	是	是	是	是
Amazon OpenSearch Serverless	是	是	不支持	是	是	是
Amazon EMR	是	是	不支持	是	是	是
Amazon EMR on EKS	是	是	不支持	是	是	是
Amazon EMR Serverless	是	是	不支持	是	是	是
Amazon FinSpace	是	是	不支持	是	是	不支持
Amazon FinSpace API	是	是	不支持	否	是	不支持
Amazon Glue	是	是	是	部分	是	不支持
Amazon Glue DataBrew	是	是	不支持	是	是	不支持
Amazon Kinesis Data Analytics	是	是	不支持	是	是	不支持
Amazon Kinesis Data Analytics V2	是	是	不支持	是	是	不支持
Amazon Kinesis Data Firehose	是	是	不支持	是	是	不支持
Amazon Kinesis Data Streams	是	是	不支持	否	是	不支持
Amazon Lake Formation	是	不支持	不支持	否	是	是
Amazon Managed Streaming for Apache Kafka (MSK)	是	是	不支持	是	是	是
Amazon Managed Streaming for Kafka Connect	是	是	不支持	否	是	是
适用于 Amazon MSK 集群的 Apache Kafka API	是	是	不支持	否	是	不支持
Amazon Managed Workflows for Apache Airflow	是	是	不支持	是	是	不支持
Amazon QuickSight	是	是	不支持	是	是	不支持

应用程序集成服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon AppFlow	是	是	不支持	是	是	不支持
Amazon EventBridge	是	是	是	是	是	不支持
Amazon EventBridge Pipes	是	是	不支持	是	是	不支持
Amazon EventBridge 调度器	是	是	不支持	是	是	不支持
Amazon EventBridge Schemas	是	是	是	是	是	不支持
Amazon MQ	是	是	不支持	是	是	是
Amazon Simple Notification Service (Amazon SNS)	是	是	是	是	是	不支持
Amazon Simple Queue Service (Amazon SQS)	是	是	是	是	是	不支持
Amazon Step Functions	是	是	不支持	是	是	不支持
Amazon Simple Workflow Service (Amazon SWF)	是	是	不支持	是	是	不支持

业务应用程序服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Alexa for Business	是	是	不支持	是	是	不支持
Amazon Chime	是	是	不支持	是	是	是
Amazon Honeycode	是	是	不支持	否	是	不支持
Amazon 供应链	是	是	不支持	是	是	不支持
Amazon WorkMail	是	是	不支持	是	是	是
Amazon WorkMail Message Flow	是	是	不支持	否	是	不支持

卫星服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Ground Station	是	是	不支持	是	是	不支持

物联网服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
FreeRTOS	是	是	不支持	是	是	不支持
Amazon IoT	是	是	部分¹	是	是	不支持
Amazon IoT 1-Click	是	是	不支持	是	是	不支持
Amazon IoT Analytics	是	是	不支持	是	是	不支持
Amazon IoT Core Device Advisor	是	是	不支持	是	是	不支持
Amazon IoT Device Tester	是	不支持	不支持	否	是	不支持
Amazon IoT Events	是	是	不支持	是	是	不支持
Fleet Hub for Amazon IoT Device Management	是	是	不支持	是	是	不支持
Amazon IoT FleetWise	是	是	不支持	是	是	不支持
Amazon IoT Greengrass	是	是	不支持	是	是	不支持
Amazon IoT GreengrassV2	是	是	不支持	部分	是	不支持
Amazon IoT Jobs DataPlane	是	是	不支持	否	是	不支持
Amazon IoT RoboRunner	是	是	不支持	否	是	不支持
Amazon IoT SiteWise	是	是	不支持	是	是	是
Amazon IoT TwinMaker	是	是	不支持	是	是	不支持
Amazon IoT Wireless	是	是	不支持	是	是	不支持

¹ 连接到 Amazon IoT 的设备通过 X.509 证书或 Amazon Cognito 身份进行身份验证。您可以将 Amazon IoT 策略附加到 X.509 证书或 Amazon Cognito 身份以控制设备有权执行哪些操作。有关更多信息，请参阅 Amazon IoT 开发人员指南中的 Amazon IoT 的安全和身份。

机器人服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon RoboMaker	是	是	不支持	是	是	是

量子计算服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Braket	是	是	不支持	是	是	是

区块链服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Managed Blockchain	是	是	不支持	是	是	不支持

游戏开发服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon GameLift	是	是	不支持	是	是	不支持
Amazon GameSparks	是	是	不支持	是	是	不支持

客户支持服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon IQ	是	是	不支持	否	是	不支持
Amazon IQ 权限	是	是	不支持	否	是	不支持
Amazon Web Services Support	是	不支持	不支持	否	是	是
Amazon Web Services Support App in Slack	是	不支持	不支持	否	是	不支持
Amazon Web Services Support 计划	是	不支持	不支持	否	是	不支持

客户参与服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon AppIntegrations	是	是	不支持	是	是	是
Amazon Connect	是	是	不支持	是	是	是
Amazon Connect Cases	是	是	不支持	是	是	不支持
Amazon Connect Customer Profiles	是	是	不支持	是	是	不支持
Amazon Connect 大容量出站通信	是	是	不支持	是	是	不支持
Amazon Connect Voice ID	是	是	不支持	是	是	不支持
Amazon Connect Wisdom	是	是	不支持	是	是	不支持
Amazon Pinpoint	是	是	不支持	是	是	不支持
Amazon Pinpoint 电子邮件服务	是	是	不支持	是	是	不支持
Amazon Pinpoint 短信和语音服务	是	不支持	不支持	否	是	不支持
Amazon Pinpoint SMS 和 Voice Service v2	是	是	不支持	是	是	不支持
Amazon Simple Email Service (Amazon SES) 第 2 版	是	部分¹	是	是	部分²	不支持

¹ 您只能在引用与发送电子邮件相关的操作（如 ses:SendEmail 或 ses:SendRawEmail）的策略语句中使用资源级权限。对于引用任何其他操作的策略语句，Resource 元素只能包含 *。

² 仅 Amazon SES API 支持临时安全凭证。Amazon SES SMTP 接口不支持从临时安全凭证派生的 SMTP 凭证。

最终用户计算服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon AppStream 2.0	是	是	不支持	是	是	不支持
Amazon WAM	是	不支持	不支持	否	是	不支持
Amazon Wickr	是	是	不支持	是	是	不支持
Amazon WorkDocs	是	不支持	不支持	否	是	不支持
Amazon WorkSpaces	是	是	不支持	是	是	不支持
Amazon WorkSpaces Application Manager	是	不支持	不支持	否	是	不支持
Amazon WorkSpaces Web	是	是	不支持	是	是	是

账单和成本管理服务

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Application Cost Profiler 服务	是	不支持	不支持	否	是	不支持
Amazon Billing and Cost Management	是	不支持	不支持	否	是	不支持
Amazon Billing Conductor	是	是	不支持	是	是	不支持
Amazon CloudAssist 服务读写权限	是	不支持	不支持	否	是	不支持
Amazon整合账单	是	不支持	不支持	否	是	不支持
Amazon Cost and Usage Report	是	是	不支持	否	是	不支持
Amazon Cost Explorer	是	是	不支持	是	是	不支持
Amazon 发票管理	是	不支持	不支持	否	是	不支持
Amazon 免费套餐	是	不支持	不支持	否	是	不支持
Amazon Invoicing Service	是	不支持	不支持	否	是	不支持
Amazon Payments	是	不支持	不支持	否	是	不支持
Amazon 价目表	是	不支持	不支持	否	是	不支持
Amazon 采购订单控制台	是	不支持	不支持	否	是	不支持
Amazon Savings Plans	是	是	不支持	是	是	不支持
Amazon Sustainability	是	不支持	不支持	否	是	不支持
Amazon 税务设置	是	不支持	不支持	否	是	不支持

其他资源

服务	操作	资源级权限	基于资源的策略	ABAC	临时凭证	服务相关角色
Amazon Activate	是	不支持	不支持	否	是	不支持
Amazon Budget 服务	是	是	不支持	不支持	不支持	否
Amazon Web Services Marketplace	是	不支持	不支持	否	是	是
Amazon Web Services Marketplace 目录	是	是	不支持	是	是	不支持
Amazon Marketplace Commerce Analytics	是	不支持	不支持	不支持	不支持	否
Amazon Web Services Marketplace 发现	是	不支持	不支持	否	是	不支持
Amazon Web Services Marketplace 管理门户	是	不支持	不支持	否	是	不支持
Amazon Marketplace Metering Service	是	不支持	不支持	否	是	不支持
Amazon Web Services Marketplace Private Marketplace	是	不支持	不支持	否	是	不支持
Amazon Web Services Marketplace 卖家报告	是	是	不支持	否	是	不支持
Amazon Web Services Marketplace Vendor Insights	是	是	不支持	是	是	不支持
Amazon Mechanical Turk	是	不支持	不支持	否	是	不支持

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

配额、名称要求和字符限制

签署 Amazon API 请求