java - DynamoDB 用户管理的用户组

Question

我对 AWS 还很陌生，尽管搜索并阅读了有关角色和策略的内容。我仍然无法弄清楚如何让用户管理用户组来控制 DynamoDB 表中项目的访问。如果有人可以通过给我术语或示例来帮助我搜索，我将不胜感激。

用例示例:

• 用户1 在名为“Groups”的表中创建项目“Group_A”。
• 用户2 在名为“Groups”的表中创建项目“Group_B”。
• 另一个名为“Messages”的表有一个排序键，可以是任何项目表“组”。

User1 如何向 User3 和 User4 授予对“Group_A”的“消息”的访问权限，而不允许 User2 访问。

Answer 1

您的场景无法通过 IAM 策略(附加到用户或角色)以及与用户池连接的 DynamoDB 细粒度访问控制直接实现。

DynamoDB 在其最精细的访问控制级别允许通过前导键进行行级别访问控制。例如，在您的情况下，如果消息表中消息项的哈希键是 Cognito 中登录用户的属性，则可以仅向具有 IAM 策略的该用户授予权限。

但是，实现此目的的方法是在应用程序级别。例如，您可以设置 API 网关和 Lambda，以便在 API 网关处验证 Cognito 颁发的 id_token，并且在 Lambda 代码中您可以编写查询来根据访问控制列表限制和检索数据。