Установка прав ролей IAM с помощью инструментов AWS

Если вы используете аутентификацию Amazon Identity and Access Management (IAM) для доступа к ресурсам AWS, используемым в развертываниях ArcGIS Enterprise, которые вы настраиваете вне инструментов ArcGIS Enterprise for Amazon Web Services, вам нужно самостоятельно настраивать роли и политики IAM с помощью инструментов AWS.

Примеры фрагментов JSON для прав IAM представлены ниже. Примеры используют версию 2012-10-17 документа прав. Если вы используете другую версию, формат документа, возможно, потребуется изменить.

Замените значения в угловых скобках (<>) значениями вашего развертывания.

Храните директорию ресурсов Portal for ArcGIS в бакете S3

Чтобы хранить каталог контента Portal for ArcGIS в бакет Amazon Simple Storage Service (S3), вам нужен пользователь или роль IAM со следующей политикой IAM:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:Get*",
             "s3:PutObject",
             "s3:ListBucket",
             "s3:CreateBucket",
             "s3:DeleteObject"
         ],
         "Resource": [
             "arn:aws:s3:::<portal-content-bucket-name>/*",
             "arn:aws:s3:::<portal-content-bucket-name>"
         ]
     }
 ]
}

Храните хранилище конфигураций ArcGIS Server и общие директории серверов в S3, DynamoDB и SQS

Для хранения хранилища конфигурации ArcGIS Server и общих директорий сервисов с использованием сервисов AWS вам требуется роль или пользователь IAM со следующими правами IAM:

{
"Version":"2012-10-17",
"Statement":[
   {
      "Sid":"<statement-id1>",
      "Action":[
         "s3:ListBucket",
         "s3:ListMultipartUploadParts",
         "s3:GetBucketAct",
         "s3:GetBucketLocation",
         "s3:GetBucketPolicy",
         "s3:GetObject",
         "s3:GetLifecycleConfiguration",
         "s3:DeleteObjectTagging",
         "s3:PutBucketTagging",
         "s3:PutObjectTagging",
         "s3:CreateBucket",
         "s3:DeleteBucket",
         "s3:DeleteObject",
         "s3:PutObject",
         "s3:PutLifecycleConfiguration"
      ],
      "Effect":"Allow",
      "Resource":[
         "arn:aws:s3:::arcgis-config-store-*",
         "arn:aws:s3:::arcgis-config-store-*/*"
      ]
   },
   {
      "Sid":"<statement-id2>",
      "Action":[
         "dynamodb:DescribeTable",
         "dynamodb:GetItem",
         "dynamodb:GetRecords",
         "dynamodb:Query",
         "dynamodb:CreateTable",
         "dynamodb:DeleteItem",
         "dynamodb:DeleteTable",
         "dynamodb:ListTables",
         "dynamodb:PutItem",
         "dynamodb:Scan",
         "dynamodb:UpdateItem",
         "dynamodb:UpdateTable",
         "dynamodb:TagResource",
         "dynamodb:UntagResource"
      ],
      "Effect":"Allow",
      "Resource":[
         "arn:aws:dynamodb:*:*:table/*"
      ]
   },
   {
     "Sid":"<statement-id2>",
     "Action":[
        "sqs:GetQueueAttributes",
        "sqs:GetQueueUrl",
        "sqs:ListDeadLetterSourceQueues",
        "sqs:ListMessageMoveTasks",
        "sqs:ListQueues",
        "sqs:ListQueueTags",
        "sqs:ReceiveMessage",
        "sqs:CancelMessageMoveTask",
        "sqs:ChangeMessageVisibility",
        "sqs:CreateQueue",
        "sqs:DeleteMessage",
        "sqs:DeleteQueue",
        "sqs:PurgeQueue",
        "sqs:SendMessage",
        "sqs:SetQueueAttributes",
        "sqs:StartMessageMoveTask",
        "sqs:TagQueue",
        "sqs:UntagQueue"
      ],
      "Effect": "Allow",
      "Resource":[
         "arn:aws:sql:*:*:SQS/ArcGIS-GP*"
      ]
   }
]
}

Использование бакета S3 в качестве хранилища объектов

Чтобы зарегистрировать бакет S3 в качестве хранилища системных объектов развертывания ArcGIS Enterprise, для роли IAM необходимы, как минимум, следующие права IAM:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:ListBucket",
             "s3:ListMultipartUploadParts",
             "s3:GetBucketAcl",
             "s3:GetBucketLocation",
             "s3:GetBucketPolicy",
             "s3:GetObject",
             "S3:GetLifecycleConfiguration",
             "s3:DeleteObjectTagging",
             "s3:PutBucketTagging",
             "s3:PutObjectTagging",
             "s3:CreateBucket",
             "s3:DeleteBucket",
             "s3:DeleteObject",
             "s3:PutObject",
             "S3:PutLifecycleConfiguration"
         ],
         "Resource": [
             "arn:aws:s3:::<object-bucket-name>/*",
             "arn:aws:s3:::<object-bucket-name>"
         ]
     }
 ]
}

Сохранения кэша в бакете S3

Чтобы зарегистрировать бакет S3 в качестве облачного хранилища для хранения кэша картографических сервисов и сервисов изображений и доступа к ним, для роли IAM необходимы, как минимум, следующие права IAM:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:PutObject",
             "s3:GetObject",
             "s3:ListBucket",
             "s3:ListMultipartUploadParts",
             "s3:GetBucketAcl",
             "s3:GetObjectVersion",
             "s3:GetLifecycleConfiguration",
             "s3:DeleteObject"
         ],
         "Resource": [
             "arn:aws:s3:::<cache-bucket-name>/*",
             "arn:aws:s3:::<cache-bucket-name>"
         ]
     }
 ]
}

Использование бакета S3 в качестве хранилища растров

Чтобы зарегистрировать бакет S3 в качестве хранилища растров, для роли IAM необходимы, как минимум, следующие права IAM:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:PutObject",
             "s3:GetObject",
             "s3:ListBucket",
             "s3:GetBucketAcl",
             "s3:GetObjectVersion"
         ],
         "Resource": [
             "arn:aws:s3:::<raster-store-bucket-name>/*",
             "arn:aws:s3:::<raster-store-bucket-name>"
         ]
     }
 ]
}

Используйте бакет S3 для резервных копий, генерированных утилитой webgisdr

Если вы используете утилиту webgisdr, установленную с Portal for ArcGIS для создания резервных копий в бакете S3 на AWS, пользователю или роли IAM необходима система создания файлов резервных копий и система восстановления развертывания из этих файлов резервных копий.

Далее описаны минимальные параметры системы, необходимые для использования утилиты webgisdr для создания резервных копий в бакете S3:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:PutObject",
             "s3:GetObject",
             "s3:ListBucket",
             "s3:DeleteObject",
             "s3:GetBucketAcl",
             "s3:PutObjectAcl"
         ],
         "Resource": [
             "arn:aws:s3:::<webgisdr-bucket-name>",
             "arn:aws:s3:::<portal-content-backup-bucket-name>",
             "arn:aws:s3:::<webgisdr-bucket-name>/*",
             "arn:aws:s3:::<portal-content-backup-bucket-name>/*"
         ]
     }
 ]
}

Ниже описаны минимальные параметры системы, необходимые для использования утилиты webgisdr для восстановления развертывания из файлов резервных копий, хранящихся в бакете S3:

{
 "Version": "2012-10-17",
 "Statement": [
     {
         "Sid": "<statement-id>",
         "Effect": "Allow",
         "Action": [
             "s3:GetObject",
             "s3:ListBucket",
             "s3:GetBucketAcl",
             "s3:PutObject",
             "s3:DeleteObject"
         ],
         "Resource": [
             "arn:aws:s3:::<webgisdr-bucket-name>",
             "arn:aws:s3:::<portal-content-backup-bucket-name>",
             "arn:aws:s3:::<webgisdr-bucket-name>/*",
             "arn:aws:s3:::<portal-content-backup-bucket-name>/*"
         ]
     }
 ]
}