DynamoDB细粒度访问控制和二级索引

Question

所以，我目前正在制作一个包含多个索引的DynamoDB表，并试图管理访问控制。

我有一个键（organizationId），我不想用它作为我的二级索引分区或排序键，因为它在查询方面几乎毫无意义。

DynamoDB工作台

• 表名：执行
• 分区键：组织ID（字符串）

DynamoDB二级索引

• 主分区键：进程ID（String）
• 主排序键：状态（数字）

以下IAM策略条件是否会有效地限制对基于organizationId的二级索引的访问？

"Condition": {
    "ForAllValues:StringEquals": {
        "dynamodb:LeadingKeys": [
            "anOrganizationId / Variable"
        ]
    }
}

Answer 1

下面的权限策略允许使用dynamodb:Attributes条件键查询二级索引（这里的示例索引名为：topCoreDateTimeIndex）。该策略还将查询限制为仅请求已投影到索引中的特定属性。请注意资源和条件部分

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryOnlyProjectedIndexAttributes",
            "Effect": "Allow",
            "Action": [
                "dynamodb:Query"
            ],
            "Resource": [
                "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores/index/TopScoreDateTimeIndex"
            ],
            "Condition": {
                "ForAllValues:StringEquals": {
                    "dynamodb:Attributes": [
                        "TopScoreDateTime",
                        "GameTitle",
                        "Wins",
                        "Losses",
                        "Attempts"
                    ]
                },
                "StringEquals": {
                    "dynamodb:Select": "SPECIFIC_ATTRIBUTES"
                }
            }
        }
    ]
}

Answer 2

好的，我可以建议什么-你实际上可以做第二个索引为“组织标识#进程标识”-组织标识在搜索时应该总是已知的-正如你计划我猜搜索具有特定进程标识的组织内的所有项目？

这应该适合你（在索引上，而不是在表格上）

"Condition": {
                "ForAllValues:StringLike": {
                    "dynamodb:LeadingKeys": "${aws:PrincipalTag/organizationId}#*"
                },

如果我假设标签上有组织id