使用KCL时，Kinesis消费者需要哪些IAM权限？

Question

我有一个使用Kinesis客户端库（KCL）编写的Kinesis消费者。此使用者在假定的IAM角色下运行。

我从文档中了解到：

KCL使用应用程序名称创建一个DynamoDB表，并使用该表维护应用程序的状态信息（例如检查点和工作分片映射）。每个应用程序都有自己的DynamoDB表。有关详细信息，请参阅跟踪Amazon Kinesis数据流应用程序状态。

当然，我需要将dynamodb:CreateTable权限添加到我的IAM角色中。然而，我在其他方面也遇到了错误（例如，dynamodb:descripbetable）。

我的KCL消费者需要访问的所有DynamoDB操作是否有列表？似乎缺少留档，我宁愿有一个权威列表，也不愿继续尝试运行我的应用程序。

Answer 1

这应该是您需要的权限集。表名由客户端代码提供，默认为appName，但可以在ConfigsBuilder中重写：

          - Effect: Allow
            Action:
              - dynamodb:CreateTable
              - dynamodb:DescribeTable
              - dynamodb:Scan
              - dynamodb:PutItem
              - dynamodb:GetItem
              - dynamodb:UpdateItem
              - dynamodb:DeleteItem
            Resource:
              - !Join ["", ["arn:aws:dynamodb:*:", !Ref 'AWS::AccountId', ":table/*"]]

Answer 2

我也有同样的问题，在设置此策略后能够解决问题，应该有一个适当的权限来访问动画

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:Get*",
                "kinesis:DescribeStream",
                "kinesis:ListShards"
            ],
            "Resource": [
                "arn:aws:kinesis:ap-south-1:ACCOUNT_ID:stream/STREAM_NAME"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kinesis:ListStreams"
            ],
            "Resource": [
                "arn:aws:kinesis:ap-south-1:ACCOUNT_ID:stream/STREAM_NAME"
            ]
        },
        {
            "Sid": "SpecificTable",
            "Effect": "Allow",
            "Action": [
                "dynamodb:BatchGet*",
                "dynamodb:DescribeStream",
                "dynamodb:DescribeTable",
                "dynamodb:Get*",
                "dynamodb:Query",
                "dynamodb:Scan",
                "dynamodb:BatchWrite*",
                "dynamodb:CreateTable",
                "dynamodb:Delete*",
                "dynamodb:Update*",
                "dynamodb:PutItem"
            ],
            "Resource": "arn:aws:dynamodb:ap-south-1:ACCOUNT_ID:table/TABLE_NAME*"
        }
    ]
}