Amazon DynamoDB 和 IAM - 允许更新项更改单个属性

Question

说明：

我有一个包含 50 个项目的表，每个项目至少有三个属性Name、Age 和E-mail。

用户应该能够：

1. 对特定项目的Name 执行update。

2. 对所有项目的属性执行这些操作：

• 批量获取项目
• 条件检查项
• 描述表格
• 获取项目
• 扫描
• ListTagsOfResource
• 查询

我的尝试：

我在 IAM 中使用了此政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "UserNameUpdate",
            "Effect": "Allow",
            "Action": "dynamodb:UpdateItem",
            "Resource": "arn:aws:dynamodb:<region>:<account>:table/<tableName>",
            "Condition": {
                "StringEquals": {
                    "dynamodb:ReturnValues": [
                        "NONE",
                        "UPDATED_OLD",
                        "UPDATED_NEW"
                    ]
                },
                "ForAllValues:StringLike": {
                    "dynamodb:Attributes": "Name"
                }
            }
        },
        {
            "Sid": "GetAll",
            "Effect": "Allow",
            "Action": [
                "dynamodb:BatchGetItem",
                "dynamodb:ConditionCheckItem",
                "dynamodb:DescribeTable",
                "dynamodb:GetItem",
                "dynamodb:Scan",
                "dynamodb:ListTagsOfResource",
                "dynamodb:Query"
            ],
            "Resource": "arn:aws:dynamodb:<region>:<account>:table/<tableName>"
        }
    ]
}

结果：

• 尝试更新项目时，我收到 AccessDeniedException。
• 尝试其他操作时，它们正常工作。

我不太了解 IAM 规则，尤其是 Condition 部分 ????。任何帮助将不胜感激。

Answer 1

Name 是 DynamoDB 中的 reserved word。也许这是你的问题？

Answer 2

我认为需要一个值数组：

"ForAllValues:StringLike": {
    "dynamodb:Attributes": ["Name"]
}