能否将DynamoDB表临时限制为只读访问？迁移时无需修改IAM策略

当然可以，不需要调整IAM策略也能实现迁移期间阻止其他进程写入DynamoDB表，以下是几种实用方案：

• 应用层条件约束控制
  迁移开始前，给目标表新增一个全局控制属性（比如migration_in_progress）并设为true。要求所有写入该表的应用代码，在执行PutItem/UpdateItem等写入操作时，添加条件表达式：

  attribute_not_exists(migration_in_progress) OR migration_in_progress = false
  

  迁移期间，这个条件会直接阻止不符合要求的写入请求；迁移完成后，删除该属性或设为false即可恢复正常写入。
  注意：此方案需要应用代码提前支持该条件逻辑，遗留系统可能需要临时调整代码，但无需改动IAM策略。

• 控制表写入开关
  创建一个小型控制表（比如MigrationControls），存储一条包含is_migrating字段的记录，值设为true表示迁移进行中。所有应用在执行写入操作前，先查询该控制表的状态，仅当is_migrating为false时才执行写入。
  迁移期间保持is_migrating为true，完成后改为false即可。这个方案无需修改目标表结构，仅需在应用写入流程前增加一个状态查询步骤。

• DynamoDB流+Lambda拦截写入
  给目标表开启DynamoDB Streams，创建Lambda函数订阅该流。Lambda函数内通过环境变量或控制表判断迁移状态，若处于迁移中，则对写入操作执行回滚（比如删除刚写入的条目）。
  此方案无需修改应用代码或IAM策略，仅需配置流和Lambda，但需注意流存在短暂延迟，可能有极少量写入漏网。

• 表重定向+权限隔离

  1. 先给目标表创建快照备份，确保数据安全。
  2. 通过AWS CLI或SDK将原表重命名（例如OriginalTable改为OriginalTable_Backup）。
  3. 创建与原表同名的新表，仅给你的迁移进程分配写入权限（单独配置该新表的IAM权限，无需改动原有应用的策略）。
  4. 完成数据迁移后，恢复新表的写入权限或切换回原表名称。
     期间应用访问原表名时，实际指向的是仅允许迁移写入的新表，自然无法执行写入操作。

内容的提问来源于stack exchange，提问作者Elliveny