View a markdown version of this page

Grundlegende Beispiele für Amazon-SQS-Richtlinien - Amazon Simple Queue Service
Beispiel 1: Erteilen Sie einem Benutzer eine Berechtigung AWS-KontoBeispiel 2: Erteilen Sie einer Person zwei Berechtigungen AWS-KontoBeispiel 3: Gewähren Sie zwei Personen alle Berechtigungen AWS-KontenBeispiel 4: Einer Rolle und einem Benutzernamen kontenübergreifende Berechtigungen erteilenBeispiel 5: Allen Benutzern eine Berechtigung erteilenBeispiel 6: Allen Benutzern eine zeitlich begrenzte Berechtigung erteilenBeispiel 7: Allen Benutzern in einem CIDR-Bereich sämtliche Berechtigungen erteilenBeispiel 8: Berechtigungen für Benutzer in verschiedenen CIDR-Bereichen über Zulassungslisten und Sperrlisten

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Grundlegende Beispiele für Amazon-SQS-Richtlinien

Dieser Abschnitt zeigt Richtlinienbeispiele für allgemeine Amazon-SQS-Anwendungsfälle.

Während Sie dem Benutzer die Richtlinien zuweisen, können Sie die Konsole verwenden, um die Auswirkungen der einzelnen Richtlinien zu überprüfen. Zunächst verfügt der Benutzer über keine Berechtigungen und kann in der Konsole keine Aktionen ausführen. Während Sie dem Benutzer Richtlinien zuweisen, können Sie überprüfen, ob der Benutzer die verschiedenen Aktionen in der Konsole ausführen kann.

Anmerkung

Wir empfehlen, zwei Browserfenster zu verwenden: eines zum Erteilen von Berechtigungen und das andere zum Anmelden. AWS-Managementkonsole Verwenden Sie die Anmeldeinformationen des Benutzers, um die Berechtigungen zu überprüfen, während Sie sie dem Benutzer gewähren.

Beispiel 1: Erteilen Sie einem Benutzer eine Berechtigung AWS-Konto

Die folgende Beispielrichtlinie SendMessage erteilt 111122223333 die AWS-Konto Nummerierung der Warteschlange, die 444455556666/queue1 in der Region USA Ost (Ohio) benannt ist.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_SendMessage",
      "Effect": "Allow",
      "Principal": {
         "AWS": [ 
            "111122223333"
         ]
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:us-east-2:444455556666:queue1"
   }]  
}

Beispiel 2: Erteilen Sie einer Person zwei Berechtigungen AWS-Konto

Die folgende Beispielrichtlinie gewährt 111122223333 SendMessage sowohl die AWS-Konto Nummer als auch die ReceiveMessage Berechtigung für die angegebene Warteschlange444455556666/queue1.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_Send_Receive",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333"
         ]
      },
      "Action": [
         "sqs:SendMessage",
         "sqs:ReceiveMessage"
      ],
      "Resource": "arn:aws:sqs:*:444455556666:queue1"
   }]
}

Beispiel 3: Gewähren Sie zwei Personen alle Berechtigungen AWS-Konten

Die folgende Beispielrichtlinie gewährt zwei verschiedenen AWS-Konten Nummern (111122223333und444455556666) die Berechtigung, alle Aktionen zu verwenden, auf die Amazon SQS gemeinsamen Zugriff für die Warteschlange gewährt, die 123456789012/queue1 in der Region USA Ost (Ohio) benannt ist.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333",
            "444455556666"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Beispiel 4: Einer Rolle und einem Benutzernamen kontenübergreifende Berechtigungen erteilen

Die folgende Beispielrichtlinie gewährt 111122223333 kontoübergreifend role1 und username1 unter AWS-Konto Nummer die Erlaubnis, alle Aktionen zu verwenden, für die Amazon SQS gemeinsamen Zugriff für die 123456789012/queue1 in der Region USA Ost (Ohio) angegebene Warteschlange gewährt.

Cross-account Berechtigungen gelten nicht für die folgenden Aktionen:

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "arn:aws:iam::111122223333:role/role1",
            "arn:aws:iam::111122223333:user/username1"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Beispiel 5: Allen Benutzern eine Berechtigung erteilen

Mit der folgenden Beispielrichtlinie wird allen Benutzern (anonymen Benutzern) die Berechtigung ReceiveMessage für die Warteschlange mit dem Namen 111122223333/queue1 erteilt.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1"
   }]
}

Beispiel 6: Allen Benutzern eine zeitlich begrenzte Berechtigung erteilen

Das folgende Beispiel gewährt die Berechtigung ReceiveMessage allen Benutzern (anonymen Benutzern) der Warteschlange mit dem Namen 111122223333/queue1, aber nur zwischen 12:00 Uhr und 15:00 Uhr am 31. Januar 2009.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage_TimeLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "DateGreaterThan" : {
            "aws:CurrentTime":"2009-01-31T12:00Z"
         },
         "DateLessThan" : {
            "aws:CurrentTime":"2009-01-31T15:00Z"
         }
      }
   }]
}

Beispiel 7: Allen Benutzern in einem CIDR-Bereich sämtliche Berechtigungen erteilen

Die folgende Beispielrichtlinie erteilt allen Benutzern (anonymen Benutzern) die Berechtigung zur Verwendung aller möglichen Amazon-SQS-Aktionen, die für die Warteschlange mit dem Namen 111122223333/queue1 gemeinsam genutzt werden können, jedoch nur, wenn die Anfrage aus dem 192.0.2.0/24-CIDR-Bereich kommt.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_AllActions_AllowlistIP",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         }
      }
   }]
}

Beispiel 8: Berechtigungen für Benutzer in verschiedenen CIDR-Bereichen über Zulassungslisten und Sperrlisten

Die folgende Beispielrichtlinie enthält zwei Anweisungen:

  • Die erste Anweisung gewährt allen Benutzer (anonymen Benutzern) im CIDR-Bereich 192.0.2.0/24 (mit Ausnahme von 192.0.2.188) die Berechtigung zur Verwendung der Aktion SendMessage für die Warteschlange mit dem Namen 111122223333/queue1.

  • Die zweite Anweisung verwehrt allen Benutzern (anonyme Benutzer) im CIDR-Bereich 12.148.72.0/23 die Nutzung der Warteschlange.

JSON
{
   "Version":"2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_SendMessage_IPLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         },
         "NotIpAddress" : {
            "aws:SourceIp":"192.0.2.188/32"
         }
      }
   }, {
      "Sid":"Queue1_AnonymousAccess_AllActions_IPLimit_Deny",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"12.148.72.0/23"
         }
      }
   }]
}