Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Identity-based Beispiele für Richtlinien für Amazon GameLift Streams

Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon GameLift Streams-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

Einzelheiten zu den von Amazon GameLift Streams definierten Aktionen und Ressourcentypen, einschließlich des Formats der ARNs für jeden der Ressourcentypen, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon GameLift Streams in der Service Authorization Reference.

Best Practices für Richtlinien

Identity-based Richtlinien legen fest, ob jemand Amazon GameLift Streams-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, folgen Sie diesen Richtlinien und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Best Practices für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden der Amazon Streams-Konsole GameLift

Für den Zugriff auf die Amazon GameLift Streams-Konsole benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Amazon GameLift Streams-Ressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.

Sie müssen Benutzern, die nur die AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Stream-URLs erstellen und verwalten

In diesem Beispiel wird die geringste Berechtigung gewährt, die zum Erstellen, Überwachen und Widerrufen von Stream-URLs erforderlich ist. CreateStreamUrlGetStreamUrl, und RevokeStreamUrl sind für eine Stream-Gruppe autorisiert, sodass Sie sie auf Stream-Gruppen-Ressourcen-ARNs eingrenzen. Ein Principal, dem diese Berechtigungen für eine Stream-Gruppe erteilt wurden, kann auf jede Stream-URL in dieser Stream-Gruppe einwirken. Sie können diese Berechtigungen nicht auf eine einzelne Stream-URL beschränken. ListStreamUrlsist kontospezifisch und gibt Stream-URLs für alle deine Stream-Gruppen zurück, daher ist die Einstellung auf erforderlich. Resource "*" Außerdem CreateStreamUrl ist eine gameliftstreams:StartStreamSession Genehmigung für die Anwendung erforderlich, auf die die Stream-URL verweist, da durch das Aktivieren der Stream-URL eine Stream-Sitzung gestartet wird, in der diese Anwendung ausgeführt wird. Beschränken Sie diese Berechtigung auf den ARN der Anwendungsressource.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageStreamUrls",
      "Effect": "Allow",
      "Action": [
        "gameliftstreams:CreateStreamUrl",
        "gameliftstreams:GetStreamUrl",
        "gameliftstreams:RevokeStreamUrl"
      ],
      "Resource": "arn:aws:gameliftstreams:*:111122223333:streamgroup/*"
    },
    {
      "Sid": "StartSessionsForStreamUrls",
      "Effect": "Allow",
      "Action": "gameliftstreams:StartStreamSession",
      "Resource": "arn:aws:gameliftstreams:*:111122223333:application/*"
    },
    {
      "Sid": "ListStreamUrlsInAccount",
      "Effect": "Allow",
      "Action": "gameliftstreams:ListStreamUrls",
      "Resource": "*"
    }
  ]
}

Wenn Sie RoleArn beim Erstellen einer Stream-URL eine IAM-Rolle angeben, gewähren Sie iam:PassRole für diese Rolle auch Folgendes im Geltungsbereich von Amazon Streams: GameLift

{
  "Sid": "PassRoleToStreamUrlSessions",
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::111122223333:role/GameLiftStreams-MyStreamRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "gameliftstreams.amazonaws.com"
    }
  }
}