Steuerung des Zugriffs auf Kinesis Video Streams-Ressourcen mithilfe von IAM

Rufen Sie die 12-stellige Konto-ID des Kontos ab, dem Sie Berechtigungen zur Ausführung von Vorgängen mit der in Ihrem Konto erstellten Stream-Ressource gewähren möchten.

Beispiel: In den folgenden Schritten verwenden wir 111111111111 als Konto-ID für das Konto, dem Sie die Erlaubnis erteilen möchten, und 9999999999 als ID für Ihre Kinesis Video Streams

Erstellen Sie eine IAM-verwaltete Richtlinie in dem Konto, dem der Stream gehört (999999999999), die die Zugriffsebene zulässt, die Sie gewähren möchten.

Beispiel für eine Richtlinie:

Weitere Beispielrichtlinien für Kinesis Video Streams-Ressourcen finden Sie Beispielrichtlinien im nächsten Abschnitt.

Erstellen Sie eine Rolle in dem Konto, dem der Stream gehört (999999999999), und geben Sie das Konto an, für das Sie Berechtigungen gewähren möchten (111111111111). Dadurch wird der Rolle eine vertrauenswürdige Entität hinzugefügt.

Beispiel für eine vertrauenswürdige Richtlinie:

Hängen Sie die Richtlinie, die Sie im vorherigen Schritt erstellt haben, an diese Rolle an.

Sie haben jetzt eine Rolle im Konto 999999999999 erstellt, das über die Berechtigung für Operationen wie DescribeStreamGetDataEndpoint, und für einen Stream-Ressourcen-ARN in PutMedia der verwalteten Richtlinie verfügt. Diese neue Rolle vertraut auch darauf, dass das andere Konto, 111111111111, diese Rolle übernimmt.

Erstellen Sie im anderen Konto, 111111111111, eine verwaltete Richtlinie, die die AssumeRole Aktion für die Rolle zulässt, die Sie im vorherigen Schritt im Konto 9999999999 erstellt haben. Sie müssen den Rollen-ARN aus dem vorherigen Schritt angeben.

Beispiel für eine Richtlinie:

Hängen Sie die im vorherigen Schritt erstellte Richtlinie an eine IAM-Entität an, z. B. eine Rolle oder einen Benutzer im Konto 111111111111. Dieser Benutzer hat jetzt die Berechtigung, die Rolle im Konto 999999999999 zu übernehmen. CustomRoleName

Die Anmeldeinformationen dieses Benutzers rufen die AWS STS AssumeRole API auf, um die Anmeldeinformationen für die Sitzung abzurufen. Diese werden anschließend zum Aufrufen der Kinesis Video Streams-APIs für den Stream verwendet, der im Konto 9999999999 erstellt wurde.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

Legen Sie den Zugriffsschlüssel, den geheimen Schlüssel und die Sitzungsanmeldedaten auf der Grundlage der zuvor in der Umgebung festgelegten Daten fest.

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

Führen Sie die Kinesis Video Streams-APIs aus, um den Datenendpunkt für den Stream im Konto 999999999999 zu beschreiben und abzurufen.

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}