Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de atributos para el control de acceso

Attributes for access control es la implementación de los grupos de identidades de Amazon Cognito del control de acceso basado en atributos (). ABAC Puede usar IAM políticas para controlar el acceso a AWS los recursos a través de los grupos de identidades de Amazon Cognito en función de los atributos de los usuarios. Estos atributos pueden extraerse de los proveedores de identidad social y corporativa. Puede asignar los atributos de los tokens o SAML aserciones de acceso e ID de los proveedores a etiquetas a las que se puede hacer referencia en las políticas de permisos. IAM

Puede elegir mapeos predeterminados o crear sus propios mapeos personalizados en grupos de identidades de Amazon Cognito. Las asignaciones predeterminadas le permiten escribir IAM políticas basadas en un conjunto fijo de atributos de usuario. Las asignaciones personalizadas le permiten seleccionar un conjunto personalizado de atributos de usuario a los que se hace referencia en las políticas de permisos. IAM Los nombres de los atributos de la consola de Amazon Cognito se asignan a la clave de etiqueta principal, que son las etiquetas a las que se hace referencia en la IAM política de permisos.

Por ejemplo, supongamos que tiene un servicio de streaming multimedia con una pertenencia gratuita y otra de pago. Almacena los archivos multimedia en Amazon S3 y los etiqueta con etiquetas gratuitas o prémium. Puede utilizar atributos de control de acceso para permitir el acceso a contenido gratuito y de pago basado en el nivel de pertenencia del usuario, que es parte del perfil del usuario. Puede asignar el atributo de membresía a una clave de etiqueta para que el principal se transfiera a la política de IAM permisos. De esta forma, puede crear una única política de permisos y permitir condicionalmente el acceso a los contenidos prémium en función del valor del nivel de membresía y de la etiqueta de los archivos de contenido.

El uso de atributos para controlar el acceso aporta varios beneficios:

Uso de atributos para el control de acceso con grupos de identidades de Amazon Cognito

Antes de utilizar atributos para el control de acceso, asegúrese de cumplir los siguientes requisitos previos:

Para utilizar los atributos para el control de acceso, la Reclamación que establece como origen de datos establece el valor de la Clave de etiqueta que elija. Amazon Cognito aplica la clave y el valor de la etiqueta a la sesión del usuario. Sus IAM políticas pueden evaluar el acceso de sus usuarios a partir de la ${aws:PrincipalTag/tagkey} condición. IAMevalúa el valor de la etiqueta de usuario en comparación con la política.

Debe preparar IAM los roles cuyas credenciales desee transmitir a sus usuarios. La política de confianza de estos roles debe permitir a Amazon Cognito asumir el rol para el usuario. Para los atributos para el control de acceso, también debe permitir que Amazon Cognito aplique las etiquetas de las entidades principales a la sesión temporal del usuario. Conceda permiso para asumir el rol con la acción AssumeRoleWithWebIdentity. Conceda permiso para etiquetar las sesiones de los usuarios con la acción de solo permiso sts:TagSession. Para obtener más información, consulte Transferencia de etiquetas de sesión en AWS Security Token Service en la Guía del usuario de AWS Identity and Access Management . Para una política de confianza de ejemplo que concede permisos sts:AssumeRoleWithWebIdentity y sts:TagSession a la entidad principal de servicio de Amazon Cognito cognito-identity.amazonaws.com, consulte Ejemplo de política de uso de atributos para el control de acceso.

Ejemplo de política de uso de atributos para el control de acceso

Piense en una situación en la que un empleado del departamento legal de una empresa necesita enumerar todos los archivos en buckets que pertenecen a su departamento y están clasificados con su nivel de seguridad. Supongamos que el token que este empleado obtiene del proveedor de identidad contiene las siguientes notificaciones.

Notificaciones

            { .
              .
            "sub" : "57e7b692-4f66-480d-98b8-45a6729b4c88",
            "department" : "legal",
            "clearance" : "confidential",
             .
             .
            }
        

Estos atributos se pueden asignar a etiquetas y se puede hacer referencia a IAM ellos en las políticas de permisos como etiquetas principales. Ahora puede administrar el acceso si cambia el perfil de usuario al final del proveedor de identidades. Como alternativa, puede cambiar atributos en el lado del recurso mediante nombres o etiquetas sin cambiar la propia política.

La siguiente política de permisos realiza dos tareas:

Política de permisos

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:List*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}"
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}/*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/clearance": "${aws:PrincipalTag/clearance}"
                }
            }
        }
    ]
}

La política de confianza determina quién puede asumir este rol. La política de relación de confianza permite el uso de sts:AssumeRoleWithWebIdentity y sts:TagSession para permitir el acceso. Agrega condiciones para restringir la política al grupo de identidades que ha creado y se asegura de que es para un rol autenticado.

Política de confianza

            
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRoleWithWebIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "IDENTITY-POOL-ID"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}
            

Desactivar atributos para el control de acceso (consola)

Siga este procedimiento para desactivar los atributos para el control de acceso.

Mapeos de proveedores predeterminados

En la siguiente tabla, se encuentra la información de mapeo predeterminado para los proveedores de autenticación que admite Amazon Cognito.