Control del acceso a los recursos de Kinesis Video Streams mediante IAM

Obtenga el ID de cuenta de 12 dígitos de la cuenta a la que quiere conceder permisos para realizar operaciones en el recurso de transmisión creado en su cuenta.

Ejemplo: en los siguientes pasos, utilizaremos 1111 como ID de cuenta de la cuenta a la que quiere conceder permiso y 9999 como ID de Kinesis Video Streams

Cree una política IAM administrada en la cuenta propietaria de la transmisión (9799999) que permita el nivel de acceso que desee conceder.

Ejemplo de política:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia"
            ],
            "Resource": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
        }
    ]
}

Para ver otros ejemplos de políticas para los recursos de Kinesis Video Streams, Ejemplos de políticas consulte la siguiente sección.

Cree un rol en la cuenta propietaria de la transmisión (9999) y especifique la cuenta a la que quiere conceder permisos (1111). Esto añadirá una entidad de confianza al rol.

Ejemplo de política de confianza:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:root"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Adjunta la política que creaste en el paso anterior a este rol.

Ahora ha creado un rol en la cuenta 7139999 que tiene permiso para realizar operaciones comoDescribeStream, por ejemploGetDataEndpoint, y PutMedia en un recurso ARN de streaming de la política gestionada. Este nuevo rol también confía en que la otra cuenta, 1111, asuma este rol.

Crea una política gestionada en la otra cuenta (1111) que permita realizar AssumeRole acciones en el rol que creaste en la cuenta 9999 en el paso anterior. Deberás mencionar el rol ARN del paso anterior.

Ejemplo de política:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::999999999999:role/CustomRoleName"
    }
}

Adjunta la política creada en el paso anterior a una IAM entidad, como un rol o un usuario, en la cuenta 1111. Este usuario ahora tiene permiso para asumir el rol CustomRoleName en la cuenta 7139999.

Las credenciales de este usuario llaman AWS STS AssumeRole API para obtener las credenciales de sesión, que se utilizan posteriormente para llamar a Kinesis Video APIs Streams en la transmisión creada en la cuenta 9999.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

Establezca la clave de acceso, la clave secreta y las credenciales de sesión en función del conjunto anterior en el entorno.

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

Ejecute Kinesis Video APIs Streams para describir y obtener el punto final de datos de la transmisión en la cuenta ⟶ 9999.

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}