Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplos de políticas basadas en identidad de Amazon Transcribe

De forma predeterminada, los usuarios y roles no tienen permiso para crear, ver ni modificar recursos de Amazon Transcribe. Tampoco pueden realizar tareas mediante la AWS Management Console, la AWS Command Line Interface (AWS CLI) o la API de AWS. Para conceder a los usuarios permiso para realizar acciones en los recursos que necesitan, un administrador de IAM puede crear políticas de IAM. A continuación, el administrador puede añadir las políticas de IAM a las funciones y los usuarios pueden asumirlas.

Para obtener información acerca de cómo crear una política basada en identidades de IAM mediante el uso de estos documentos de políticas JSON de ejemplo, consulte Creación de políticas de IAM en la Guía del usuario de IAM.

Para obtener más información sobre las acciones y los tipos de recursos definidos por Amazon Transcribe, incluido el formato de los ARN para cada tipo de recurso, consulte Acciones, recursos y claves de condición de Amazon Transcribe en la Referencia de autorizaciones de servicio.

Prácticas recomendadas relativas a políticas

Las políticas basadas en identidades determinan si alguien puede crear, acceder o eliminar los recursos de Amazon Transcribe de la cuenta. Estas acciones pueden generar costos adicionales para su Cuenta de AWS. Siga estas directrices y recomendaciones al crear o editar políticas basadas en identidad:

Para obtener más información sobre las prácticas recomendadas de IAM, consulte las Prácticas recomendadas de seguridad en IAM en la Guía de usuario de IAM.

Uso de la AWS Management Console

Para acceder a la consola de Amazon Transcribe, debe tener un conjunto mínimo de permisos. Estos permisos deben permitirle registrar y consultar los detalles acerca de losAmazon Transcribe recursos de suCuenta de AWS. Si crea una política basada en identidad que sea más restrictiva que el mínimo de permisos necesarios, la consola no funcionará del modo esperado para las entidades (usuarios o roles) que tengan esa política.

No es necesario que conceda permisos mínimos para la consola a los usuarios que solo realizan llamadas a la AWS CLI o a la API de AWS. En su lugar, permite acceso únicamente a las acciones que coincidan con la operación de API que intentan realizar.

Para garantizar que una entidad (usuarios y roles) pueda utilizarlos AWS Management Console, adjunte una de las siguientes políticasAWS administradas.

También puede crear sus propias políticas de IAM personalizadas con el fin de conceder permisos para realizar acciones de la API de Amazon Transcribe. Puede asociar estas políticas personalizadas políticas personalizadas a las entidades que necesiten esos permisos.

Permisos necesarios paraIAM roles necesarios para roles

Si creas unIAM rol al que llamarAmazon Transcribe, debe tener permiso para acceder alAmazon S3 bucket. Si corresponde, también seKMS key debe utilizar para cifrar el contenido del bucket. Consulte las siguientes secciones para ver ejemplos de políticas.

Políticas de confianza

LaIAM entidad que utilice para realizar su solicitud de transcripción debe tener una política de confianza que leAmazon Transcribe permita asumir esa función. Utilice la siguiente política deAmazon Transcribe confianza basada en confianza. Ten en cuenta que si realizas una solicitud de análisis de llamadas en tiempo real con el análisis posterior a la llamada activado, debes utilizar la «Política de confianza para el análisis de llamadas en tiempo real».

Política de confianza paraAmazon Transcribe

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "transcribe.amazonaws.com"
        ]
      },
      "Action": [
        "sts:AssumeRole"
      ],      
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Política de confianza para el análisis de llamadas en tiempo real

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "transcribe.streaming.amazonaws.com"
        ]
      },
      "Action": [
        "sts:AssumeRole"
      ],      
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Amazon S3política de bucket de entrada

La siguiente política otorga un permiso a unIAM rol para acceder a los archivos del bucket de entrada especificado.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET",
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET/*"
        ]
    }
}

Amazon S3política de bucket de salida

La siguiente política otorga un permiso a unIAM rol para escribir archivos en el bucket de salida especificado.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:PutObject"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-OUTPUT-BUCKET/*"
        ]
    }
}

Permisos necesarios para las clavesAmazon S3 de cifrado

Si utilizas unKMS key para cifrar unAmazon S3 bucket, incluye lo siguiente en laKMS key política. Esto permite a Amazon Transcribe obtener acceso al contenido del bucket. Para obtener más información sobre cómo permitir el acceso aKMS keys, consulte Permitir el accesoCuentas de AWS a un externoKMS key en la Guía paraAWS KMS desarrolladores.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId"
    }
  ]
}

Permitir a los usuarios consultar sus propios permisos

En este ejemplo, se muestra cómo podría crear una política que permita a los usuarios de IAM ver las políticas administradas e insertadas que se adjuntan a la identidad de sus usuarios. Esta política incluye permisos para llevar a cabo esta acción en la consola o mediante programación con la AWS CLI o la API de AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

AWS KMSpolítica basada en contexto de cifrado

La siguiente política otorga permiso alIAM rol «ExampleRole» para utilizar las operaciones deAWS KMS descifrado y cifrado para este caso en particularKMS key. Esta política solo funciona para solicitudes con al menos un par de contextos de cifrado, en este caso "color:indigoBlue». Para obtener más información sobre el contexto deAWS KMS cifrado, consulteContexto de cifrado de AWS KMS.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey",
              "kms:Encrypt",
              "kms:GenerateDataKey*",
              "kms:ReEncrypt*"
          ],
          "Resource": "*",
          "Condition": {
              "StringEquals": {
                  "kms:EncryptionContext:color":"indigoBlue"
              }
           }
        }
   ]
}

Política de prevención del suplente confuso

Este es un ejemplo de una política de asunción de roles que muestra cómo puedes usaraws:SourceArn yaws:SourceAccount conAmazon Transcribe para evitar un problema confuso de diputados. Para obtener más información sobre cómo prevenir la confusión entre diputados, consultePrevención del suplente confuso entre servicios.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "transcribe.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Visualización de trabajos de transcripción basada en etiquetas

Puede utilizar las condiciones de su política basada en la identidad para controlar el acceso a los recursos de Amazon Transcribe basados en etiquetas. En este ejemplo se muestra cómo puede crear una política que permita ver un trabajo de transcripción. Sin embargo, los permisos solo se conceden si la etiqueta del trabajo de transcripciónOwner tiene el valor del nombre de dicho usuario. Esta política también concede los permisos necesarios para llevar a cabo esta acción mediante laAWS Management Console.

También puede asociar esta política a lasIAM entidades de su cuenta. Si un rol llamadotest-role intenta ver un trabajo de transcripción, el trabajo de transcripción debe estar etiquetadoOwner=test-role oowner=test-role (los nombres de las claves de condición no distinguen mayúsculas de minúsculas); de lo contrario, se le denegará el acceso. Para obtener más información, consulte Elemento de la política deIAM JSON de JSON: condición en la guía delIAM usuario.

Para obtener más información sobre el etiquetadoAmazon Transcribe, consulteEtiquetado de recursos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListTranscriptionJobsInConsole",
            "Effect": "Allow",
            "Action": "transcribe:ListTranscriptionJobs",
            "Resource": "*"
        },
        {
            "Sid": "ViewTranscriptionJobsIfOwner",
            "Effect": "Allow",
            "Action": "transcribe:GetTranscriptionJobs",
            "Resource": "arn:aws:transcribe:*:*:transcription-job/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}