Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation IAM de conditions politiques pour un contrôle d'accès précis

Lorsque vous accordez des autorisations dans DynamoDB, vous pouvez spécifier des conditions pour déterminer comment une politique d'autorisation doit prendre effet.

Présentation

Dans DynamoDB, vous avez la possibilité de définir des conditions lorsque vous accordez des autorisations à l'aide d'IAMune politique (voir). Gestion des identités et des accès pour Amazon DynamoDB Par exemple, vous pouvez :

Dans DynamoDB, vous pouvez spécifier les conditions d'IAMune politique à l'aide de clés de condition, comme illustré dans le cas d'utilisation présenté dans la section suivante.

Cas d'utilisation des autorisations

Outre le contrôle de l'accès aux actions DynamoDBAPI, vous pouvez également contrôler l'accès à des éléments de données et à des attributs individuels. Par exemple, vous pouvez effectuer les opérations suivantes :

Pour mettre en œuvre ce type de contrôle d'accès précis, vous devez rédiger une politique d'autorisation qui spécifie les conditions d'accès aux informations d'identification de sécurité et aux IAM autorisations associées. Vous appliquez ensuite la politique aux utilisateurs, aux groupes ou aux rôles que vous créez à l'aide de la IAM console. Votre IAM politique peut restreindre l'accès à des éléments individuels d'un tableau, l'accès aux attributs de ces éléments, ou les deux à la fois.

Le cas échéant, vous pouvez utiliser la fédération d'identité web pour contrôler l'accès par les utilisateurs authentifiés par Login with Amazon, Facebook ou Google. Pour de plus amples informations, veuillez consulter Utilisation de la fédération d'identité web.

Vous utilisez l'IAMConditionélément pour mettre en œuvre une politique de contrôle d'accès précise. En ajoutant un élément Condition à une politique d'autorisations, vous pouvez autoriser ou rejeter l'accès à des éléments et attributs dans des index et des tables DynamoDB, en fonction de vos besoins particuliers.

Par exemple, imaginons une application de jeux pour appareils mobiles à partir de laquelle les utilisateurs peuvent sélectionner une grande diversité de jeux. L'application utilise une table nommée DynamoDB nommée GameScores pour suivre les scores élevés et d'autres données utilisateur. Chaque élément de la table est identifié de façon unique par un ID d'utilisateur et le nom du jeu auquel l'utilisateur a joué. La table GameScores possède une clé primaire composée d'une clé de partition (UserId) et d'une clé de tri (GameTitle). Les utilisateurs ne peuvent accéder qu'aux données de jeu associées à leur ID utilisateur. Un utilisateur qui souhaite jouer à un jeu doit appartenir à un IAM rôle nomméGameRole, auquel une politique de sécurité est attachée.

Pour gérer les autorisations utilisateur de cette application, vous pouvez écrire une politique d'autorisations telle que la suivante :

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"AllowAccessToOnlyItemsMatchingUserID",
         "Effect":"Allow",
         "Action":[
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:Query",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem",
            "dynamodb:BatchWriteItem"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:LeadingKeys":[
                  "${www.amazon.com:user_id}"
               ],
               "dynamodb:Attributes":[
                  "UserId",
                  "GameTitle",
                  "Wins",
                  "Losses",
                  "TopScore",
                  "TopScoreDateTime"
               ]
            },
            "StringEqualsIfExists":{
               "dynamodb:Select":"SPECIFIC_ATTRIBUTES"
            }
         }
      }
   ]
}

En plus de l'octroi d'autorisations pour des actions DynamoDB spécifiques (élément Action) sur la table GameScores (élément Resource), l'élément Condition utilise les clés de condition suivantes spécifiques de DynamoDB qui limitent les autorisations comme suit :

Lorsqu'une IAM politique est évaluée, le résultat est toujours vrai (l'accès est autorisé) ou faux (l'accès est refusé). Si une partie d'un élément Condition a la valeur false, l'ensemble de la politique a la valeur false et l'accès est refusé.

IAMles documents de politique ne peuvent contenir que les caractères Unicode suivants : tabulation horizontale (U+0009), fil d'alimentation (U+000A), retour de chariot (U+000D) et caractères compris entre U+0020 et U+00FF.

Spécification de conditions : utilisation de clés de condition

AWS fournit un ensemble de clés de condition prédéfinies (clés AWS de condition étendues) pour tous les AWS services prenant en charge IAM le contrôle d'accès. Par exemple, vous pouvez utiliser la clé de condition aws:SourceIp pour vérifier l'adresse IP du demandeur avant de permettre l'exécution d'une action. Pour plus d'informations et une liste des touches « wide AWS », consultez la section Clés disponibles pour les conditions dans le guide de IAM l'utilisateur.

Le tableau suivant illustre les clés de condition spécifiques du service DynamoDB qui s'appliquent à DynamoDB

Limitation de l'accès utilisateur

De nombreuses politiques d'IAMautorisation autorisent les utilisateurs à accéder uniquement aux éléments d'une table où la valeur de la clé de partition correspond à l'identifiant de l'utilisateur. Par exemple, l'application de jeu précédente limite l'accès de cette façon afin que les utilisateurs ne puissent accéder qu'aux données de jeu associées à leur ID utilisateur. Les variables de IAM substitution ${www.amazon.com:user_id}${graph.facebook.com:id}, et ${accounts.google.com:sub} contiennent des identifiants utilisateur pour Login with Amazon, Facebook et Google. Pour savoir comment une application se connecte à l'un de ces fournisseurs d'identité et obtient ces identificateurs, consultez Utilisation de la fédération d'identité web.

Exemples de politique : utilisation de conditions pour un contrôle d'accès détaillé

Cette section présente plusieurs politiques d'implémentation d'un contrôle précis des accès aux tables et index DynamoDB.

La vidéo ci-dessous explique le contrôle d'accès détaillé dans DynamoDB à l'aide de conditions de politique. IAM

1 : accorder des autorisations qui limitent l'accès aux éléments avec une valeur de clé de partition spécifique

La politique d'autorisation suivante accorde les autorisations qui permettent un ensemble d'actions DynamoDB sur la table GamesScore. Elle utilise la clé de condition dynamodb:LeadingKeys pour limiter les actions utilisateur uniquement sur les éléments dont la valeur de la clé de partition UserID correspond à la connexion avec l'ID utilisateur Login with Amazon unique pour cette application.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"FullAccessToUserItems",
         "Effect":"Allow",
         "Action":[
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:Query",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem",
            "dynamodb:BatchWriteItem"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:LeadingKeys":[
                  "${www.amazon.com:user_id}"
               ]
            }
         }
      }
   ]
}

Pour implémenter l'accès en lecture seule, vous pouvez supprimer les actions susceptibles de modifier les données. Dans la politique suivante, seules les actions qui fournissent l'accès en lecture seule sont incluses dans la condition.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ReadOnlyAccessToUserItems",
         "Effect":"Allow",
         "Action":[
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:Query"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:LeadingKeys":[
                  "${www.amazon.com:user_id}"
               ]
            }
         }
      }
   ]
}

2 : accorder les autorisations qui limitent l'accès aux attributs spécifiques d'une table

La politique d'autorisation suivante n'autorise l'accès qu'à deux attributs spécifiques d'une table en ajoutant la clé de condition dynamodb:Attributes. Ces attributs peuvent être lus, écrits ou évalués dans une écriture conditionnelle ou un filtre d'analyse.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"LimitAccessToSpecificAttributes",
         "Effect":"Allow",
         "Action":[
            "dynamodb:UpdateItem",
            "dynamodb:GetItem",
            "dynamodb:Query",
            "dynamodb:BatchGetItem",
            "dynamodb:Scan"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:Attributes":[
                  "UserId",
                  "TopScore"
               ]
            },
            "StringEqualsIfExists":{
               "dynamodb:Select":"SPECIFIC_ATTRIBUTES",
               "dynamodb:ReturnValues":[
                  "NONE",
                  "UPDATED_OLD",
                  "UPDATED_NEW"
               ]
            }
         }
      }
   ]
}

Cette politique n'autorise pas PutItem, DeleteItem ou BatchWriteItem. Ces actions remplacent toujours la totalité de l'élément précédent, ce qui permet aux utilisateurs de supprimer les valeurs précédentes des attributs auxquels ils ne sont pas autorisés à accéder.

La clause StringEqualsIfExists de la politique d'autorisation garantit ce qui suit :

Voici quelques variations sur cette politique :

3 : accorder les autorisations pour empêcher les mises à jour de certains attributs

La politique d'autorisation suivante limite l'accès utilisateur à la seule mise à jour des attributs spécifiques identifiés par la clé de condition dynamodb:Attributes. La condition StringNotLike empêche qu'une application ne mette à jour les attributs spécifiés à l'aide de la clé de condition dynamodb:Attributes.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"PreventUpdatesOnCertainAttributes",
         "Effect":"Allow",
         "Action":[
            "dynamodb:UpdateItem"
         ],
         "Resource":"arn:aws:dynamodb:us-west-2:123456789012:table/GameScores",
         "Condition":{
            "ForAllValues:StringNotLike":{
               "dynamodb:Attributes":[
                  "FreeGamesAvailable",
                  "BossLevelUnlocked"
               ]
            },
            "StringEquals":{
               "dynamodb:ReturnValues":[
                  "NONE",
                  "UPDATED_OLD",
                  "UPDATED_NEW"
               ]
            }
         }
      }
   ]
}

Notez ce qui suit :

4 : accorder les autorisations de n'interroger que les attributs projetés d'un index

La politique d'autorisations suivante autorise les requêtes sur un index secondaire (TopScoreDateTimeIndex) à l'aide de la clé de condition dynamodb:Attributes. La politique limite aussi les requêtes à ne demander que les attributs spécifiques qui ont été projetés sur l'index.

Pour demander que l'application spécifie une liste d'attributs dans la requête, la politique spécifie également la clé de condition dynamodb:Select pour exiger que le paramètre Select de l'action DynamoDB Query soit SPECIFIC_ATTRIBUTES. La liste des attributs est limitée à une liste spécifique qui est fournie à l'aide de la clé de condition dynamodb:Attributes.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"QueryOnlyProjectedIndexAttributes",
         "Effect":"Allow",
         "Action":[
            "dynamodb:Query"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores/index/TopScoreDateTimeIndex"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:Attributes":[
                  "TopScoreDateTime",
                  "GameTitle",
                  "Wins",
                  "Losses",
                  "Attempts"
               ]
            },
            "StringEquals":{
               "dynamodb:Select":"SPECIFIC_ATTRIBUTES"
            }
         }
      }
   ]
}

La politique d'autorisation suivante est similaire, mais la requête doit demander tous les attributs qui ont été projetés sur l'index.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"QueryAllIndexAttributes",
         "Effect":"Allow",
         "Action":[
            "dynamodb:Query"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores/index/TopScoreDateTimeIndex"
         ],
         "Condition":{
            "StringEquals":{
               "dynamodb:Select":"ALL_PROJECTED_ATTRIBUTES"
            }
         }
      }
   ]
}

5 : accorder les autorisations de limiter l'accès à certains attributs et valeurs de clé de partition

La politique d'autorisation suivante autorise des actions spécifiques de DynamoDB (spécifiées dans l'élément Action) sur une table et un index de table (spécifiés dans l'élément Resource). La politique utilise la clé de condition dynamodb:LeadingKeys pour limiter les autorisations aux seuls éléments dont la valeur de clé de partition correspond à l'ID Facebook de l'utilisateur.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"LimitAccessToCertainAttributesAndKeyValues",
         "Effect":"Allow",
         "Action":[
            "dynamodb:UpdateItem",
            "dynamodb:GetItem",
            "dynamodb:Query",
            "dynamodb:BatchGetItem"
         ],
         "Resource":[
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores",
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores/index/TopScoreDateTimeIndex"
         ],
         "Condition":{
            "ForAllValues:StringEquals":{
               "dynamodb:LeadingKeys":[
                  "${graph.facebook.com:id}"
               ],
               "dynamodb:Attributes":[
                  "attribute-A",
                  "attribute-B"
               ]
            },
            "StringEqualsIfExists":{
               "dynamodb:Select":"SPECIFIC_ATTRIBUTES",
               "dynamodb:ReturnValues":[
                  "NONE",
                  "UPDATED_OLD",
                  "UPDATED_NEW"
               ]
            }
         }
      }
   ]
}

Notez ce qui suit :

Rubriques en relation