Comment Amazon GameLift Streams fonctionne avec IAM

Avant d'utiliser IAM pour gérer l'accès à Amazon GameLift Streams, découvrez quelles fonctionnalités IAM peuvent être utilisées avec Amazon GameLift Streams.

Pour obtenir une vue d'ensemble de la façon dont Amazon GameLift Streams et d'autres AWS services fonctionnent avec la plupart des fonctionnalités IAM, consultez la section AWS Services qui fonctionnent avec IAM dans le guide de l'utilisateur IAM.

Identity-based politiques pour Amazon GameLift Streams

Prend en charge les politiques basées sur l’identité : oui

Identity-based les politiques sont des documents de politique d'autorisations JSON que vous pouvez joindre à une identité, telle qu'un utilisateur, un groupe d'utilisateurs ou un rôle IAM. Ces politiques contrôlent quel type d’actions des utilisateurs et des rôles peuvent exécuter, sur quelles ressources et dans quelles conditions. Pour découvrir comment créer une politique basée sur l’identité, consultez Définition d’autorisations IAM personnalisées avec des politiques gérées par le client dans le Guide de l’utilisateur IAM.

Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Pour découvrir tous les éléments que vous utilisez dans une politique JSON, consultez Références des éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

Identity-based exemples de politiques pour Amazon GameLift Streams

Pour consulter des exemples de politiques basées sur l'identité d'Amazon GameLift Streams, consultez. Identity-based exemples de politiques pour Amazon GameLift Streams

Resource-based politiques au sein d'Amazon GameLift Streams

Prend en charge les politiques basées sur les ressources : non

Resource-based les politiques sont des documents de stratégie JSON que vous joignez à une ressource. Par exemple, les politiques de confiance de rôle IAM et les politiques de compartiment Amazon S3 sont des politiques basées sur les ressources. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Pour la ressource dans laquelle se trouve la politique, cette dernière définit quel type d’actions un principal spécifié peut effectuer sur cette ressource et dans quelles conditions. Vous devez spécifier un principal dans une politique basée sur les ressources. Les principaux peuvent inclure des comptes, des utilisateurs, des rôles, des utilisateurs fédérés ou. Services AWS

Pour permettre un accès intercompte, vous pouvez spécifier un compte entier ou des entités IAM dans un autre compte en tant que principal dans une politique basée sur les ressources. Pour plus d’informations, consultez Accès intercompte aux ressources dans IAM dans le Guide de l’utilisateur IAM.

Actions politiques pour Amazon GameLift Streams

Prend en charge les actions de politique : oui

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Action d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.

Les actions de politique dans Amazon GameLift Streams utilisent le préfixe suivant avant l'action :

gameliftstreams

Pour indiquer plusieurs actions dans une seule déclaration, séparez-les par des virgules.

"Action": [
            "gameliftstreams:action1",
            "gameliftstreams:action2"
               ]

Pour consulter des exemples de politiques basées sur l'identité d'Amazon GameLift Streams, consultez. Identity-based exemples de politiques pour Amazon GameLift Streams

Ressources relatives aux politiques pour Amazon GameLift Streams

Prend en charge les ressources de politique : oui

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément de politique JSON Resource indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son Amazon Resource Name (ARN). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (*) afin d’indiquer que l’instruction s’applique à toutes les ressources.

"Resource": "*"

Les ARN des ressources URL de flux utilisent le format suivant :

arn:aws:gameliftstreams:region:account-id:streamurl/streamGroupId/streamUrlId

Un ARN d'URL de flux est imbriqué dans le groupe de flux auquel il appartient, et les ID d'URL de flux utilisent le su- préfixe. Cet ARN identifie l'URL d'un flux dans les réponses, les journaux et les CloudTrail événements de l'API. Amazon GameLift Streams n'utilise pas cet ARN pour les autorisations au niveau des ressources IAM : vous ne pouvez pas utiliser un ARN d'URL de flux dans l'Resourceélément d'une politique visant à accorder ou à refuser l'accès à une URL de flux individuelle. ScopeCreateStreamUrl,GetStreamUrl, et RevokeStreamUrl au niveau du groupe de flux à la place, et utilisez Resource set to "*" forListStreamUrls. Pour obtenir un exemple, consultez Création et gestion d'URL de flux.

Pour consulter des exemples de politiques basées sur l'identité d'Amazon GameLift Streams, consultez. Identity-based exemples de politiques pour Amazon GameLift Streams

Clés de conditions de politique pour Amazon GameLift Streams

Prend en charge les clés de condition de politique spécifiques au service : oui

Les administrateurs peuvent utiliser des politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Condition indique à quel moment les instructions s’exécutent en fonction de critères définis. Vous pouvez créer des expressions conditionnelles qui utilisent des opérateurs de condition, tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande. Pour voir toutes les clés de condition AWS globales, consultez les clés contextuelles de conditions AWS globales dans le guide de l'utilisateur IAM.

Pour consulter des exemples de politiques basées sur l'identité d'Amazon GameLift Streams, consultez. Identity-based exemples de politiques pour Amazon GameLift Streams

Amazon GameLift Streams prend en charge les clés de condition spécifiques au service suivantes :

Vous pouvez utiliser ces clés de condition dans les politiques IAM pour définir des autorisations précises. Par exemple, la politique suivante permet à un directeur de démarrer des sessions de streaming uniquement lorsqu'il utilise un rôle IAM spécifique :

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": "gameliftstreams:StartStreamSession",
    "Resource": "arn:aws:gameliftstreams:*:123456789012:streamgroup/*",
    "Condition": {
      "StringEquals": {
        "gameliftstreams:RoleArn": "arn:aws:iam::123456789012:role/GameLiftStreams-MyApprovedRole"
      }
    }
  }]
}

ACL dans Amazon Streams GameLift

Prend en charge les ACL : non

Les listes de contrôle d’accès (ACL) vérifie quels principaux (membres de compte, utilisateurs ou rôles) ont l’autorisation d’accéder à une ressource. Les listes de contrôle d’accès sont similaires aux politiques basées sur les ressources, bien qu’elles n’utilisent pas le format de document de politique JSON.

ABAC avec Amazon Streams GameLift

Prend en charge ABAC (identifications dans les politiques) : partiellement

Attribute-based le contrôle d'accès (ABAC) est une stratégie d'autorisation qui définit les autorisations en fonction d'attributs appelés balises. Vous pouvez associer des balises aux entités et AWS ressources IAM, puis concevoir des politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à celle de la ressource.

Pour contrôler l’accès basé sur des étiquettes, vous devez fournir les informations d’étiquette dans l’élément de condition d’une politique utilisant les clés de condition aws:ResourceTag/key-name, aws:RequestTag/key-name ou aws:TagKeys.

Si un service prend en charge les trois clés de condition pour tous les types de ressources, alors la valeur pour ce service est Oui. Si un service prend en charge les trois clés de condition pour certains types de ressources uniquement, la valeur est Partielle.

Pour plus d’informations sur ABAC, consultez Définition d’autorisations avec l’autorisation ABAC dans le Guide de l’utilisateur IAM. Pour accéder à un didacticiel décrivant les étapes de configuration de l’ABAC, consultez Utilisation du contrôle d’accès par attributs (ABAC) dans le Guide de l’utilisateur IAM.

Attribute-based le contrôle d'accès (ABAC) s'applique uniquement aux applications et aux groupes de flux. Les URL des flux ne peuvent pas être balisées, vous ne pouvez donc pas utiliser de conditions basées sur des balises pour contrôler l'accès aux actions des URL des flux. Étendez les autorisations d'URL de flux au niveau du groupe de flux, comme indiqué dansCréation et gestion d'URL de flux.

Utilisation d'informations d'identification temporaires avec Amazon GameLift Streams

Prend en charge les informations d’identification temporaires : oui

Les informations d'identification temporaires fournissent un accès de courte durée aux AWS ressources et sont automatiquement créées lorsque vous utilisez la fédération ou que vous changez de rôle. AWS recommande de générer dynamiquement des informations d'identification temporaires au lieu d'utiliser des clés d'accès à long terme. Pour plus d’informations, consultez Informations d’identification de sécurité temporaires dans IAM et Services AWS compatibles avec IAM dans le Guide de l’utilisateur IAM.

Cross-service autorisations principales pour Amazon GameLift Streams

Prend en charge les sessions d’accès direct (FAS) : oui

Les sessions d'accès direct (FAS) utilisent les autorisations du principal appelant et Service AWS, combinées Service AWS à la demande d'envoi de demandes aux services en aval. Pour plus de détails sur la politique relative à la transmission de demandes FAS, consultez la section Sessions de transmission d’accès.

Lors de la création de nouvelles ressources d'application, Amazon GameLift Streams utilise les autorisations du principal appelant pour accéder au compartiment Amazon S3 qui contient les fichiers d'application du client. Amazon GameLift Streams examine également le principal appelant afin de vérifier l'éligibilité à certaines fonctionnalités interrégionales, telles que les groupes de flux multisites.

Rôles de service pour Amazon GameLift Streams

Prend en charge les rôles de service : oui

Un rôle de service est un rôle IAM qu’un service endosse pour accomplir des actions en votre nom. Un administrateur IAM peut créer, modifier et supprimer un rôle de service à partir d’IAM. Pour plus d’informations, consultez Création d’un rôle pour la délégation d’autorisations à un Service AWS dans le Guide de l’utilisateur IAM.

Vous pouvez transmettre un rôle IAM lors du démarrage d'une session de streaming afin de fournir des informations d'identification à votre application. Lorsque vous démarrez une session de streaming avec unRoleArn, Amazon GameLift Streams assume le rôle en utilisant le principal de gameliftstreams.amazonaws.com service et fournit des informations d'identification AWS de courte durée et actualisées automatiquement à votre application.

Pour utiliser cette fonctionnalité :

Le rôle doit être identique à Compte AWS celui du groupe de flux. Amazon GameLift Streams ne prend pas en charge les rôles intercomptes ni les rôles liés à des services.

Pour les instructions de configuration, consultezApport d’informations d’identification AWS à votre application de streaming.

Service-linked rôles pour Amazon GameLift Streams

Prend en charge les rôles liés à un service : non

Un rôle lié à un service est un type de rôle de service lié à un. Service AWS Le service peut assumer le rôle d'effectuer une action en votre nom. Service-linked les rôles apparaissent dans votre compte Compte AWS et appartiennent au service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service.

Pour plus d’informations sur la création ou la gestion des rôles liés à un service, consultez Services AWS qui fonctionnent avec IAM. Recherchez un service dans le tableau qui inclut un Yes dans la colonne des Service-linked rôles. Choisissez le lien Oui pour consulter la documentation du rôle lié à ce service.