Exemples de politiques basées sur des clés conditionnelles pour AWS Proton

L'exemple de IAM politique suivant refuse l'accès aux AWS Proton actions correspondant aux modèles spécifiés dans le Condition bloc. Notez que ces clés de condition ne sont prises en charge que par les actions répertoriées dans Actions, ressources et clés de condition pour AWS Proton. Pour gérer les autorisations relatives à d'autres actions, par exempleDeleteEnvironmentTemplate, vous devez utiliser le contrôle d'accès au niveau des ressources.

Exemple de politique qui refuse les actions d'un AWS Proton modèle sur un modèle spécifique :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": ["proton:*"],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:EnvironmentTemplate": ["arn:aws:proton:region_id:123456789012:environment-template/my-environment-template"]
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": ["proton:*"],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": ["arn:aws:proton:region_id:123456789012:service-template/my-service-template"]
                }
            }
        }
    ]
}

Dans l'exemple de politique suivant, la première instruction au niveau des ressources refuse l'accès aux actions du AWS Proton modèle autres que celles ListServiceTemplates qui correspondent au modèle de service répertorié dans le Resource bloc. La deuxième déclaration refuse l'accès aux AWS Proton actions correspondant au modèle répertorié dans le Condition bloc.

Exemple de politique refusant AWS Proton les actions correspondant à un modèle spécifique :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "proton:*"
            ],
            "Resource": "arn:aws:region_id:123456789012:service-template/my-service-template"
        },
        {
            "Effect": "Deny",
            "Action": [
                "proton:*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": [
                        "arn:aws:proton:region_id:123456789012:service-template/my-service-template"
                    ]
                }
            }
        }
    ]
}

Le dernier exemple de politique autorise AWS Proton les actions du développeur qui correspondent au modèle de service spécifique répertorié dans le Condition bloc.

Exemple de politique permettant aux AWS Proton développeurs d'effectuer des actions correspondant à un modèle spécifique :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "proton:ListServiceTemplates",
                "proton:ListServiceTemplateVersions",
                "proton:ListServices",
                "proton:ListServiceInstances",
                "proton:ListEnvironments",
                "proton:GetServiceTemplate",
                "proton:GetServiceTemplateVersion",
                "proton:GetService",
                "proton:GetServiceInstance",
                "proton:GetEnvironment",
                "proton:CreateService",
                "proton:UpdateService",
                "proton:UpdateServiceInstance",
                "proton:UpdateServicePipeline",
                "proton:DeleteService",
                "codestar-connections:ListConnections"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": "arn:aws:proton:region_id:123456789012:service-template/my-service-template"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "codestar-connections:PassConnection"
            ],
            "Resource": "arn:aws:codestar-connections:*:*:connection/*",
            "Condition": {
                "StringEquals": {
                    "codestar-connections:PassedToService": "proton.amazonaws.com"
                }
            }
        }

    ]
}