Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de cas relatifs SNS au contrôle d'accès Amazon

Cette section décrit quelques exemples de cas d'utilisation standard du contrôle d'accès.

Autoriser Compte AWS l'accès à un sujet

Supposons que vous ayez un sujet sur Amazon SNS et que vous souhaitiez autoriser un ou plusieurs d'entre eux Comptes AWS à effectuer une action spécifique sur ce sujet, par exemple publier des messages. Vous pouvez y parvenir en utilisant l'SNSAPIaction AmazonAddPermission.

L'AddPermissionaction vous permet de spécifier un sujet, une liste de Compte AWS IDs, une liste d'actions et une étiquette. Amazon génère SNS ensuite et ajoute automatiquement une nouvelle déclaration de politique à la politique de contrôle d'accès du sujet. Vous n'avez pas besoin de rédiger vous-même la déclaration de politique, Amazon s'en SNS charge pour vous. Si vous devez supprimer la politique ultérieurement, vous pouvez le faire en appelant RemovePermission et en fournissant l'étiquette que vous avez utilisée lors de l'ajout de l'autorisation.

Par exemple, si vous appelez le AddPermission sujet arn:aws:sns:us-east- 2:444455556666 :, que vous MyTopic spécifiez l'ID Compte AWS 1111-2222-3333, l'action et l'étiquette, Amazon générera et insérera la déclaration de politique suivante dans la Publish politique de contrôle d'accès du sujet : grant-1234-publish SNS

{
  "Statement": [{
    "Sid": "grant-1234-publish",
    "Effect": "Allow",
    "Principal": {
      "AWS": "111122223333"
    },
    "Action": ["sns:Publish"],
    "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic"
  }]
}

Une fois cette déclaration ajoutée, le Compte AWS 1111-2222-3333 sera autorisé à publier des messages sur le sujet.

Informations supplémentaires :

Limiter les abonnements à HTTPS

Pour limiter le protocole d'envoi des notifications pour votre SNS sujet AmazonHTTPS, vous devez créer une politique personnalisée. L'AddPermissionaction dans Amazon SNS ne vous permet pas de spécifier des restrictions de protocole lorsque vous accordez l'accès à votre sujet. Par conséquent, vous devez écrire manuellement une politique qui applique cette restriction, puis utiliser l'SetTopicAttributesaction pour appliquer la politique à votre sujet.

Voici comment créer une politique qui limite les abonnements à HTTPS :

Informations supplémentaires :

Publier des messages dans une SQS file d'attente Amazon

Pour publier des messages de votre SNS sujet Amazon dans une SQS file d'attente Amazon, vous devez configurer les autorisations appropriées sur la SQS file d'attente Amazon. Bien qu'Amazon SNS et Amazon SQS utilisent tous deux le langage AWS de politique de contrôle d'accès, vous devez définir explicitement une politique sur la SQS file d'attente Amazon pour autoriser l'envoi de messages depuis le SNS sujet Amazon.

Vous pouvez y parvenir en utilisant l'SetQueueAttributesaction pour appliquer une politique personnalisée à la SQS file d'attente Amazon. Contrairement à AmazonSNS, Amazon SQS ne soutient pas l'AddPermissionaction visant à créer des déclarations de politique assorties de conditions. Par conséquent, vous devez écrire la politique manuellement.

Voici un exemple de SQS politique Amazon qui SNS autorise Amazon à envoyer des messages à votre file d'attente. Notez que cette politique est associée à la SQS file d'attente Amazon, et non à la SNS rubrique Amazon. Les actions spécifiées sont des SQS actions Amazon, et la ressource est le nom de ressource Amazon (ARN) de la file d'attente. Vous pouvez récupérer les files d'attente ARN en utilisant l'GetQueueAttributesaction.

{
  "Statement": [{
    "Sid": "Allow-SNS-SendMessage",
    "Effect": "Allow",
    "Principal": {
      "Service": "sns.amazonaws.com"
    },
    "Action": ["sqs:SendMessage"],
    "Resource": "arn:aws:sqs:us-east-2:444455556666:MyQueue",
    "Condition": {
      "ArnEquals": {
        "aws:SourceArn": "arn:aws:sns:us-east-2:444455556666:MyTopic"
      }
    }
  }]
}

Cette politique utilise cette aws:SourceArn condition pour restreindre l'accès à la SQS file d'attente en fonction de la source des messages envoyés. Cela garantit que seuls les messages provenant du SNS sujet spécifié (dans ce cas, arn:aws:sns:us-east- 2:444455556666 :) sont autorisés à être envoyés dans la file d'attente. MyTopic

Informations supplémentaires :

Autoriser les notifications d'évènements Amazon S3 à publier dans une rubrique

Pour autoriser un compartiment Amazon S3 d'un autre Compte AWS à publier des notifications d'événements sur votre SNS rubrique Amazon, vous devez configurer la politique d'accès de la rubrique en conséquence. Cela implique de rédiger une politique personnalisée qui accorde l'autorisation au service Amazon S3 à partir du service spécifique, Compte AWS puis d'appliquer cette politique à votre SNS rubrique Amazon.

Voici comment le configurer :

Informations supplémentaires :

Autoriser Amazon SES à publier sur un sujet appartenant à un autre compte

Vous pouvez autoriser une autre Service AWS personne à publier sur une rubrique appartenant à une autre personne Compte AWS. Supposons que vous vous soyez connecté au compte 111122223333, que vous ayez ouvert Amazon et que vous ayez créé un SES e-mail. Pour publier des notifications concernant cet e-mail sur un SNS sujet Amazon appartenant au compte 444455556666, vous devez créer une politique comme celle-ci. Pour ce faire, vous devez fournir des informations sur le principal (l'autre service) et sur la propriété de chaque ressource. Le Resource relevé fournit le sujetARN, qui inclut l'ID de compte du propriétaire du sujet, 444455556666. L'instruction "aws:SourceOwner": "111122223333" spécifie que votre compte est propriétaire de l'e-mail.

{
  "Version": "2008-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__default_statement_ID",
      "Effect": "Allow",
      "Principal": {
        "Service": "ses.amazonaws.com"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
      "Condition": {
        "StringEquals": {
          "aws:SourceOwner": "111122223333"
        }
      }
    }
  ]
}

Lors de la publication d'événements sur AmazonSNS, les services suivants sont pris en charge aws:SourceOwner :

aws:SourceAccount par rapport à aws:SourceOwner

Les clés de aws:SourceOwner condition aws:SourceAccount et sont toutes définies par certains Services AWS lorsqu'ils publient sur un SNS sujet Amazon. Lorsque cette option est prise en charge, la valeur sera l'identifiant de AWS compte à 12 chiffres pour le compte duquel le service publie les données. Certains services prennent en charge l'un et d'autres prennent en charge l'autre.

Autoriser les comptes d'une organisation AWS Organizations à publier sur un sujet dans un autre compte

Le AWS Organizations service vous aide à gérer de manière centralisée la facturation, à contrôler l'accès et la sécurité, et à partager les ressources entre vos Comptes AWS.

Vous pouvez trouver votre ID d'organisation dans la console Organisations. Pour plus d'informations, consultez Affichage des détails d'une organisation à partir du compte de gestion.

Dans cet exemple, n'importe quel membre Compte AWS d'une organisation myOrgId peut publier sur Amazon une SNS rubrique associée MyTopic à son compte444455556666. La politique vérifie la valeur de l'ID de l'organisation à l'aide de la clé de condition globale aws:PrincipalOrgID.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "myOrgId"
                }
            }
        }
    ]
}

Autoriser la publication de n'importe quelle CloudWatch alarme dans un sujet d'un autre compte

Dans ce cas, toutes les CloudWatch alarmes associées au compte 111122223333 peuvent être publiées sur une SNS rubrique Amazon associée au compte444455556666.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cloudwatch:us-east-2:111122223333:alarm:*"
                }
            }
        }
    ]
}

Restreindre la publication à un SNS sujet Amazon uniquement à partir d'un point de VPC terminaison spécifique

Dans ce cas, le sujet du compte 444455556666 est autorisé à être publié uniquement à partir du point de terminaison doté de l'VPCID. vpce-1ab2c34d

{
  "Statement": [{
    "Effect": "Deny",
    "Principal": "*",
    "Action": "SNS:Publish",
    "Resource": "arn:aws:sns:us-east-2:444455556666:MyTopic",
    "Condition": {
      "StringNotEquals": {
        "aws:sourceVpce": "vpce-1ab2c34d"
      }
    }
  }]
}