AWS kunci konteks kondisi global

Ketika kepala sekolah membuat permintaan ke AWS, AWS mengumpulkan informasi permintaan ke dalam konteks Komponen permintaan permintaan. Anda dapat menggunakan elemen Condition dari kebijakan JSON untuk membandingkan kunci dalam konteks permintaan dengan nilai kunci yang Anda tentukan dalam kebijakan Anda. Informasi permintaan disediakan oleh sumber yang berbeda, termasuk prinsipal yang membuat permintaan, sumber daya yang diminta, dan metadata tentang permintaan itu sendiri.

Kunci kondisi global dapat digunakan di semua AWS layanan. Meskipun kunci kondisi ini dapat digunakan di semua kebijakan, kunci tidak tersedia di setiap konteks permintaan. Misalnya, kunci aws:SourceAccount kondisi hanya tersedia ketika panggilan ke sumber daya Anda dilakukan langsung oleh prinsi AWS pal layanan. Untuk mempelajari lebih lanjut tentang keadaan di mana kunci global disertakan dalam konteks permintaan, lihat Informasi Ketersediaan untuk setiap kunci.

Beberapa layanan individual membuat kunci kondisi mereka sendiri yang tersedia dalam konteks permintaan untuk layanan lain. Cross-service kunci kondisi adalah jenis kunci kondisi global yang menyertakan awalan yang cocok dengan nama layanan, seperti ec2: ataulambda:, tetapi tersedia di layanan lain.

Service-specific kunci kondisi didefinisikan untuk digunakan dengan AWS layanan individual. Misalnya, Amazon S3 memungkinkan Anda menulis kebijakan dengan kunci s3:VersionId kondisi untuk membatasi akses ke versi tertentu dari objek Amazon S3. Kunci kondisi ini unik untuk layanan, artinya hanya berfungsi dengan permintaan ke layanan Amazon S3. Untuk kunci kondisi khusus layanan, lihat Tindakan, Sumber Daya, dan Kunci Kondisi untuk Layanan dan pilih AWS layanan yang kuncinya ingin Anda lihat.

"Condition": {
    "IpAddressIfExists": {"aws:SourceIp" : ["xxx"] },
    "StringEqualsIfExists" : {"aws:SourceVpc" : ["yyy"]} 
}

Kunci kondisi sensitif

Kunci kondisi berikut dianggap sensitif. Penggunaan wildcard dalam kunci kondisi ini tidak memiliki kasus penggunaan yang valid, bahkan dengan substring nilai kunci dengan wildcard. Ini karena wildcard mungkin cocok dengan kunci kondisi dengan nilai apa pun, yang dapat menimbulkan risiko keamanan.

Properti prinsipal

Gunakan kunci kondisi berikut untuk membandingkan detail tentang prinsipal yang membuat permintaan dengan properti utama yang Anda tentukan dalam kebijakan. Untuk daftar kepala sekolah yang dapat membuat permintaan, lihatCara menentukan prinsipal.

aws: PrincipalArn

Gunakan kunci ini untuk membandingkan Amazon Resource Name (ARN) prinsipal yang melakukan permintaan layanan ke layanan dengan ARN yang Anda tentukan dalam kebijakan. Untuk peran IAM, konteks permintaan memberikan ARN peran, bukan ARN pengguna yang mengambil peran tersebut.

Anda dapat menentukan ARN pengguna root sebagai nilai untuk kunci kondisi aws:PrincipalArn dalam kebijakan kontrol AWS Organizations layanan (SCP). SCP adalah jenis kebijakan organisasi yang digunakan untuk mengelola izin di organisasi Anda dan hanya memengaruhi akun anggota di organisasi. SCP membatasi izin untuk pengguna dan peran IAM dalam akun anggota, termasuk pengguna akun anggota. Untuk informasi selengkapnya tentang efek SCP pada izin, lihat Efek SCP pada izin di Panduan AWS Organizations Pengguna.

aws: PrincipalAccount

Gunakan kunci ini untuk membandingkan akun yang memiliki prinsipal yang meminta dengan pengenal akun yang Anda tentukan dalam kebijakan. Untuk permintaan anonim, konteks permintaan kembalianonymous.

Dalam contoh berikut, akses ditolak kecuali untuk kepala sekolah dengan nomor 123456789012 akun.

aws: PrincipalOrgPaths

Gunakan kunci ini untuk membandingkan AWS Organizations jalur untuk kepala sekolah yang membuat permintaan ke jalur dalam kebijakan. Prinsip tersebut dapat berupa pengguna IAM, peran IAM, prinsipal pengguna AWS STS federasi, atau. Pengguna root akun AWS Dalam kebijakan, kunci kondisi ini memastikan pemohon adalah anggota akun dalam akar organisasi atau unit organisasi (OU) yang ditentukan di AWS Organizations. Jal AWS Organizations ur adalah representasi teks dari struktur AWS Organizations entitas. Untuk informasi lebih lanjut tentang cara menggunakan dan memahami jalur, lihat Memahami AWS Organizations jalur entitas.

Misalnya, kondisi berikut dikembalikan true untuk prinsipal di akun yang dilampirkan langsung ke ou-ab12-22222222 OU, tetapi tidak di OU turunannya.

"Condition" : { "ForAnyValue:StringEquals" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"]
}}

Kondisi berikut dikembalikan true untuk prinsipal dalam akun yang dilampirkan langsung ke OU atau OU turunannya. Ketika Anda menyertakan wildcard, Anda harus menggunakan operator kondisi StringLike.

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/*"]
}}

Kondisi berikut dikembalikan true untuk kepala sekolah dalam akun yang dilampirkan langsung ke salah satu OU anak, tetapi tidak langsung ke OU induk. Kondisi sebelumnya ditujukan untuk OU atau turunannya. Kondisi berikut hanya ditujukan untuk turunannya (dan turunan dari turunan tersebut).

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/ou-*"]
}}

Kondisi berikut memungkinkan akses untuk setiap prinsipal dalam organisasi o-a1b2c3d4e5, terlepas dari OU indukannya.

"Condition" : { "ForAnyValue:StringLike" : {
     "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/*"]
}}

aws:PrincipalOrgPaths adalah kunci kondisi multinilai. Kunci multivalue dapat memiliki beberapa nilai dalam konteks permintaan. Saat Anda menggunakan beberapa nilai dengan operator kondisi ForAnyValue, jalur prinsipal harus sesuai dengan salah satu jalur yang tercantum dalam kebijakan. Untuk informasi selengkapnya tentang kunci kondisi multinilai ini, lihat Mengatur operator untuk kunci konteks multinilai.

    "Condition": {
        "ForAnyValue:StringLike": {
            "aws:PrincipalOrgPaths": [
                "o-a1b2c3d4e5/r-ab12/ou-ab12-33333333/*",
                "o-a1b2c3d4e5/r-ab12/ou-ab12-22222222/*"
            ]
        }
    }

aws: PrincipalOrg ID

Gunakan kunci ini untuk membandingkan pengidentifikasi organisasi tempat AWS Organizations kepala sekolah yang meminta berada dengan pengidentifikasi yang ditentukan dalam kebijakan.

Kunci global ini menyediakan alternatif untuk mendaftar semua ID akun untuk semua akun AWS di organisasi. Anda dapat menggunakan tombol kondisi ini untuk menyederhanakan penentuan elemen Principal dalam kebijakan berbasis sumber daya. Anda dapat menentukan ID organisasi dalam elemen kondisi. Saat Anda menambah dan menghapus akun, kebijakan yang mencakup kunci aws:PrincipalOrgID akan secara otomatis menyertakan akun yang benar dan tidak memerlukan pembaruan manual.

Misalnya, kebijakan bucket Amazon S3 berikut memungkinkan anggota akun mana pun di organisasi o-xxxxxxxxxxx untuk menambahkan objek ke dalam bucket amzn-s3-demo-bucket.

Untuk informasi selengkapnya AWS Organizations, lihat Apa itu AWS Organizations? dalam Panduan AWS Organizations Pengguna.

aw:PrincipalTag/kunci tag

Gunakan kunci ini untuk membandingkan tanda yang dilampirkan ke prinsipal yang mengajukan permintaan dengan tanda yang Anda tentukan dalam kebijakan. Jika prinsipal memiliki lebih dari satu tag yang disematkan, konteks permintaan mencakup satu kunci aws:PrincipalTag untuk setiap kunci tag yang disematkan.

Anda dapat menambahkan atribut khusus ke pengguna atau peran dalam bentuk pasangan nilai kunci. Untuk informasi selengkapnya tentang tag IAM, lihat Tag untuk AWS Identity and Access Management sumber daya. Anda dapat menggunakan aws:PrincipalTag untuk mengontrol akses untuk prinsipal AWS .

Contoh ini menunjukkan cara membuat kebijakan berbasis identitas yang memungkinkan pengguna dengan department=hr tag mengelola pengguna, grup, atau peran IAM. Untuk menggunakan kebijakan ini, ganti kebijakan italicized placeholder text dalam contoh dengan informasi Anda sendiri. Lalu, ikuti petunjuk di buat kebijakan atau ubah kebijakan.

aws: PrincipalIsAWSService

Gunakan kunci ini untuk memeriksa apakah panggilan ke sumber daya Anda dilakukan langsung oleh kepala AWS sekolah layanan. Misalnya, AWS CloudTrail menggunakan prinsip layanan cloudtrail.amazonaws.com untuk menulis log ke bucket Amazon S3 Anda. Kunci konteks permintaan diatur ke benar ketika layanan menggunakan prinsipal layanan untuk melakukan tindakan langsung pada sumber daya Anda. Kunci konteks disetel ke false jika layanan menggunakan kredenSIAL dari prinsipal IAM untuk membuat permintaan atas nama kepala sekolah. Ini juga disetel ke false jika layanan menggunakan peran layanan atau peran terkait layanan untuk melakukan panggilan atas nama kepala sekolah.

Anda dapat menggunakan kunci kondisi ini untuk membatasi akses ke identitas tepercaya dan lokasi jaringan yang diharapkan sambil memberikan akses ke AWS layanan dengan aman.

Dalam contoh kebijakan bucket Amazon S3 berikut, akses ke bucket dibatasi kecuali permintaan berasal dari vpc-111bbb22 atau berasal dari prinsipal layanan, seperti CloudTrail.

Dalam video berikut, pelajari selengkapnya tentang cara menggunakan kunci kondisi aws:PrincipalIsAWSService dalam kebijakan.

aws: PrincipalServiceName

Gunakan kunci ini untuk membandingkan nama prinsipal layanan dalam kebijakan dengan prinsipal layanan yang membuat permintaan untuk sumber daya Anda. Anda dapat menggunakan kunci ini untuk memeriksa apakah panggilan ini dibuat oleh prinsipal layanan tertentu. Ketika prinsipal layanan membuat permintaan langsung ke sumber daya Anda,kunci aws:PrincipalServiceNameberisi nama prinsipal layanan. Misalnya, nama utama AWS CloudTrail layanan adalahcloudtrail.amazonaws.com.

Anda dapat menggunakan kunci kondisi ini untuk membatasi akses ke identitas tepercaya dan lokasi jaringan yang diharapkan sambil memberikan akses ke AWS layanan dengan aman.

Dalam contoh kebijakan bucket Amazon S3 berikut, akses ke bucket dibatasi kecuali permintaan berasal dari vpc-111bbb22 atau berasal dari prinsipal layanan, seperti CloudTrail.

aw: PrincipalServiceNamesList

Kunci ini menyediakan daftar semua nama prinsipal layanan yang termasuk dalam layanan. Ini adalah kunci kondisi lanjutan. Anda dapat menggunakannya untuk membatasi layanan dari mengakses sumber daya Anda hanya dari Wilayah tertentu. Beberapa layanan dapat membuat prinsipal layanan Regional untuk menunjukkan instans layanan tertentu dalam Wilayah tertentu. Anda dapat membatasi akses ke sumber daya untuk instans layanan tertentu. Saat prinsipal layanan membuat permintaan langsung ke sumber daya Anda, aws:PrincipalServiceNamesList berisi daftar seluruh nama prinsipal layanan yang tidak diurutkan yang terkait dengan instans Regional layanan.

aws:PrincipalServiceNamesList adalah kunci kondisi multinilai. Kunci multivalue dapat memiliki beberapa nilai dalam konteks permintaan. Anda harus menggunakan operator ForAnyValue atau ForAllValues set dengan operator kondisi string untuk kunci ini. Untuk informasi selengkapnya tentang kunci kondisi multinilai ini, lihat Mengatur operator untuk kunci konteks multinilai.

aw: PrincipalType

Gunakan kunci ini untuk membandingkan tipe prinsipal yang membuat permintaan dengan tipe prinsipal yang Anda sebutkan dalam kebijakan. Untuk informasi selengkapnya, lihat Cara menentukan prinsipal. Untuk contoh spesifik dari nilai-nilai principal kunci, lihatNilai-nilai kunci utama.

aws:userid

Gunakan kunci ini untuk membandingkan pengenal prinsipal pemohon dengan ID yang Anda tentukan dalam kebijakan. Untuk pengguna IAM, nilai konteks permintaan adalah ID pengguna. Untuk peran IAM, format nilai ini dapat bervariasi. Untuk detail tentang bagaimana informasi tersebut muncul untuk prinsipal yang berbeda, lihat Cara menentukan prinsipal. Untuk contoh spesifik dari nilai-nilai principal kunci, lihatNilai-nilai kunci utama.

aws:username

Gunakan kunci ini untuk membandingkan nama pengguna pemohon dengan nama pengguna yang Anda sebutkan dalam kebijakan. Untuk detail tentang bagaimana informasi tersebut muncul untuk prinsipal yang berbeda, lihat Cara menentukan prinsipal. Untuk contoh spesifik dari nilai-nilai principal kunci, lihatNilai-nilai kunci utama.

Properti sesi peran

Gunakan kunci kondisi berikut untuk membandingkan properti sesi peran pada saat sesi dibuat. Kunci kondisi ini hanya tersedia ketika permintaan dibuat oleh kepala sekolah dengan sesi peran atau kredentif utama pengguna federasi. Nilai untuk kunci kondisi ini disematkan dalam token sesi peran.

Peran adalah jenis prinsipal. Anda juga dapat menggunakan kunci kondisi dari Properti prinsipal bagian untuk mengevaluasi properti peran saat peran membuat permintaan.

aw: AssumedRoot

Gunakan kunci ini untuk memeriksa apakah permintaan dibuat menggunakan AssumeRoot. AssumeRootmengembalikan kredentif jangka pendek untuk sesi pengguna root istimewa yang dapat Anda gunakan untuk mengambil tindakan istimewa pada akun anggota di organisasi Anda. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

Dalam contoh berikut, ketika digunakan sebagai kebijakan kontrol layanan, menolak penggunaan kredenSIAL jangka panjang pengguna root di akun AWS Organizations anggota. Kebijakan ini tidak menolak AssumeRoot sesi melakukan tindakan yang diizinkan oleh AssumeRoot sesi.

aw: FederatedProvider

Gunakan kunci ini untuk membandingkan penyedia identitas penerbit (IdP) kepala sekolah dengan IdP yang Anda tentukan dalam kebijakan. Ini berarti bahwa peran IAM diasumsikan menggunakan AssumeRoleWithWebIdentity AWS STS operasi. Ketika kredentif sementara sesi peran yang dihasilkan digunakan untuk membuat permintaan, konteks permintaan mengidentifikasi IdP yang mengautentikasi identitas federasi asli.

* Jenis data tergantung pada IdP Anda:

Untuk informasi lebih lanjut tentang eksternal IdPs danAssumeRoleWithWebIdentity, lihatSkenario umum. Untuk informasi selengkapnya, lihat Prinsip sesi peran.

aw: TokenIssueTime

Gunakan kunci ini untuk membandingkan tanggal dan waktu saat kredensial keamanan sementara dikeluarkan dengan tanggal dan waktu yang Anda tentukan dalam kebijakan.

Untuk mempelajari layanan mana yang mendukung penggunaan kredensial sementara, lihat AWS layanan yang bekerja dengan IAM.

aw: SignInSessionArn

Gunakan tombol ini untuk membandingkan AWS Sign-In OAuth sesi Anda dengan sesi yang Anda tentukan dalam kebijakan.

Saat Anda menggunakan alur OAuth berbasis seperti AWS CLI login (aws login) atau AWS MCP Server, ser AWS Sign-In takan sesi masuk ARN dalam kredensional yang dikeluarkan. AWS Sign-In menyebarkan ARN itu ke permintaan berikutnya yang dibuat menggunakan token OAuth akses. Dengan kunci ini, Anda dapat menghubungkan aktivitas API dengan sesi masuk asal dan menerapkan kebijakan IAM ke sesi individual.

Untuk alur OAuth interaktif, token penyegaran menentukan siklus hidup ARN sesi masuk. Token akses baru yang dikeluarkan selama penyegaran terus membawa sesi masuk yang sama ARN.

Untuk alur non- OAuth interaktif, token akses menentukan siklus hidup ARN sesi masuk. Setiap token akses baru berisi sesi masuk baru ARN.

Gunakan operator ARN alih-alih operator string saat Anda membandingkan ARN.

Kebijakan berikut menolak semua tindakan yang terkait dengan AWS Sign-In sesi tertentu, meskipun permintaan dari sesi aktif lainnya terus berlanjut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenySpecificSignInSession",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "aws:SignInSessionArn": "arn:aws:signin:us-east-1:111122223333:session/session-id"
        }
      }
    }
  ]
}

aw: MultiFactorAuthAge

Gunakan kunci ini untuk membandingkan jumlah detik sejak prinsipal yang meminta diberi kewenangan menggunakan MFA dengan nomor yang Anda sebutkan dalam kebijakan. Untuk informasi selengkapnya tentang MFA, lihat AWS Multi-factor otentikasi di IAM.

aw: MultiFactorAuthPresent

Gunakan kunci ini untuk memeriksa apakah otentikasi multi-faktor (MFA) digunakan untuk memvalidasi kreden tif keamanan sementara yang membuat permintaan.

KredenSIAL sementara digunakan untuk mengotentikasi peran IAM dan pengguna IAM dengan token sementara dari AssumeRole atau GetSessionToken, dan pengguna. Konsol Manajemen AWS

Kunci akses pengguna IAM adalah kredenSIAL jangka panjang, tetapi dalam beberapa kasus, AWS membuat kredenSIAL sementara atas nama pengguna IAM untuk melakukan operasi. Dalam kasus ini, kunci aws:MultiFactorAuthPresent tersedia dalam permintaan dan diatur ke nilai false. Ada dua kasus umum hal ini bisa terjadi:

Untuk mempelajari layanan mana yang mendukung penggunaan kredensial sementara, lihat AWS layanan yang bekerja dengan IAM.

Kunci aws:MultiFactorAuthPresent tidak tersedia ketika perintah API atau CLI disebut kredensial jangka panjang, seperti pasangan access key pengguna. Oleh karena itu, kami merekomendasikan bahwa ketika Anda memeriksa kunci ini, Anda menggunakan versi ...IfExists dari operator kondisi.

Penting untuk dipahami bahwa elemen Condition bukan merupakan suatu cara yang andal untuk memastikan apakah permintaan diautentikasi menggunakan MFA.

#####   WARNING: NOT RECOMMENDED   #####
"Effect" : "Deny",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "false" } }

Kombinasi dari efek Deny, elemen Bool, dan nilai false menolak permintaan yang dapat diautentikasi menggunakan MFA, tetapi tidak. Ini hanya berlaku untuk kredensial sementara yang mendukung penggunaan MFA. Pernyataan ini tidak menolak akses ke permintaan yang dilakukan menggunakan kredensial jangka panjang, atau permintaan yang diautentikasi menggunakan MFA. Gunakan contoh ini dengan hati-hati karena logikanya rumit dan tidak menguji apakah MFA-authentication benar-benar digunakan.

Jangan juga menggunakan kombinasi efek Deny, elemen Null, dan true karena contoh berperilaku dengan cara yang sama dan logikanya bahkan lebih rumit.

Kombinasi yang Direkomendasikan

Kami sarankan Anda menggunakan operator BoolIfExists untuk memastikan permintaan teraotentikasi menggunakan MFA ataukah tidak.

"Effect" : "Deny",
"Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "false" } }

Kombinasi dari Deny, BoolIfExists, dan false menolak permintaan yang tidak diautentikasi menggunakan MFA. Secara khusus, operator ini menolak permintaan dari kredensial sementara yang tidak menyertakan MFA. Ini juga menolak permintaan yang dibuat menggunakan kredenSIAL jangka panjang, seperti AWS CLI atau operasi AWS API yang dibuat menggunakan kunci akses. Operator *IfExists memeriksa keberadaan kunci aws:MultiFactorAuthPresent dan apakah bisa tersedia atau tidak, sebagaimana yang ditunjukkan oleh keberadaannya. Gunakan ini saat Anda ingin menolak permintaan yang tidak diautentikasi menggunakan MFA. Ini lebih aman, tetapi dapat merusak kode atau skrip apa pun yang menggunakan kunci akses untuk mengakses AWS API AWS CLI atau.

Kombinasi Alternatif

Anda juga dapat menggunakan BoolIfExists operator untuk mengizinkan MFA-authenticated permintaan AWS CLI dan/atau permintaan AWS API yang dibuat menggunakan kredenSIAL jangka panjang.

"Effect" : "Allow",
"Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "true" } }

Kondisi ini cocok jika kunci ada dan tersedia atau jika kunci tidak ada. Kombinasi dari Allow, BoolIfExists, dan true mengaktifkan permintaan yang diautentikasi menggunakan MFA, atau permintaan yang tidak dapat diautentikasi menggunakan MFA. Ini berarti bahwa AWS CLI, operasi AWS API, dan AWS SDK diizinkan ketika pemohon menggunakan kunci akses jangka panjangnya. Kombinasi ini tidak memungkinkan permintaan dari kredensial sementara yang bisa, tetapi tidak menyertakan MFA.

Saat Anda membuat kebijakan menggunakan editor visual konsol IAM dan memilih MFA yang diperlukan, kombinasi ini akan diterapkan. Pengaturan ini memerlukan MFA untuk akses konsol, tetapi memungkinkan akses terprogram tanpa MFA.

Atau, Anda dapat menggunakan operator Bool hanya untuk permintaan terprogram dan konsol saat diautentikasi menggunakan MFA.

"Effect" : "Allow",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "true" } }

Kombinasi ini dariAllow,Bool, dan hanya true mengizinkan MFA-authenticated permintaan. Ini hanya berlaku untuk kredensial sementara yang mendukung penggunaan MFA. Pernyataan ini tidak memungkinkan akses ke permintaan yang dilakukan menggunakan access key jangka panjang, atau untuk permintaan yang dilakukan menggunakan kredensial sementara tanpa MFA.

Jangan gunakan susunan kebijakan yang serupa dengan yang berikut ini untuk memastikan adanya kunci MFA atau tidak:

#####   WARNING: USE WITH CAUTION   #####

"Effect" : "Allow",
"Condition" : { "Null" : { "aws:MultiFactorAuthPresent" : "false" } }

Kombinasi dari efek Allow, elemen Null, dan nilai false hanya memungkinkan permintaan yang dapat diautentikasi menggunakan MFA, terlepas dari apakah permintaan tersebut benar-benar diautentikasi. Ini memungkinkan semua permintaan yang dibuat menggunakan kredensial sementara, dan menolak akses untuk kredensial jangka panjang. Gunakan contoh ini dengan hati-hati karena tidak menguji apakah MFA-authentication benar-benar digunakan.

aw: ChatbotSourceArn

Gunakan kunci ini untuk membandingkan konfigurasi obrolan sumber ARN yang ditetapkan oleh prinsipal dengan ARN konfigurasi obrolan yang Anda tentukan dalam kebijakan peran IAM yang terkait dengan konfigurasi saluran Anda. Anda dapat mengotorisasi permintaan berdasarkan sesi peran asumsi yang diprakarsai oleh Amazon Q Developer di aplikasi obrolan.

Kebijakan berikut menolak permintaan menempatkan Amazon S3 pada bucket yang ditentukan untuk semua permintaan yang berasal dari saluran Slack.

aw: Ec2InstanceSourceVpc

Kunci ini mengidentifikasi VPC tempat kredentif peran Amazon EC2 IAM dikirimkan. Anda dapat menggunakan kunci ini dalam kebijakan dengan kunci aws:SourceVPC global untuk memeriksa apakah panggilan dibuat dari VPC (aws:SourceVPC) yang cocok dengan VPC tempat kredensia dikirimkan ke (). aws:Ec2InstanceSourceVpc

Kunci ini dapat digunakan dengan nilai pengenal VPC, tetapi paling berguna ketika digunakan sebagai variabel yang dikombinasikan dengan kunci aws:SourceVpc konteks. K aws:SourceVpc unci konteks disertakan dalam konteks permintaan hanya jika pemohon menggunakan titik akhir VPC untuk membuat permintaan. Menggunakan aws:Ec2InstanceSourceVpc dengan aws:SourceVpc memungkinkan Anda untuk menggunakan aws:Ec2InstanceSourceVpc lebih luas karena membandingkan nilai-nilai yang biasanya berubah bersama.

Dalam contoh di atas, akses ditolak jika aws:SourceVpc nilainya tidak sama dengan aws:Ec2InstanceSourceVpc nilai. Pernyataan kebijakan dibatasi hanya pada peran yang digunakan sebagai peran instans Amazon EC2 dengan menguji keberadaan kunci ec2:SourceInstanceARN kondisi.

Kebijakan ini digunakan aws:ViaAWSService untuk mengiz AWS inkan permintaan otorisasi saat permintaan dibuat atas nama peran instans Amazon EC2 Anda. Misalnya, saat Anda membuat permintaan dari instans Amazon EC2 ke bucket Amazon S3 terenkripsi, Amazon S3 melakukan AWS KMS panggilan atas nama Anda. Beberapa kunci tidak ada saat permintaan dibuat AWS KMS.

aws: Ec2InstanceSourcePrivateIPv4

Kunci ini mengidentifikasi alamat IPv4 pribadi dari antarmuka jaringan elastis utama tempat kredentif peran IAM Amazon EC2 dikirimkan. Anda harus menggunakan kunci kondisi ini dengan kunci pendampingnya aws:Ec2InstanceSourceVpc untuk memastikan bahwa Anda memiliki kombinasi unik global antara ID VPC dan IP pribadi sumber. Gunakan kunci ini aws:Ec2InstanceSourceVpc untuk memastikan bahwa permintaan dibuat dari alamat IP pribadi yang sama dengan yang dikirimkan kredenSIAL.

Contoh berikut adalah kebijakan kontrol layanan (SCP) yang menolak akses ke semua sumber daya kecuali permintaan tiba melalui Titik Akhir VPC di VPC yang sama dengan kredenSIAL peran. Dalam contoh ini, aws:Ec2InstanceSourcePrivateIPv4 membatasi sumber kredensi ke instance tertentu berdasarkan IP sumber.

aws: SourceIdentity

Gunakan kunci ini untuk membandingkan identitas sumber yang ditetapkan oleh prinsipal dengan identitas sumber yang Anda tentukan dalam kebijakan.

Anda dapat menggunakan kunci ini dalam kebijakan untuk mengizinkan tindakan AWS oleh prinsipal yang telah menetapkan identitas sumber saat mengambil peran. Aktivitas untuk identitas sumber yang ditentukan peran muncul diAWS CloudTrail. Ini memudahkan administrator untuk menentukan siapa atau apa yang melakukan tindakan dengan peran AWS.

Tidak seperti sts:RoleSessionName, setelah identitas sumber diatur, nilai tidak dapat diubah. Ini terdapat dalam konteks permintaan untuk semua tindakan yang diambil oleh peran. Nilai tetap ada dalam sesi peran berikutnya saat Anda menggunakan kredenal sesi untuk mengasumsikan peran lain. Mengasumsikan satu peran dari peran lain disebut rantai peran.

K sts:SourceIdentity unci hadir dalam permintaan ketika prinsipal awalnya menetapkan identitas sumber sambil mengambil peran menggunakan perintah asumsi- AWS STS role CLI, atau AWS STS AssumeRole operasi API. Kunci aws:SourceIdentity tersedia dalam permintaan untuk tindakan apa pun yang diambil dengan sesi peran yang menetapkan identitas sumber.

Kebijakan kepercayaan peran berikut untuk CriticalRole dalam akun 111122223333 berisi kondisi untuk aws:SourceIdentity yang mencegah prinsipal tanpa identitas sumber yang diatur ke Saanvi atau Diego dari mengasumsikan peran.

Untuk informasi selengkapnya tentang menggunakan informasi identitas sumber, lihat Memantau dan mengontrol tindakan yang diambil dengan peran yang diasumsikan.

ec2: RoleDelivery

Gunakan kunci ini untuk membandingkan versi layanan metadata instans dalam permintaan yang ditandatangani dengan kredentif peran IAM untuk Amazon EC2. Layanan metadata instans membedakan antara permintaan IMDSv1 dan IMDSv2 berdasarkan apakah, untuk permintaan tertentu, baik itu header PUT atau, GET yang unik untuk IMDSv2, ada dalam permintaan itu.

Anda dapat mengonfigurasi Layanan Metadata Instans (IMDS) pada setiap instans yang mengharuskan kode atau pengguna lokal untuk menggunakan IMDSv2. Saat Anda menentukan bahwa IMDSv2 harus digunakan, maka IMDSv1 tidak lagi berfungsi.

Untuk informasi tentang cara mengonfigurasi instance Anda untuk menggunakan IMDSv2, lihat Meng onfigurasi opsi metadata instans.

Dalam contoh berikut, akses ditolak jika RoleDelivery nilai ec2: dalam konteks permintaan adalah 1.0 (IMDSv1). Pernyataan kebijakan ini dapat diterapkan secara umum karena, jika permintaan tidak ditandatangani oleh kredentif peran Amazon EC2, itu tidak berpengaruh.

Untuk informasi selengkapnya, lihat Contoh kebijakan untuk bekerja dengan metadata instans.

ec2: SourceInstanceArn

Gunakan kunci ini untuk membandingkan ARN dari instance dari mana sesi peran dihasilkan.

Untuk contoh kebijakan, lihat Men gizinkan instance tertentu untuk melihat sumber daya di AWS layanan lain.

lem: RoleAssumedBy

AWS Glue Layanan menetapkan kunci kondisi ini untuk setiap permintaan AWS API di mana AWS Glue membuat permintaan menggunakan peran layanan atas nama pelanggan (bukan oleh pekerjaan atau titik akhir pengembang, tetapi langsung oleh AWS Glue layanan). Gunakan kunci ini untuk memverifikasi apakah panggilan ke AWS sumber daya berasal dari AWS Glue layanan.

Contoh berikut menambahkan kondisi untuk memungkinkan AWS Glue layanan mendapatkan objek dari bucket Amazon S3.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "StringEquals": {
            "glue:RoleAssumedBy": "glue.amazonaws.com"
        }
    }
}

lem: CredentialIssuingService

AWS Glue Layanan menetapkan kunci ini untuk setiap permintaan AWS API menggunakan peran layanan yang berasal dari pekerjaan atau titik akhir pengembang. Gunakan kunci ini untuk memverifikasi apakah panggilan ke AWS sumber daya berasal dari AWS Glue pekerjaan atau titik akhir pengembang.

Contoh berikut menambahkan kondisi yang dilampirkan ke peran IAM yang digunakan oleh AWS Glue pekerjaan. Ini memastikan tindakan tertentu allowed/denied didasarkan pada apakah sesi peran digunakan untuk lingkungan runtime AWS Glue pekerjaan.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "StringEquals": {
            "glue:CredentialIssuingService": "glue.amazonaws.com"
        }
    }
}

pembuatan kode: BuildArn

Kunci ini mengidentifikasi CodeBuild build ARN tempat kredentif peran IAM dikirimkan. Gunakan kunci ini untuk memverifikasi apakah panggilan ke AWS sumber daya berasal dari CodeBuild build tertentu.

Contoh berikut memungkinkan CodeBuild build tertentu untuk memiliki s3:GetObject akses ke bucket yang ditentukan.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "ArnLike": {
            "codebuild:BuildArn": "arn:aws:codebuild:us-east-1:123456789012:build/MyBuildProject:*"
        }
    }
}

pembuatan kode: ProjectArn

Kunci ini mengidentifikasi CodeBuild proyek ARN yang kredenSIAL peran IAM dikirimkan ke CodeBuild build. Gunakan kunci ini untuk memverifikasi apakah panggilan ke AWS sumber daya berasal dari CodeBuild proyek tertentu.

Contoh berikut memungkinkan setiap build dari CodeBuild proyek tertentu untuk memiliki s3:GetObject akses ke bucket yang ditentukan.

{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
    "Condition": {
        "ArnEquals": {
            "codebuild:ProjectArn": "arn:aws:codebuild:us-east-1:123456789012:project/MyBuildProject"
        }
    }
}

Lambda: SourceFunctionArn

Gunakan kunci ini untuk mengidentifikasi fungsi Lambda ARN tempat kredentif peran IAM dikirimkan. Layanan Lambda menetapkan kunci ini untuk setiap permintaan AWS API yang berasal dari lingkungan eksekusi fungsi Anda. Gunakan kunci ini untuk memverifikasi apakah panggilan ke AWS sumber daya berasal dari kode fungsi Lambda tertentu. Lambda juga menetapkan kunci ini untuk beberapa permintaan yang datang dari luar lingkungan eksekusi, seperti menulis log ke CloudWatch dan mengirim jejak ke X-Ray.

Contoh berikut memungkinkan satu fungsi Lambda tertentu untuk memiliki s3:PutObject akses bucket yang ditentukan.

Untuk informasi selengkapnya, lihat Bek erja dengan kredentif lingkungan eksekusi Lambda di Panduan Peng AWS Lambda embang.

SSM: SourceInstanceArn

Gunakan kunci ini untuk mengidentifikasi ARN inst AWS Systems Manager ans terkelola tempat kredentif peran IAM dikirimkan. Kunci kondisi ini tidak ada saat permintaan berasal dari instans terkelola dengan peran IAM yang terkait dengan profil instans Amazon EC2.

toko identitas: UserId

Gunakan kunci ini untuk membandingkan identitas tenaga kerja Pusat Identitas IAM dalam permintaan yang ditandatangani dengan identitas yang ditentukan dalam kebijakan.

Anda dapat menemukan pengguna di Pusat Identitas IAM dengan membuat permintaan ke GetUserId API menggunakan AWS CLI, AWS API, atau AWS SDK. UserId

Properti jaringan

Gunakan kunci kondisi berikut untuk membandingkan detail tentang jaringan tempat permintaan berasal atau dilewati dengan properti jaringan yang Anda tentukan dalam kebijakan.

aws: SourceIp

Gunakan kunci ini untuk membandingkan alamat IP pemohon dengan alamat IP yang Anda tentukan dalam kebijakan. Kunci kondisi aws:SourceIp hanya dapat digunakan untuk rentang alamat IP publik.

Kunci kondisi aws:SourceIp dapat digunakan dalam kebijakan yang memungkinkan prinsipal hanya membuat permintaan dari rentang IP yang ditetapkan.

Misalnya, Anda dapat melampirkan kebijakan berbasis identitas berikut ke peran IAM. Kebijakan ini memungkinkan pengguna untuk memasukkan objek ke dalam bucket amzn-s3-demo-bucket3 Amazon S3 jika mereka melakukan panggilan dari rentang alamat IPv4 yang ditentukan. Kebijakan ini juga mengiz AWS inkan layanan yang menggunakan Teruskan sesi akses untuk melakukan operasi ini atas nama Anda.

Jika Anda perlu membatasi akses dari jaringan yang mendukung pengalamatan IPv4 dan IPv6, Anda dapat menyertakan alamat IPv4 dan IPv6 atau rentang alamat IP dalam kondisi kebijakan IAM. Kebijakan berbasis identitas berikut akan memungkinkan pengguna untuk memasukkan objek ke dalam bucket amzn-s3-demo-bucket3 Amazon S3 jika pengguna melakukan panggilan dari rentang alamat IPv4 atau IPv6 yang ditentukan. Sebelum menyertakan rentang alamat IPv6 dalam kebijakan IAM, verifikasi bahwa alamat yang Layanan AWS Anda gunakan mendukung IPv6. Untuk daftar Layanan AWS dukungan IPv6, lihat Layanan AWS yang mendukung IPv6 di Panduan Pengguna Amazon VPC.

Jika permintaan berasal dari host yang menggunakan titik akhir VPC Amazon, maka kunci aws:SourceIp tidak tersedia. Sebagai gantinya, Anda harus menggunakan VPC-specific kunci seperti aws: VpcSourceIp. Untuk informasi selengkapnya tentang menggunakan titik akhir VPC, lihat Identitas dan manajemen akses untuk titik akhir VPC dan layanan titik akhir VPC di Panduan. AWS PrivateLink

aws: SourceVpc

Gunakan kunci ini untuk memeriksa apakah permintaan berjalan melalui VPC tempat titik akhir VPC dilampirkan. Dalam kebijakan, Anda dapat menggunakan kunci ini untuk memungkinkan akses hanya ke VPC tertentu. Untuk informasi selengkapnya, lihat Membatasi Akses ke VPC Tertentu di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Dalam kebijakan, Anda dapat menggunakan kunci ini untuk mengizinkan atau membatasi akses ke VPC tertentu.

Misalnya, Anda dapat melampirkan kebijakan berbasis identitas berikut ke peran IAM untuk ditolak PutObject ke bucket amzn-s3-demo-bucket3 Amazon S3, kecuali permintaan dibuat dari ID VPC Layanan AWS yang ditentukan atau menggunakan sesi akses maju (FAS) untuk membuat permintaan atas nama peran tersebut. Tidak seperti denganaws: SourceIp, Anda harus menggunakan aws:ViaAWSService atau aws: CalledVia mengizinkan permintaan FAS, karena VPC sumber dari permintaan awal tidak dipertahankan.

aws: SourceVpcArn

Gunakan kunci ini untuk memverifikasi ARN VPC yang melaluinya permintaan dibuat melalui titik akhir VPC. Kunci ini mengembalikan ARN VPC tempat titik akhir VPC dilampirkan.

Berikut ini adalah contoh kebijakan bucket yang menolak akses ke amzn-s3-demo-bucket dan objeknya dari mana saja di luar VPCvpc-1a2b3c4d.

{
   "Version":"2012-10-17",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPC-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket",
                    "arn:aws:s3:::amzn-s3-demo-bucket/*"],
       "Condition": {
         "ArnNotEquals": {
           "aws:SourceVpcArn": "arn:aws:ec2:us-east-1:*:vpc/vpc-1a2b3c4d"
         }
       }
     }
   ]
}

aws: SourceVpce

Gunakan kunci ini untuk membandingkan pengidentifikasi VPC endpoint dari permintaan dengan ID titik akhir yang Anda sebutkan dalam kebijakan.

Dalam kebijakan, Anda dapat menggunakan kunci ini untuk membatasi akses ke VPC endpoint tertentu. Untuk informasi selengkapnya, lihat Membatasi akses ke VPC tertentu di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon. Sama seperti menggunakanaws: SourceVpc, Anda harus menggunakan aws:ViaAWSService atau mengi aws: CalledVia zinkan permintaan yang dibuat dengan Layanan AWS menggunakan sesi akses maju (FAS). Ini karena titik akhir VPC sumber dari permintaan awal tidak dipertahankan.

aws: VpceAccount

Gunakan kunci ini untuk membandingkan ID AWS akun yang memiliki titik akhir VPC tempat permintaan dibuat dengan ID akun yang Anda tentukan dalam kebijakan. Kunci kondisi ini membantu Anda menetapkan kontrol perimeter jaringan dengan memastikan permintaan datang melalui titik akhir VPC yang dimiliki oleh akun tertentu.

Anda dapat menggunakan kunci kondisi ini untuk membatasi akses ke sumber daya sehingga permintaan harus datang melalui titik akhir VPC yang dimiliki oleh akun Anda. Contoh kebijakan bucket Amazon S3 berikut memungkinkan akses saat permintaan datang melalui titik akhir VPC yang dimiliki oleh akun tertentu:

Beberapa AWS layanan mengakses sumber daya Anda dari jaringan mereka ketika mereka bertindak atas nama Anda. Jika Anda menggunakan layanan tersebut, Anda perlu mengedit contoh kebijakan di atas untuk mengizinkan AWS layanan mengakses sumber daya Anda dari luar jaringan Anda. Untuk informasi selengkapnya tentang pola akses yang perlu diperhitungkan saat menerapkan kontrol akses berdasarkan asal permintaan, lihatTetapkan pagar pembatas izin dengan menggunakan perimeter data.

aws: VpceOrg ID

Gunakan kunci ini untuk membandingkan pengidentifikasi organisasi AWS Organizations yang memiliki titik akhir VPC tempat permintaan dibuat dengan pengidentifikasi yang Anda tentukan dalam kebijakan. Kunci kondisi ini menyediakan pendekatan yang paling dapat diskalakan untuk kontrol perimeter jaringan, secara otomatis menyertakan semua titik akhir VPC yang dimiliki oleh akun dalam organisasi Anda.

Contoh kebijakan kontrol sumber daya berikut menolak akses ke Amazon S3 dan AWS Key Management Service sumber daya kecuali permintaan datang melalui titik akhir VPC yang dimiliki oleh organisasi tertentu atau dari jaringan AWS layanan yang bertindak atas nama Anda. Beberapa organisasi mungkin perlu mengedit kebijakan ini lebih lanjut untuk memenuhi kebutuhan organisasi mereka, misalnya, mengizinkan akses mitra pihak ketiga. Untuk informasi selengkapnya tentang pola akses yang perlu diperhitungkan saat menerapkan kontrol akses berdasarkan asal permintaan, lihatTetapkan pagar pembatas izin dengan menggunakan perimeter data.

aws: VpceOrgPaths

Gunakan kunci ini untuk membandingkan AWS Organizations jalur titik akhir VPC tempat permintaan dibuat dengan jalur yang Anda tentukan dalam kebijakan. Kunci kondisi ini memungkinkan Anda untuk mengimplementasikan kontrol perimeter jaringan di tingkat unit organisasi (OU), secara otomatis menskalakan dengan penggunaan titik akhir VPC Anda saat Anda menambahkan titik akhir baru dalam OU yang ditentukan.

Karena aws:VpceOrgPaths merupakan kunci kondisi multinilai, Anda harus menggunakan operator ForAnyValue atau ForAllValues set dengan operator kondisi string untuk kunci ini. Contoh kebijakan bucket Amazon S3 berikut mengizinkan akses hanya ketika permintaan datang melalui titik akhir VPC yang dimiliki oleh akun di unit organisasi tertentu:

Beberapa AWS layanan mengakses sumber daya Anda dari jaringan mereka ketika mereka bertindak atas nama Anda. Jika Anda menggunakan layanan tersebut, Anda perlu mengedit contoh kebijakan di atas untuk mengizinkan AWS layanan mengakses sumber daya Anda dari luar jaringan Anda. Untuk informasi selengkapnya tentang pola akses yang perlu diperhitungkan saat menerapkan kontrol akses berdasarkan asal permintaan, lihatTetapkan pagar pembatas izin dengan menggunakan perimeter data.

aws: VpcSourceIp

Gunakan kunci ini untuk membandingkan alamat IP tempat permintaan dibuat dengan alamat IP yang Anda tentukan dalam kebijakan. Dalam kebijakan, kunci hanya cocok jika permintaan berasal dari alamat IP yang ditentukan dan melalui titik akhir VPC.

Untuk informasi selengkapnya, lihat Mengontrol akses ke titik akhir VPC menggunakan kebijakan titik akhir di Panduan Pengguna Amazon VPC. Sama seperti menggunakanaws: SourceVpc, Anda harus menggunakan aws:ViaAWSService atau mengi aws: CalledVia zinkan permintaan yang dibuat dengan Layanan AWS menggunakan sesi akses maju (FAS). Ini karena IP sumber dari permintaan awal yang dibuat menggunakan titik akhir VPC tidak dipertahankan dalam permintaan FAS.

Properti dari sumber daya

Gunakan kunci kondisi berikut untuk membandingkan detail tentang sumber daya yang menjadi target permintaan dengan properti sumber daya yang Anda tentukan dalam kebijakan.

aws: ResourceAccount

Gunakan kunci ini untuk membandingkan Akun AWS ID pemilik sumber daya yang diminta dengan akun sumber daya dalam kebijakan. Anda kemudian dapat mengizinkan atau menolak akses ke sumber daya tersebut berdasarkan akun yang memiliki sumber daya tersebut.

Kunci ini sama dengan Akun AWS ID untuk akun dengan sumber daya yang dievaluasi dalam permintaan.

Untuk sebagian besar sumber daya di akun Anda, ARN berisi ID akun pemilik untuk sumber daya tersebut. Untuk sumber daya tertentu, seperti bucket Amazon S3, ARN sumber daya tidak menyertakan ID akun. Dua contoh berikut menunjukkan perbedaan antara sumber daya dengan ID akun di ARN, dan Amazon S3 ARN tanpa ID akun:

Gunakan AWS konsol, atau API, atau CLI, untuk menemukan semua sumber daya Anda dan ARN yang sesuai.

Anda menulis kebijakan yang menolak izin ke sumber daya berdasarkan ID akun pemilik sumber daya. Misalnya, kebijakan berbasis identitas berikut menolak akses ke sumber daya yang ditentukan jika sumber daya bukan milik akun yang ditentukan.

Untuk menggunakan kebijakan ini, ganti teks plac eholder miring dengan informasi akun Anda.

Kebijakan ini menolak akses ke semua sumber daya untuk AWS layanan tertentu kecuali yang ditentukan Akun AWS memiliki sumber daya tersebut.

AWS Layanan tertentu, seperti AWS Data Exchange, bergantung pada akses ke sumber daya di luar Anda Akun AWS untuk operasi normal. Jika Anda menggunakan elemen aws:ResourceAccount dalam kebijakan, sertakan pernyataan tambahan untuk membuat pengecualian untuk layanan tersebut. Kebijakan contoh AWS: Tolak akses ke sumber daya Amazon S3 di luar akun Anda kecuali AWS Data Exchange menunjukkan cara menolak akses berdasarkan akun sumber daya sambil mendefinisikan pengecualian untuk sumber daya milik layanan.

Gunakan contoh kebijakan ini sebagai templat untuk membuat kebijakan kustom Anda sendiri. Lihat dokumentasi layanan Anda untuk informasi selengkapnya.

aws: ResourceOrgPaths

Gunakan kunci ini untuk membandingkan AWS Organizations jalur sumber daya yang diakses dengan jalur dalam kebijakan. Dalam kebijakan, kunci kondisi ini memastikan bahwa sumber daya milik anggota akun dalam root organisasi atau unit organisasi (OU) yang ditentukan di AWS Organizations. Jal AWS Organizations ur adalah representasi teks dari struktur entitas Organisasi. Untuk informasi selengkapnya tentang menggunakan dan memahami jalur, lihat Memahami AWS Organizations jalur entitas

aws:ResourceOrgPaths adalah kunci kondisi multinilai. Kunci multivalue dapat memiliki beberapa nilai dalam konteks permintaan. Anda harus menggunakan operator ForAnyValue atau ForAllValues set dengan operator kondisi string untuk kunci ini. Untuk informasi selengkapnya tentang kunci kondisi multinilai ini, lihat Mengatur operator untuk kunci konteks multinilai.

Misalnya, kondisi berikut dikembalikan True untuk sumber daya milik organisasio-a1b2c3d4e5. Ketika Anda menyertakan wildcard, Anda harus menggunakan operator kondisi StringLike.

"Condition": { 
      "ForAnyValue:StringLike": {
             "aws:ResourceOrgPaths":["o-a1b2c3d4e5/*"]
   }
}

Kondisi berikut dikembalikan True untuk sumber daya dengan ID OUou-ab12-11111111. Ini akan mencocokkan sumber daya yang dimiliki oleh akun yang dilampirkan ke OU ou-ab12-11111111 atau OU anak mana pun.

"Condition": { "ForAnyValue:StringLike" : {
     "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/*"]
}}

Kondisi berikut dikembalikan True untuk sumber daya yang dimiliki oleh akun yang dilampirkan langsung ke ID OUou-ab12-22222222, tetapi bukan OU turunan. Contoh berikut menggunakan operator StringEquals kondisi untuk menentukan persyaratan kecocokan yang tepat untuk ID OU dan bukan kecocokan wildcard.

"Condition": { "ForAnyValue:StringEquals" : {
     "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"]
}}

AWS Layanan tertentu, seperti AWS Data Exchange, bergantung pada akses ke sumber daya di luar Anda Akun AWS untuk operasi normal. Jika Anda menggunakan aws:ResourceOrgPaths kunci dalam kebijakan Anda, sertakan pernyataan tambahan untuk membuat pengecualian untuk layanan tersebut. Kebijakan contoh AWS: Tolak akses ke sumber daya Amazon S3 di luar akun Anda kecuali AWS Data Exchange menunjukkan cara menolak akses berdasarkan akun sumber daya sambil mendefinisikan pengecualian untuk sumber daya milik layanan. Anda dapat membuat kebijakan serupa untuk membatasi akses ke sumber daya dalam unit organisasi (OU) menggunakan aws:ResourceOrgPaths kunci, sambil memperhitungkan sumber daya milik layanan.

Gunakan contoh kebijakan ini sebagai templat untuk membuat kebijakan kustom Anda sendiri. Lihat dokumentasi layanan Anda untuk informasi selengkapnya.

aws: ResourceOrg ID

Gunakan kunci ini untuk membandingkan pengidentifikasi organisasi tempat AWS Organizations sumber daya yang diminta berada dengan pengidentifikasi yang ditentukan dalam kebijakan.

Kunci global ini mengembalikan ID organisasi sumber daya untuk permintaan yang diberikan. Ini memungkinkan Anda untuk membuat aturan yang berlaku untuk semua sumber daya dalam organisasi yang ditentukan dalam Resource elemen kebijakan berbasis identitas. Anda dapat menentukan ID organisasi dalam elemen kondisi. Saat Anda menambahkan dan menghapus akun, kebijakan yang menyertakan aws:ResourceOrgID kunci secara otomatis menyertakan akun yang benar dan Anda tidak perlu memperbaruinya secara manual.

Misalnya, kebijakan berikut mencegah prinsipal menambahkan objek ke policy-genius-dev sumber daya kecuali sumber daya Amazon S3 milik organisasi yang sama dengan kepala sekolah yang membuat permintaan.

AWS Layanan tertentu, seperti AWS Data Exchange, bergantung pada akses ke sumber daya di luar Anda Akun AWS untuk operasi normal. Jika Anda menggunakan aws:ResourceOrgID kunci dalam kebijakan Anda, sertakan pernyataan tambahan untuk membuat pengecualian untuk layanan tersebut. Kebijakan contoh AWS: Tolak akses ke sumber daya Amazon S3 di luar akun Anda kecuali AWS Data Exchange menunjukkan cara menolak akses berdasarkan akun sumber daya sambil mendefinisikan pengecualian untuk sumber daya milik layanan. Anda dapat membuat kebijakan serupa untuk membatasi akses ke sumber daya dalam organisasi Anda menggunakan aws:ResourceOrgID kunci, sambil memperhitungkan sumber daya milik layanan.

Gunakan contoh kebijakan ini sebagai templat untuk membuat kebijakan kustom Anda sendiri. Lihat dokumentasi layanan Anda untuk informasi selengkapnya.

Dalam video berikut, pelajari selengkapnya tentang cara menggunakan kunci kondisi aws:ResourceOrgID dalam kebijakan.

aw:ResourceTag/kunci tag

Gunakan kunci ini untuk membandingkan pasangan kunci-nilai tag yang Anda tentukan dalam kebijakan dengan pasangan kunci-nilai yang dilampirkan ke sumber daya. Misalnya, Anda dapat meminta agar akses ke sumber daya hanya diperbolehkan jika sumber daya memiliki kunci tanda yang dilampirkan "Dept" dengan nilai "Marketing". Untuk informasi selengkapnya, lihat Mengontrol akses ke AWS sumber daya.

Kunci konteks ini diformat "aws:ResourceTag/tag-key":"tag-value" di mana tag-key dan tag-value merupakan kunci tag dan pasangan nilai. Kunci tag tidak peka huruf besar/kecil. Ini berarti jika Anda menentukan "aws:ResourceTag/TagKey1": "Value1" dalam elemen ketentuan kebijakan Anda, kemudian ketentuan tersebut cocok dengan kunci tanda sumber daya bernama TagKey1 atau tagkey1, tetapi tidak keduanya. Nilai dalam key/value pasangan tag ini peka huruf besar/kecil. Ini berarti bahwa jika Anda menentukan "aws:ResourceTag/TagKey1": "Production" dalam elemen kondisi kebijakan, kondisi tersebut cocok dengan nilai tag sumber daya yang diberi nama Production tetapi tidak akan cocok dengan production atauPRODUCTION.

Untuk contoh penggunaan aws:ResourceTag kunci untuk mengontrol akses ke sumber daya IAM, lihatMengontrol akses ke AWS sumber daya.

Untuk contoh penggunaan aws:ResourceTag kunci untuk mengontrol akses ke AWS sumber daya lain, lihatMengontrol akses ke AWS sumber daya menggunakan tag.

Untuk tutorial tentang menggunakan kunci kondisi aws:ResourceTag untuk kontrol akses berbasis atribut (ABAC), lihat Tutorial IAM: Tentukan izin untuk mengakses AWS sumber daya berdasarkan tag.

Properti permintaan

Gunakan kunci kondisi berikut untuk membandingkan detail tentang permintaan itu sendiri dan isi permintaan dengan properti permintaan yang Anda tentukan dalam kebijakan.

aws: CalledVia

Gunakan kunci ini untuk membandingkan layanan dalam kebijakan, layanan yang membuat permintaan atas nama prinsipal IAM (pengguna atau peran). Ketika kepala sekolah membuat permintaan ke AWS layanan, layanan itu mungkin menggunakan kredenSIAL kepala sekolah untuk membuat permintaan selanjutnya ke layanan lain. Ketika permintaan dibuat menggunakan sesi akses maju (FAS), kunci ini diatur dengan nilai prinsipal layanan. Kunci aws:CalledVia berisi daftar yang dipesan dari setiap layanan dalam rantai yang membuat permintaan atas nama utama.

Untuk informasi selengkapnya, lihat Teruskan sesi akses.

Untuk menggunakan kunci aws:CalledVia kondisi dalam kebijakan, Anda harus menyediakan prinsipal layanan untuk mengizinkan atau menolak permintaan AWS layanan. Misalnya, Anda dapat menggunakan AWS CloudFormation untuk membaca dan menulis dari tabel Amazon DynamoDB. DynamoDB kemudian menggunakan enkripsi yang disediakan oleh AWS Key Management Service ()AWS KMS.

Untuk memungkinkan atau menolak akses ketika setiap layanan membuat permintaan dengan menggunakan kredensial prinsipal, gunakan kunci kondisi aws:ViaAWSService. Kunci kondisi itu mendukung AWS layanan.

Kunci aws:CalledVia adalah tombol multinilai. Namun, Anda tidak dapat menerapkan perintah menggunakan kunci ini dalam suatu kondisi. Menggunakan contoh di atas, Pengguna 1 membuat permintaan ke CloudFormation, yang memanggil DynamoDB, yang memanggil. AWS KMS Ini adalah tiga permintaan terpisah. Panggilan terakhir AWS KMS dilakukan oleh Pengguna 1 melalui CloudFormation dan kemudian DynamoDB.

Dalam kasus ini, kunci aws:CalledVia dalam konteks permintaan mencakup cloudformation.amazonaws.com dan dynamodb.amazonaws.com, dalam urutan tersebut. Jika Anda hanya peduli bahwa panggilan dilakukan melalui DynamoDB di suatu tempat dalam rantai permintaan, Anda dapat menggunakan kunci kondisi ini dalam kebijakan Anda.

Misalnya, kebijakan berikut memungkinkan pengelolaan AWS KMS kunci bernamamy-example-key, tetapi hanya jika DynamoDB adalah salah satu layanan yang meminta. Operator ForAnyValue:StringEquals kondisi memastikan bahwa DynamoDB adalah salah satu layanan panggilan. Jika prinsipal langsung memanggil AWS KMS , kondisi akan memberikan false dan permintaan tersebut tidak diizinkan oleh kebijakan ini.

Jika Anda ingin memberlakukan layanan mana yang membuat panggilan pertama atau terakhir dalam rantai, Anda dapat menggunakan kunci aws:CalledViaFirst dan aws:CalledViaLast. Misalnya, kebijakan berikut memungkinkan pengelolaan kunci yang disebutkan my-example-key di AWS KMS. AWS KMS Operasi ini hanya diperbolehkan jika beberapa permintaan disertakan dalam rantai. Permintaan pertama harus dibuat melalui CloudFormation dan terakhir melalui DynamoDB. Jika layanan lain membuat permintaan di tengah rantai, operasi masih diizinkan.

Kunci aws:CalledViaFirst dan aws:CalledViaLast tersedia dalam permintaan saat layanan menggunakan kredensial prisipal IAM untuk menghubungi layanan lain. Mereka menunjukkan layanan pertama dan terakhir yang melakukan panggilan dalam rantai permintaan. Misalnya, asumsikan bahwa CloudFormation memanggil layanan lain bernamaX Service, yang memanggil DynamoDB, yang kemudian memanggil. AWS KMS Panggilan terakhir AWS KMS dilakukan oleh User 1 via CloudFormation, thenX Service, dan kemudian DynamoDB. Ini pertama kali dipanggil melalui CloudFormation dan terakhir dipanggil melalui DynamoDB.

aws: CalledViaFirst

Gunakan kunci ini untuk membandingkan layanan dalam kebijakan dengan layanan pertama yang mengajukan permintaan atas nama prinsipal IAM (pengguna atau peran). Untuk informasi selengkapnya, lihat aws:CalledVia.

aw: CalledViaLast

Gunakan kunci ini untuk membandingkan layanan dalam kebijakan dengan layanan terakhir yang mengajukan permintaan atas nama prinsipal IAM (pengguna atau peran). Untuk informasi selengkapnya, lihat aws:CalledVia.

aws:ViaAWSService

Gunakan kunci ini untuk memeriksa apakah seseorang Layanan AWS membuat permintaan ke layanan lain atas nama Anda menggunakan sesi akses maju (FAS).

Kunci konteks permintaan kembali true ketika layanan menggunakan sesi akses maju untuk membuat permintaan atas nama prinsipal IAM asli. Kunci konteks permintaan juga memberikan false saat prisipal langsung memanggil.

aws: CalledVia AWSMCP

Gunakan kunci ini untuk membandingkan layanan dalam kebijakan dengan layanan AWS MCP yang membuat permintaan atas nama prinsipal IAM (pengguna atau peran). Ketika kepala sekolah membuat permintaan ke layanan AWS MCP, layanan tersebut menggunakan kredenSIAL kepala sekolah untuk membuat permintaan selanjutnya ke layanan lain. Ketika permintaan dibuat menggunakan layanan AWS MCP, kunci ini diatur dengan nilai prinsipal layanan. K aws:CalledViaAWSMCP unci berisi nama prinsipal layanan dari layanan MCP yang membuat permintaan atas nama kepala sekolah.

Anda dapat menggunakan kunci kondisi ini untuk mengizinkan atau menolak akses berdasarkan server MCP tertentu yang memulai permintaan. Misalnya, kebijakan berikut menolak operasi penghapusan sensitif saat diprakarsai melalui server MCP tertentu:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenySensitiveActionsViaSpecificMCP",
            "Effect": "Deny",
            "Action": [
                "s3:DeleteBucket",
                "s3:DeleteObject",
                "dynamodb:DeleteTable"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaAWSMCP": "aws-mcp.amazonaws.com"
                }
            }
        }
    ]
}

AWS:melalui AWSMCPService

Gunakan kunci ini untuk memeriksa apakah layanan AWS MCP membuat permintaan ke AWS layanan lain atas nama Anda menggunakan sesi akses maju (FAS). Kunci konteks permintaan kembali true ketika layanan AWS MCP meneruskan permintaan ke AWS layanan atas nama prinsipal IAM asli. Kunci konteks permintaan juga memberikan false saat prisipal langsung memanggil.

Anda dapat menggunakan kunci ini untuk membatasi tindakan tertentu ketika mereka datang melalui server MCP. Misalnya, kebijakan berikut menolak operasi penghapusan sensitif saat dimulai melalui server AWS MCP apa pun:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenySensitiveActionsViaMCP",
            "Effect": "Deny",
            "Action": [
                "s3:DeleteBucket",
                "s3:DeleteObject",
                "dynamodb:DeleteTable"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "aws:ViaAWSMCPService": "true"
                }
            }
        }
    ]
}

aw: CurrentTime

Gunakan kunci ini untuk membandingkan tanggal dan waktu permintaan dengan tanggal dan waktu yang Anda sebutkan dalam kebijakan. Untuk melihat contoh kebijakan yang menggunakan kunci kondisi ini, lihat AWS: Mengizinkan akses berdasarkan tanggal dan waktu.

aw: EpochTime

Gunakan kunci ini untuk membandingkan tanggal dan waktu permintaan dalam epoch atau waktu Unix dengan nilai yang Anda tentukan dalam kebijakan. Kunci ini juga menerima jumlah detik sejak 1 Januari 1970.

aws:referer

Gunakan kunci ini untuk membandingkan siapa yang mereferensikan permintaan di browser klien denga perujuk yang Anda tentukan dalam kebijakan. Nilai konteks permintaan aws:referer diberikan oleh penelepon dalam header HTTP. Header Referer disertakan dalam permintaan browser web saat Anda memilih tautan di halaman web. Header Referer berisi URL halaman web tempat tautan dipilih.

Misalnya, Anda dapat mengakses objek Amazon S3 secara langsung menggunakan URL atau menggunakan invokasi API langsung. Untuk informasi lebih lanjut, lihat Operasi API Amazon S3 secara langsung menggunakan browser web. Saat Anda mengakses objek Amazon S3 dari URL yang ada di halaman web, URL halaman web sumber digunakan diaws:referer. Saat Anda mengakses objek Amazon S3 dengan mengetikkan URL ke browser Anda, tidak aws:referer ada. Saat Anda meminta API secara langsung, aws:referer juga tidak ada. Anda dapat menggunakan kunci kondisi aws:referer dalam kebijakan untuk memungkinkan permintaan yang dibuat dari perujuk spesifik, seperti tautan di halaman web dalam domain perusahaan Anda.

aw: RequestedRegion

Gunakan kunci ini untuk membandingkan AWS Wilayah yang dipanggil dalam permintaan dengan Wilayah yang Anda tentukan dalam kebijakan. Anda dapat menggunakan kunci kondisi global ini untuk mengontrol Wilayah mana yang dapat diminta. Untuk melihat Wil AWS ayah untuk setiap layanan, lihat T itik akhir layanan dan kuota di Referensi Umum Amazon Web Services.

Beberapa layanan global, seperti IAM, memiliki satu titik akhir. Karena titik akhir ini berada secara fisik di Wilayah Timur AS (N. Virginia), panggilan IAM selalu dilakukan ke Wilayah us-east-1. Misalnya, jika Anda membuat kebijakan yang menolak akses ke semua layanan jika Wilayah yang diminta bukan wilayah us-west-2, maka panggilan IAM selalu gagal. Untuk melihat contoh cara bekerja di sekitar ini, lihat NotAction dengan Penolakan.

Anda dapat menggunakan kunci konteks ini untuk membatasi akses ke AWS layanan dalam kumpulan Wilayah tertentu. Misalnya, kebijakan berikut memungkinkan pengguna untuk melihat semua instans Amazon EC2 di Konsol Manajemen AWS. Namun, hal ini hanya memungkinkan mereka untuk membuat perubahan pada instans di Irlandia (eu-west-1), London (eu-west-2), atau Paris (eu-west-3).

aw:RequestTag/kunci tag

Gunakan kunci ini untuk membandingkan pasangan nilai kunci tanda yang diteruskan dalam permintaan dengan pasangan tanda yang Anda sebutkan dalam kebijakan. Misalnya, Anda dapat memeriksa apakah permintaan tersebut menyertakan kunci tanda "Dept" dan memiliki nilai "Accounting". Untuk informasi selengkapnya, lihat Mengontrol akses selama AWS permintaan.

Kunci konteks ini diformat "aws:RequestTag/tag-key":"tag-value" di mana tag-key dan tag-value merupakan kunci tag dan pasangan nilai. Kunci tag tidak peka huruf besar/kecil. Ini berarti bahwa jika Anda menentukan "aws:RequestTag/TagKey1": "Value1" dalam elemen kondisi kebijakan, kondisi tersebut cocok dengan kunci tag permintaan bernama salah satu TagKey1 atautagkey1, tetapi tidak keduanya. Nilai dalam key/value pasangan tag ini peka huruf besar/kecil. Ini berarti bahwa jika Anda menentukan "aws:RequestTag/TagKey1": "Production" dalam elemen kondisi kebijakan, kondisi tersebut cocok dengan nilai tag permintaan yang diberi nama Production tetapi tidak akan cocok dengan production atauPRODUCTION.

Contoh ini menunjukkan bahwa meskipun kunci bernilai tunggal, Anda masih dapat menggunakan beberapa pasangan kunci-nilai dalam permintaan jika kuncinya berbeda.

aw: TagKeys

Gunakan kunci ini untuk membandingkan kunci tanda dalam permintaan dengan kunci yang Anda sebutkan dalam kebijakan. Sebaiknya jika Anda menggunakan kebijakan untuk mengontrol akses menggunakan tag, gunakan kunci aws:TagKeys kondisi untuk menentukan kunci tag apa yang diizinkan. Untuk contoh kebijakan dan informasi selengkapnya, lihat Mengontrol akses berdasarkan kunci tanda.

Kunci konteks ini diformat "aws:TagKeys":"tag-key" di mana tag-key adalah daftar kunci tag tanpa nilai (misalnya,["Dept","Cost-Center"]).

Karena Anda dapat memasukkan beberapa pasangan nilai kunci tanda dalam permintaan, konten permintaan dapat berupa permintaan multinilai. Dalam hal ini, Anda harus menggunakan operator kumpulan ForAllValues atau ForAnyValue. Untuk informasi selengkapnya, lihat Mengatur operator untuk kunci konteks multinilai.

Beberapa layanan mendukung penandaan dengan operasi sumber daya, seperti membuat, mengubah, atau menghapus sumber daya. Untuk memungkinkan penandaan dan operasi sebagai satu panggilan, Anda harus membuat kebijakan yang mencakup tindakan penandaan dan tindakan pemodifikasian sumber daya. Kemudian, Anda dapat menggunakan kunci kondisi aws:TagKeys untuk menerapkan penggunaan kunci tanda tertentu dalam permintaan. Misalnya, untuk membatasi tag saat seseorang membuat snapshot Amazon EC2 Anda harus menyertakan ec2:CreateSnapshot tindakan pembuatan dan ec2:CreateTags menandai tindakan di dalam kebijakan. Untuk melihat kebijakan untuk skenario yang digunakan iniaws:TagKeys, lihat Membuat Snapshot dengan Tag di Panduan Pengguna Amazon EC2.

aw: SecureTransport

Gunakan kunci ini untuk memeriksa apakah permintaan dikirim menggunakan TLS. Konteks permintaan mengembalikan true atau false. Dalam kebijakan, Anda dapat mengizinkan tindakan tertentu hanya jika permintaan dikirim menggunakan TLS.

aw: SourceAccount

Gunakan kunci ini untuk membandingkan ID akun sumber daya yang membuat permintaan layanan-ke-layanan dengan ID akun yang Anda tentukan dalam kebijakan, tetapi hanya jika permintaan dibuat oleh prinsipal layanan. AWS

Anda dapat menggunakan kunci kondisi ini untuk membantu memastikan bahwa layanan panggilan dapat mengakses sumber daya Anda hanya jika permintaan berasal dari akun tertentu. Misalnya, Anda dapat melampirkan kebijakan kontrol sumber daya (RCP) berikut untuk menolak permintaan oleh prinsipal layanan terhadap bucket Amazon S3, kecuali permintaan tersebut dipicu oleh sumber daya di akun yang ditentukan. Kebijakan ini menerapkan kontrol hanya pada permintaan oleh prinsipal layanan ("Bool": {"aws:PrincipalIsAWSService": "true"}) yang memiliki aws:SourceAccount kunci present ("Null": {"aws:SourceAccount": "false"}), sehingga integrasi layanan yang tidak memerlukan penggunaan kunci ini dan panggilan oleh prinsipal Anda tidak terpengaruh. Jika aws:SourceAccount kunci hadir dalam konteks permintaan, Null kondisi akan dievaluasi ketrue, menyebabkan aws:SourceAccount kunci ditegakkan.

Dalam kebijakan berbasis sumber daya di mana prinsipal adalah prinsi Layanan AWS pal, gunakan kunci untuk membatasi izin yang diberikan kepada layanan. Misalnya, ketika bucket Amazon S3 dikonfigurasi untuk mengirim notifikasi ke topik Amazon SNS, layanan Amazon S3 memanggil operasi sns:Publish API untuk semua peristiwa yang dikonfigurasi. Dalam kebijakan topik yang memungkinkan sns:Publish operasi, tetapkan nilai kunci kondisi ke ID akun bucket Amazon S3.

aw: SourceArn

Gunakan kunci ini untuk membandingkan Nama Sumber Daya Amazon (ARN) dari sumber daya yang membuat permintaan layanan-ke-layanan dengan ARN yang Anda tentukan dalam kebijakan, tetapi hanya jika permintaan dibuat oleh prinsipal layanan. AWS Ketika ARN sumber menyertakan ID akun, itu tidak perlu digunakan aws:SourceAccount denganaws:SourceArn.

Kunci ini tidak bekerja dengan ARN dari prinsipal yang membuat permintaan. Sebaliknya, gunakan aws: PrincipalArn.

Anda dapat menggunakan kunci kondisi ini untuk membantu memastikan bahwa layanan panggilan dapat mengakses sumber daya Anda hanya jika permintaan berasal dari sumber daya tertentu. Saat menggunakan kebijakan berbasis sumber daya dengan prinsip Layanan AWS sebagaiPrincipal, tetapkan nilai kunci kondisi ini ke ARN sumber daya yang ingin Anda batasi aksesnya. Misalnya, ketika bucket Amazon S3 dikonfigurasi untuk mengirim notifikasi ke topik Amazon SNS, layanan Amazon S3 memanggil operasi sns:Publish API untuk semua peristiwa yang dikonfigurasi. Dalam kebijakan topik yang memungkinkan sns:Publish operasi, tetapkan nilai kunci kondisi ke ARN bucket Amazon S3. Untuk rekomendasi tentang kapan menggunakan kunci kondisi ini dalam kebijakan berbasis sumber daya, lihat dokumentasi untuk yang Layanan AWS Anda gunakan.

aws: SourceOrg ID

Gunakan kunci ini untuk membandingkan ID https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_details.html organisasi sumber daya yang membuat permintaan layanan-ke-layanan dengan ID organisasi yang Anda tentukan dalam kebijakan, tetapi hanya jika permintaan dibuat oleh prinsipal layanan. AWS Saat Anda menambahkan dan menghapus akun ke organisasi di AWS Organizations, kebijakan yang menyertakan aws:SourceOrgID kunci secara otomatis menyertakan akun yang benar dan Anda tidak perlu memperbarui kebijakan secara manual.

Anda dapat menggunakan kunci kondisi ini untuk membantu memastikan bahwa layanan panggilan dapat mengakses sumber daya Anda hanya jika permintaan berasal dari organisasi tertentu. Misalnya, Anda dapat melampirkan kebijakan kontrol sumber daya (RCP) berikut untuk menolak permintaan oleh prinsipal layanan terhadap bucket Amazon S3, kecuali permintaan tersebut dipicu oleh sumber daya di organisasi yang ditentukan AWS . Kebijakan ini menerapkan kontrol hanya pada permintaan oleh prinsipal layanan ("Bool": {"aws:PrincipalIsAWSService": "true"}) yang memiliki aws:SourceAccount kunci present ("Null": {"aws:SourceAccount": "false"}), sehingga integrasi layanan yang tidak memerlukan penggunaan kunci dan panggilan oleh prinsipal Anda tidak terpengaruh. Jika aws:SourceAccount kunci hadir dalam konteks permintaan, Null kondisi akan dievaluasi ketrue, menyebabkan aws:SourceOrgID kunci ditegakkan. Kami menggunakan aws:SourceOrgID al aws:SourceAccount ih-alih operator Null kondisi sehingga kontrol tetap berlaku jika permintaan berasal dari akun yang bukan milik organisasi.

aw: SourceOrgPaths

Gunakan kunci ini untuk membandingkan AWS Organizations jalur sumber daya yang membuat permintaan layanan-ke-layanan dengan jalur organisasi yang Anda tentukan dalam kebijakan, tetapi hanya jika permintaan dibuat oleh prinsipal layanan. AWS Jal AWS Organizations ur adalah representasi teks dari struktur AWS Organizations entitas. Untuk informasi selengkapnya tentang menggunakan dan memahami jalur, lihat Memahami jalur AWS Organizations entitas.

Gunakan kunci kondisi ini untuk membantu memastikan bahwa layanan panggilan dapat mengakses sumber daya Anda hanya jika permintaan berasal dari unit organisasi tertentu (OU) di AWS Organizations.

Demikian pulaaws:SourceOrgID, untuk membantu mencegah dampak pada integrasi layanan yang tidak memerlukan penggunaan kunci ini, gunakan operator Null aws:SourceAccount kondisi dengan kunci kondisi sehingga kontrol tetap berlaku jika permintaan berasal dari akun yang bukan milik organisasi.

{
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
            "aws:SourceOrgPaths": "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"
        },
        "Null": {
          "aws:SourceAccount": "false"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        }
      }
}

aws:SourceOrgPaths adalah kunci kondisi multinilai. Kunci multivalue dapat memiliki beberapa nilai dalam konteks permintaan. Anda harus menggunakan operator ForAnyValue atau ForAllValues set dengan operator kondisi string untuk kunci ini. Untuk informasi selengkapnya tentang kunci kondisi multinilai ini, lihat Mengatur operator untuk kunci konteks multinilai.

aw: UserAgent

Gunakan kunci ini untuk membandingkan aplikasi klien pemohon dan aplikasi yang Anda tentukan dalam kebijakan.

aw: IsMcpServiceAction

Gunakan kunci ini untuk memverifikasi bahwa tindakan yang diotorisasi adalah tindakan Layanan MCP. Kunci ini tidak mengacu pada tindakan yang diambil oleh layanan MCP ke AWS layanan lain.

Kunci kondisi lintas layanan lainnya

AWS STS mendukung kunci kondisi SAML-based federasi dan kunci kondisi lintas layanan untuk federasi OIDC. Kunci ini tersedia ketika pengguna yang digabungkan menggunakan OIDC atau SAML melakukan AWS operasi di layanan lain.