IAM dan AWS STS kunci konteks kondisi

Bekerja IT Operator ARN .

Menentukan ARN sumber daya yang akan dihubungkan dengan peran ini di layanan tujuan. Sumber daya biasanya dimiliki oleh layanan yang perannya diteruskan oleh prinsipal. Terkadang, sumber daya mungkin dimiliki oleh layanan ketiga. Sebagai contoh, Anda mungkin meneruskan peran ke Amazon EC2 Auto Scaling yang mereka gunakan di instans Amazon EC2. Dalam kasus ini, kondisi akan cocok dengan ARN dari instans Amazon EC2.

Kunci kondisi ini hanya berlaku untuk tindakan PassRole di dalam kebijakan. Kondisi ini tidak dapat digunakan untuk membatasi tindakan lainnya.

Gunakan kunci kondisi ini dalam kebijakan berbasis identitas untuk mengizinkan entitas meneruskan peran, tetapi hanya jika peran tersebut dikaitkan dengan sumber daya yang ditentukan. Misalnya, Anda dapat mengizinkan pengguna atau peran IAM untuk meneruskan peran apa pun ke layanan Amazon EC2 untuk digunakan dengan instans di. Akun AWS Pengguna atau peran IAM tidak akan diizinkan untuk meneruskan peran ke layanan lain.

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "iam:PassedToService": "ec2.amazonaws.com"
        },
        "ArnLike": {
            "iam:AssociatedResourceARN": [
                "arn:aws:ec2:*:111122223333:instance/*"
            ]
        }
    }
}

Bekerja dengan operator string.

Menentukan AWS layanan yang dilampirkan peran ini.

Kunci kondisi ini didukung oleh operasi CreateServiceLinkedRole API.

Dalam contoh ini, Anda mengizinkan entitas untuk membuat peran terkait layanan menggunakan operasi CreateServiceLinkedRole API jika nama layanannya access-analyzer.amazonaws.com.

Bekerja dengan operator string.

Memeriksa tingkat sertifikasi FIDO perangkat MFA pada saat pendaftaran kunci keamanan FIDO. Sertifikasi perangkat diambil dari FIDO Alliance Metadata Service (MDS). Jika status sertifikasi atau tingkat kunci keamanan FIDO Anda berubah, itu tidak akan diperbarui kecuali perangkat tidak terdaftar dan terdaftar lagi untuk mengambil informasi sertifikasi yang diperbarui.

Nilai yang mungkin dari L1, L1plus, L2, L2plus, L3, L3plus

Dalam contoh ini, Anda mendaftarkan kunci keamanan dan mengambil sertifikasi FIDO Level 1 plus untuk perangkat Anda.

Bekerja dengan operator string.

Memeriksa tingkat sertifikasi FIPS-140-2 validasi perangkat MFA pada saat pendaftaran kunci keamanan FIDO. Sertifikasi perangkat diambil dari FIDO Alliance Metadata Service (MDS). Jika status sertifikasi atau tingkat kunci keamanan FIDO Anda berubah, itu tidak akan diperbarui kecuali perangkat tidak terdaftar dan terdaftar lagi untuk mengambil informasi sertifikasi yang diperbarui.

Nilai yang mungkin dari L1, L2, L3, L4

Dalam contoh ini, Anda mendaftarkan kunci keamanan dan mengambil sertifikasi FIPS-140-2 Level 2 untuk perangkat Anda.

Bekerja dengan operator string.

Memeriksa tingkat sertifikasi FIPS-140-3 validasi perangkat MFA pada saat pendaftaran kunci keamanan FIDO. Sertifikasi perangkat diambil dari FIDO Alliance Metadata Service (MDS). Jika status sertifikasi atau tingkat kunci keamanan FIDO Anda berubah, itu tidak akan diperbarui kecuali perangkat tidak terdaftar dan terdaftar lagi untuk mengambil informasi sertifikasi yang diperbarui.

Nilai yang mungkin dari L1, L2, L3, L4

Dalam contoh ini, Anda mendaftarkan kunci keamanan dan mengambil sertifikasi FIPS-140-3 Level 3 untuk perangkat Anda.

Bekerja dengan operator string.

Memeriksa apakah kebijakan dengan AWS Organizations ID yang ditentukan cocok dengan kebijakan yang digunakan dalam permintaan. Untuk melihat contoh kebijakan IAM yang menggunakan kunci kondisi ini, lihat IAM: Lihat informasi layanan yang terakhir diakses untuk kebijakan AWS Organizations.

Bekerja dengan operator string.

Menentukan prinsipal layanan untuk peran yang dapat diteruskan. Kunci kondisi ini hanya berlaku untuk tindakan PassRole di dalam kebijakan. Kondisi ini tidak dapat digunakan untuk membatasi tindakan lainnya.

Saat Anda menggunakan kunci kondisi ini dalam suatu kebijakan, tentukan layanan menggunakan prinsipal layanan. Prinsipal layanan adalah nama layanan yang dapat ditentukan dalam elemen Principal dari suatu kebijakan. Ini adalah format biasa: SERVICE_NAME_URL.amazonaws.com.

Anda dapat menggunakan iam:PassedToService untuk membatasi pengguna Anda sehingga mereka dapat meneruskan peran ke layanan tertentu. Misalnya, pengguna dapat membuat peran layanan yang mempercayai CloudWatch untuk menulis data log ke bucket Amazon S3 atas nama mereka. Kemudian pengguna harus memberlakukan kebijakan izin dan kebijakan kepercayaan pada peran layanan baru. Dalam hal ini, kebijakan kepercayaan harus menyebutkan cloudwatch.amazonaws.com dalam elemen Principal. Untuk melihat kebijakan yang memungkinkan pengguna meneruskan peran CloudWatch, lihatIAM: Lulus peran IAM ke layanan tertentu AWS.

Dengan menggunakan kunci kondisi ini, Anda dapat memastikan bahwa pengguna membuat peran layanan hanya untuk layanan yang Anda tentukan. Misalnya, jika pengguna dengan kebijakan sebelumnya mencoba membuat peran layanan untuk Amazon EC2, operasi akan gagal. Kegagalan terjadi karena pengguna tidak memiliki izin untuk meneruskan peran ke Amazon EC2.

Kadang-kadang Anda meneruskan peran ke layanan yang kemudian memberikan peran ke layanan lain. iam:PassedToService hanya mencakup layanan akhir yang mengasumsikan peran, bukan layanan perantara yang meneruskan peran.

Bekerja IT Operator ARN .

Memastikan bahwa kebijakan yang ditentukan diberlakukan sebagai batas izin pada sumber daya utama IAM. Untuk informasi selengkapnya, lihat Batas izin untuk entitas IAM

Bekerja IT Operator ARN .

Memeriksa Amazon Resource Name (ARN) dari kebijakan terkelola dengan permintaan yang melibatkan kebijakan terkelola. Untuk informasi selengkapnya, lihat Mengendalikan akses ke kebijakan.

Bekerja dengan operator string.

Memeriksa status pengaktifan perangkat MFA saat ini.

Nilai yang mungkin dari Create atauActivate.

Dalam contoh ini, Anda mendaftarkan kunci keamanan dan mengambil sertifikasi FIPS-140-3 Level 1 untuk perangkat Anda.

Bekerja dengan operator string.

Memeriksa apakah tanda yang dilampirkan ke sumber daya identitas (pengguna atau peran) cocok dengan nama dan nilai kunci yang ditentukan.

Anda dapat menambahkan atribut khusus ke sumber daya IAM dalam bentuk pasangan kunci-nilai. Untuk informasi selengkapnya tentang tag untuk sumber daya IAM, lihatTag untuk AWS Identity and Access Management sumber daya. Anda dapat menggunakan ResourceTag untuk mengontrol akses ke AWS sumber daya, termasuk sumber daya IAM. Namun, karena IAM tidak mendukung tag untuk grup, Anda tidak dapat menggunakan tag untuk mengontrol akses ke grup.

Contoh ini menunjukkan bagaimana Anda dapat membuat kebijakan berbasis identitas yang memungkinkan menghapus pengguna dengan tag. status=terminated Untuk menggunakan kebijakan ini, ganti kebijakan italicized placeholder text dalam contoh dengan informasi Anda sendiri. Lalu, ikuti petunjuk di buat kebijakan atau edit kebijakan.

Bekerja dengan operator numerik.

Kunci kondisi ini membatasi pembuatan kredenSIAL khusus layanan berdasarkan pengaturan kedaluwarsanya. Ini memungkinkan Anda untuk mengontrol usia maksimum, dalam hari, dari kredenSIAL khusus layanan yang dapat dibuat.

Rentang yang berlaku untuk hari adalah 1 hingga 36600 (minimal 1 hari, maksimum 36600 hari).

Kunci kondisi ini didukung oleh operasi CreateServiceSpecificCredential API.

Dalam contoh ini, Anda mengizinkan pengguna membuat kredenSIAL khusus layanan untuk layanan Amazon Bedrock hanya jika kredensialnya kedaluwarsa dalam 90 hari.

Bekerja dengan operator string.

Menentukan AWS layanan mana yang dapat digunakan saat mengelola kredenSIAL khusus layanan. Kunci kondisi ini memungkinkan Anda membatasi AWS layanan mana yang diizinkan saat mengelola kredenSIAL khusus layanan.

Kunci kondisi ini didukung oleh operasi API berikut:

Layanan berikut didukung untuk kredenSIAL khusus layanan dengan pemformatan nilai yang tepat:

Dalam contoh ini, Anda mengizinkan pengguna membuat kredentif khusus layanan menggunakan operasi CreateServiceSpecificCredential API hanya untuk layanan Amazon Bedrock.

Bekerja dengan operator numerik.

Memfilter akses berdasarkan durasi akses sementara yang diminta dalam permintaan delegasi.

Penyedia produk dapat menggunakan kunci kondisi ini untuk mengontrol durasi maksimum yang mereka izinkan dalam permintaan delegasi yang dikirim ke pelanggan. Durasi ditentukan dalam detik dan menentukan berapa lama kredenSIAL sementara tetap valid setelah pelanggan melepaskan token pertukaran. Ini membantu penyedia produk menegakkan kebijakan internal seputar batas durasi akses berdasarkan kasus penggunaan mereka.

Kunci kondisi ini didukung oleh operasi CreateDelegationRequest API.

Dalam contoh ini, Anda mengizinkan pembuatan permintaan delegasi hanya jika durasi yang diminta adalah 7200 detik (2 jam) atau kurang.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "NumericLessThanEquals": {
                    "iam:DelegationDuration": "7200"
                }
            }
        }
    ]
}

Bekerja IT Operator ARN .

Memfilter akses berdasarkan topik Amazon SNS ARN yang ditentukan untuk menerima pemberitahuan permintaan delegasi.

Penyedia produk dapat menggunakan kunci kondisi ini untuk membatasi topik SNS mana yang dapat digunakan untuk pemberitahuan permintaan delegasi dalam panggilan CreateDelegationRequest API. Penyedia produk harus menentukan topik SNS untuk menerima pemberitahuan perubahan status dan token pertukaran. Ini memastikan bahwa notifikasi dikirim hanya ke saluran yang disetujui dalam organisasi penyedia produk.

Kunci kondisi ini didukung oleh operasi CreateDelegationRequest API.

Dalam contoh ini, Anda mengizinkan pembuatan permintaan delegasi hanya jika mereka menggunakan topik SNS tertentu untuk pemberitahuan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "iam:NotificationChannel": "arn:aws:sns:us-east-1:123456789012:delegation-notifications"
                }
            }
        }
    ]
}

Bekerja IT Operator ARN .

Memfilter akses berdasarkan template kebijakan ARN yang digunakan untuk menentukan izin dalam permintaan delegasi.

Penyedia produk dapat menggunakan kunci kondisi ini untuk mengontrol templat kebijakan mana yang dapat digunakan dalam panggilan CreateDelegationRequest API. Templat kebijakan menentukan izin sementara yang diminta penyedia produk di akun pelanggan. Hal ini memungkinkan penyedia produk membatasi templat kebijakan terdaftar mana yang dapat digunakan saat membuat permintaan delegasi.

Kunci kondisi ini didukung oleh operasi CreateDelegationRequest API.

Dalam contoh ini, Anda mengizinkan pembuatan permintaan delegasi hanya jika mereka menggunakan templat kebijakan dari domain mitra tertentu.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "iam:TemplateArn": "arn:aws:iam::*:delegation-template/partner_*"
                }
            }
        }
    ]
}

Bekerja IT Operator ARN .

Memfilter akses berdasarkan AWS identitas atau prinsipal yang memiliki permintaan delegasi.

Pelanggan dapat menggunakan kunci kondisi ini untuk mengontrol siapa yang dapat melakukan tindakan pada permintaan delegasi berdasarkan kepemilikan. Pemilik permintaan delegasi adalah AWS identitas atau prinsipal di akun pelanggan yang memulai atau menerima permintaan delegasi.

Kunci kondisi ini didukung oleh operasi API berikut:

Dalam contoh ini, Anda mengizinkan pengguna untuk mengelola hanya permintaan delegasi yang mereka miliki.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetDelegationRequest",
                "iam:AcceptDelegationRequest",
                "iam:RejectDelegationRequest",
                "iam:SendDelegatedToken",
                "iam:UpdateDelegationRequest",
                "iam:ListDelegationRequests"
            ],
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "iam:DelegationRequestOwner": "${aws:PrincipalArn}"
                }
            }
        }
    ]
}

Bekerja dengan operator string.

URL titik akhir tempat pernyataan SAML disajikan. Nilai untuk kunci ini berasal dari kolom SAML Recipient dalam pernyataan, bukan kolom Audience.

Bekerja dengan operator string.

Ini adalah atribut commonName.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini mewakili prinsipal yang digunakan untuk menerima peran tersebut. Formatnya adalahaccount-ID/provider-friendly-name, seperti123456789012/SAMLProviderName. Nilai account-ID merujuk pada akun yang memiliki penyedia SAML.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduPerson.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini adalah atribut eduOrg.

Bekerja dengan operator string.

Ini adalah atribut givenName.

Bekerja dengan operator string.

Penerbit yang diwakili oleh URN.

Bekerja dengan operator string.

Ini adalah atribut mail.

Bekerja dengan operator string.

Ini adalah atribut name.

Bekerja dengan operator string.

Nilai hash berdasarkan nama yang penyedia SAML yang dikenal. Nilai adalah rangkaian dari nilai-nilai berikut, diurutkan dan dipisahkan oleh karakter '/':

Gabungan ID akun dan nama ramah penyedia SAML tersedia untuk kebijakan IAM sebagai kuncinya. saml:doc Untuk informasi selengkapnya, lihat Mengidentifikasi pengguna secara unik di SAML-based federasi.

Bekerja dengan operator string.

Ini adalah atribut organizationStatus.

Bekerja dengan operator string.

Ini adalah atribut primaryGroupSID.

Bekerja dengan operator string.

Ini adalah subjek klaim, yang mencakup nilai yang secara unik mengidentifikasi pengguna individu dalam suatu organisasi (misalnya, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Bekerja dengan operator string.

Kunci ini dapat memiliki nilai persistent, transient, atau terdiri atas URL Format penuh dari elemen Subject dan NameID yang digunakan dalam pernyataan SAML Anda. Nilai dari persistent menunjukkan bahwa nilai dalam saml:sub sama untuk pengguna di antara sesi. Jika nilainya transient, pengguna memiliki nilai saml:sub untuk setiap sesi. Untuk informasi tentang elemen NameID Format atribut, lihat Konfigurasikan pernyataan SAML untuk respons otentikasi.

Bekerja dengan operator string.

Ini adalah atribut surnameuid.

Bekerja dengan operator string.

Ini adalah atribut uid.

Bekerja dengan operator string.

Ini adalah atribut x500UniqueIdentifier.

Bekerja dengan operator string.

Ini adalah subjek klaim, yang mencakup nilai yang secara unik mengidentifikasi pengguna individu dalam suatu organisasi (misalnya, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Bekerja dengan operator string.

Gunakan kunci ini untuk menentukan layanan di mana token pembawa dapat digunakan. Saat Anda menggunakan kunci kondisi ini dalam suatu kebijakan, tentukan layanan menggunakan prinsipal layanan. Prinsipal layanan adalah nama layanan yang dapat ditentukan dalam elemen Principal dari suatu kebijakan. Misalnya, codeartifact.amazonaws.com adalah prinsi AWS CodeArtifact pal layanan.

Ketersediaan – Kunci ini tersedia dalam permintaan yang mendapatkan token pembawa. Anda tidak dapat melakukan panggilan langsung AWS STS untuk mendapatkan token pembawa. Saat Anda melakukan beberapa operasi dalam layanan lain, layanan meminta token pembawa atas nama Anda.

Beberapa AWS layanan mengharuskan Anda memiliki izin untuk mendapatkan token pembawa AWS STS layanan sebelum Anda dapat mengakses sumber daya mereka secara terprogram. Misalnya, AWS CodeArtifact mengharuskan prinsipal untuk menggunakan token pembawa untuk melakukan beberapa operasi. Perintah aws codeartifact get-authorization-token mengembalikan token pembawa. Anda kemudian dapat menggunakan token pembawa untuk melakukan AWS CodeArtifact operasi. Untuk informasi selengkapnya tentang token pembawa, lihat Token pembawa layanan.

Anda dapat menggunakan kunci kondisi ini untuk mengizinkan prinsipal mendapatkan token pembawa untuk digunakan dengan layanan tertentu.

Bekerja dengan operator numerik.

Gunakan kunci ini untuk menentukan durasi (dalam detik) yang dapat digunakan kepala sekolah saat mendapatkan token AWS AWS STS pembawa atau Token Web JSON dari GetWebIdentityToken API.

Ketersediaan — Kunci ini hadir dalam permintaan yang mendapatkan token pembawa atau Token Web JSON dari GetWebIdentityToken API. Anda tidak dapat melakukan panggilan langsung AWS STS untuk mendapatkan token pembawa. Saat Anda melakukan beberapa operasi dalam layanan lain, layanan meminta token pembawa atas nama Anda. Kuncinya tidak berlaku untuk operasi AWS STS asumsi-peran.

Beberapa AWS layanan mengharuskan Anda memiliki izin untuk mendapatkan token pembawa AWS STS layanan sebelum Anda dapat mengakses sumber daya mereka secara terprogram. Misalnya, AWS CodeArtifact mengharuskan prinsipal untuk menggunakan token pembawa untuk melakukan beberapa operasi. Perintah aws codeartifact get-authorization-token mengembalikan token pembawa. Anda kemudian dapat menggunakan token pembawa untuk melakukan AWS CodeArtifact operasi. Untuk informasi selengkapnya tentang token pembawa, lihat Token pembawa layanan.

Bekerja dengan operator string.

Gunakan kunci ini untuk menentukan audiens di mana kepala sekolah IAM dapat meminta Token Web JSON (JWT) menggunakan API. GetWebIdentityToken Jika kunci kondisi ini ada dalam kebijakan IAM, kepala sekolah IAM hanya dapat meminta token untuk audiens yang ditentukan dalam kebijakan. Layanan eksternal memvalidasi klaim audiens (“aud”) di Token Web JSON untuk memastikan token ditujukan untuk mereka.

Ketersediaan — Kunci ini hadir dalam permintaan ke GetWebIdentityToken API yang digunakan untuk mendapatkan Token Web JSON (JWT) untuk otentikasi dengan layanan eksternal.

Saat Anda menggunakan kunci kondisi ini dalam kebijakan, tentukan nilai audiens yang cocok dengan pengenal penerima yang dituju (misalnya,https://api.example.com).

Kebijakan contoh berikut memungkinkan prinsipal meminta token untuk layanan eksternal yang ditentukan:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "https://api2.example.com",
                        "https://api1.example.com"
                    ]
                }
            }
        }
    ]
}

Bekerja dengan operator string.

Gunakan kunci ini untuk menentukan algoritma kriptografi yang digunakan AWS AWS STS untuk menandatangani Token Web JSON (JWT) yang dihasilkan oleh API. GetWebIdentityToken Saat Anda menggunakan kunci kondisi ini dalam kebijakan, tentukan ES384 (ECDSA dengan P-384 kurva dan SHA-384) atau RS256 (RSA dengan). SHA-256

Ketersediaan — Kunci ini hadir dalam permintaan ke GetWebIdentityToken API yang digunakan untuk mendapatkan Token Web JSON (JWT) untuk otentikasi dengan layanan eksternal.

Anda dapat menggunakan kunci kondisi ini untuk memaksakan bahwa prinsipal IAM meminta token menggunakan algoritma penandatanganan yang kompatibel dengan persyaratan keamanan Anda atau layanan eksternal yang Anda integrasikan. ES384 memberikan keamanan dan kinerja yang optimal, sementara RS256 menawarkan kompatibilitas yang lebih luas dengan sistem yang tidak mendukung ECDSA.

Kebijakan contoh berikut mengharuskan prinsipal untuk menggunakan algoritma penandatanganan ES384:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sts:SigningAlgorithm": "ES384"
                }
            }
        }
    ]
}

Bekerja dengan operator string.

Gunakan kunci ini untuk mengharuskan kepala sekolah memberikan pengenal khusus saat mengambil peran IAM.

Ketersediaan — Kunci ini hadir dalam permintaan ketika kepala sekolah menyediakan ID eksternal saat mengambil peran menggunakan AWS API AWS CLI or.

Pengidentifikasi unik yang mungkin diperlukan saat Anda menerima peran dalam akun lain. Jika administrator akun yang memiliki peran tersebut memberi Anda ID eksternal, berikan nilai tersebut di parameter ExternalId. Nilai ini dapat berupa string, seperti frasa sandi atau nomor akun. Fungsi utama dari ID eksternal adalah mengatasi dan mencegah masalah deputi yang membingungkan. Untuk informasi selengkapnya tentang ID eksternal dan masalah deputi yang membingungkan, lihat Akses ke Akun AWS dimiliki oleh pihak ketiga.

Nilai ExternalId harus memiliki minimal 2 karakter dan maksimal 1.224 karakter. Nilai harus berupa alfanumerik tanpa spasi. Alfanumerik dapat mencakup simbol berikut: plus (+), sama (=), koma (,), titik (.), di (@), titik dua (:), garis miring (/), dan tanda hubung (-).

Bekerja dengan operator string.

Gunakan kunci ini untuk membandingkan pasangan kunci-nilai konteks sesi yang disematkan dalam pernyataan konteks yang ditandatangani penerbit token tepercaya yang diteruskan dalam permintaan dengan nilai kunci konteks yang ditentukan dalam kebijakan kepercayaan peran.

Ketersediaan — Kunci ini hadir dalam permintaan ketika pernyataan konteks disediakan dalam parameter ProvidedContexts permintaan saat mengambil peran menggunakan operasi AWS STS AssumeRole API.

Kunci konteks ini diformat sebagai "sts:RequestContext/context-key":"context-value" where context-key dan context-value merupakan pasangan kunci-nilai konteks. Ketika beberapa kunci konteks disematkan dalam pernyataan konteks yang ditandatangani yang diteruskan dalam permintaan, ada satu kunci konteks untuk setiap pasangan kunci-nilai. Anda harus memberikan izin untuk sts:SetContext tindakan dalam kebijakan kepercayaan peran untuk mengizinkan prinsipal menyetel kunci konteks dalam token sesi yang dihasilkan. Untuk mempelajari lebih lanjut tentang kunci konteks Pusat Identitas IAM yang didukung yang dapat digunakan dengan kunci ini, lihat kunci AWS STS kondisi untuk Pusat Identitas IAM di Panduan AWS IAM Identity Center Pengguna.

Anda dapat menggunakan kunci ini dalam kebijakan kepercayaan peran untuk menerapkan kontrol akses berbutir halus berdasarkan pengguna atau atributnya saat mereka mengambil peran. Setelah peran diasumsikan, aktivitas muncul di AWS CloudTrail log di dalam AdditionalEventData atribut, berisi pasangan kunci-nilai konteks sesi yang ditetapkan oleh penyedia konteks dalam permintaan peran asumsi. Ini memudahkan administrator membedakan di antara sesi peran saat peran digunakan oleh prinsipal yang berbeda. Pasangan kunci-nilai diatur oleh penyedia konteks yang ditentukan, bukan oleh AWS CloudTrail atau. AWS STS Ini memberikan kontrol penyedia konteks atas konteks apa yang disertakan dalam CloudTrail log dan informasi sesi.

Bekerja IT Operator ARN .

Gunakan kunci ini untuk membandingkan penyedia konteks ARN dalam permintaan dengan penyedia konteks ARN yang ditentukan dalam kebijakan kepercayaan peran.

Ketersediaan — Kunci ini hadir dalam permintaan ketika pernyataan konteks disediakan dalam parameter ProvidedContexts permintaan saat mengambil peran menggunakan operasi AWS STS AssumeRole API.

Contoh kondisi berikut memeriksa apakah penyedia konteks ARN yang diteruskan dalam permintaan cocok dengan ARN yang ditentukan dalam kondisi kebijakan kepercayaan peran. Sebaiknya tambahkan pemeriksaan nol dengan ForAllValues untuk mencegah kunci konteks yang hilang atau kunci konteks dengan nilai kosong dievaluasi menjadi true. Lihat perinciannya di Operator ketentuan memeriksa keberadaan kunci kondisi.

Bekerja dengan operatorBoolean.

Gunakan kunci ini untuk memverifikasi bahwa penyedia identitas (IdP) secara eksplisit mengizinkan peran yang diminta melalui https://aws.amazon.com/roles klaim di token OIDC. Klaim peran berisi ARN peran IAM yang diizinkan untuk diasumsikan oleh token. AWS STS mendukung dua format untuk nilai klaim:

Array JSON (disarankan):

"https://aws.amazon.com/roles": [
  "arn:aws:iam::111122223333:role/RoleA",
  "arn:aws:iam::111122223333:role/RoleB"
]

Semicolon-delimited string:

"https://aws.amazon.com/roles": "arn:aws:iam::111122223333:role/RoleA;arn:aws:iam::111122223333:role/RoleB"

Ketersediaan — Kunci ini hadir dalam permintaan yang menggunakan AssumeRoleWithWebIdentity operasi. Nilainya adalah true ketika token menyertakan https://aws.amazon.com/roles klaim dan peran ARN yang diminta cocok dengan nilai dalam klaim. Nilainya adalah false ketika token tidak menyertakan klaim. Karena kunci selalu ada dalam AssumeRoleWithWebIdentity permintaan, gunakan operator Bool kondisi daripadaBoolIfExists.

Ketika token menyertakan klaim tetapi peran ARN yang diminta tidak cocok dengan nilai dalam klaim, AssumeRoleWithWebIdentity panggilan mengembalikan InvalidIdentityToken kesalahan.

Anda dapat menggunakan kunci kondisi ini dalam kebijakan kepercayaan peran, kebijakan kontrol sumber daya (RCP), dan kebijakan titik akhir VPC untuk mewajibkan bahwa IdP mengotorisasi peran sebelum dapat diasumsikan.

Kebijakan kepercayaan peran berikut AssumeRoleWithWebIdentity hanya mengizinkan jika IdP mengizinkan peran yang diminta dalam token.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/idp.example.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": { "idp.example.com:aud": "my-app-id" },
                "Bool": { "sts:RoleAuthorizedByIdp": "true" }
            }
        }
    ]
}

Bekerja dengan operator string.

Gunakan kunci ini untuk membandingkan nama sesi yang ditentukan oleh prinsipal saat mengambil peran dengan nilai yang ditentukan dalam kebijakan.

Ketersediaan — Kunci ini hadir dalam permintaan ketika prinsipal mengambil peran menggunakan Konsol Manajemen AWS, perintah CLI asumme-role apa pun, atau operasi API apa pun AWS STS AssumeRole.

Anda dapat menggunakan kunci ini dalam kebijakan kepercayaan peran untuk mewajibkan pengguna Anda memberikan nama sesi tertentu saat mereka mengambil peran. Misalnya, Anda dapat meminta pengguna IAM untuk menentukan nama pengguna mereka sendiri sebagai nama sesi mereka. Setelah pengguna IAM mengambil peran, aktivitas muncul di AWS CloudTrail log dengan nama sesi yang cocok dengan nama pengguna mereka. Ini memudahkan administrator membedakan di antara sesi peran saat peran digunakan oleh prinsipal yang berbeda.

Kebijakan kepercayaan peran berikut mengharuskan pengguna IAM di akun 111122223333 memberikan nama pengguna IAM mereka sebagai nama sesi saat mereka mengambil peran tersebut. Persyaratan ini diberlakukan menggunakan aws:username variabel kondisi di dalam kunci kondisi. Pernyataan memungkinkan pengguna IAM untuk mengasumsikan peran yang diberlakukan pada kebijakan tersebut. Kebijakan ini tidak mengizinkan siapa pun yang menggunakan kredensial sementara untuk mengambil peran tersebut karena variabel username hanya tersedia untuk pengguna IAM.

Ketika administrator melihat AWS CloudTrail log untuk tindakan, mereka dapat membandingkan nama sesi dengan nama pengguna di akun mereka. Dalam contoh berikut, pengguna bernama matjac melakukan operasi menggunakan peran bernama MateoRole. Administrator selanjutnya dapat menghubungi Mateo Jackson, yang memiliki pengguna bernama matjac.

    "assumedRoleUser": {
        "assumedRoleId": "AROACQRSTUVWRAOEXAMPLE:matjac",
        "arn": "arn:aws:sts::111122223333:assumed-role/MateoRole/matjac"
    }

Jika Anda mengizinkan akses lintas akun menggunakan peran, maka pengguna di satu akun dapat mengambil peran di akun lain. ARN dari pengguna peran yang diasumsikan yang tercantum dalam CloudTrail termasuk akun jika peran tersebut ada. Ini tidak termasuk akun pengguna yang mengambil peran tersebut. Pengguna hanya bersifat unik di dalam suatu akun. Oleh karena itu, sebaiknya gunakan metode ini untuk memeriksa CloudTrail log hanya untuk peran yang diasumsikan oleh pengguna di akun yang Anda kelola. Pengguna Anda mungkin menggunakan nama pengguna yang sama dalam beberapa akun.

Bekerja dengan operator string.

Gunakan kunci ini untuk membandingkan identitas sumber yang ditentukan oleh prinsipal saat mengambil peran dengan nilai yang ditentukan dalam kebijakan.

Ketersediaan — Kunci ini hadir dalam permintaan ketika kepala sekolah menyediakan identitas sumber saat mengambil peran menggunakan perintah asumsi- AWS STS role CLI, atau AWS STS AssumeRole operasi API.

Anda dapat menggunakan kunci ini dalam kebijakan kepercayaan peran untuk mewajibkan pengguna Anda menetapkan identitas sumber tertentu saat mereka mengambil peran. Misalnya, Anda dapat meminta tenaga kerja Anda atau identitas gabungan untuk menentukan nilai identitas sumber. Anda dapat mengonfigurasi penyedia identitas Anda (IdP) untuk menggunakan salah satu atribut yang terkait dengan pengguna Anda, seperti nama pengguna atau email sebagai identitas sumber. IdP kemudian meneruskan identitas sumber sebagai atribut dalam pernyataan atau klaim yang dikirimkannya. AWS Nilai atribut identitas sumber mengidentifikasi pengguna atau aplikasi yang mengambil peran.

Setelah pengguna mengambil peran, aktivitas muncul di log AWS CloudTrail dengan nilai identitas sumber yang ditetapkan. Hal ini memudahkan administrator untuk menentukan siapa atau apa yang melakukan tindakan dengan peran AWS. Anda harus memberikan izin untuk tindakan sts:SetSourceIdentity untuk mengizinkan identitas menetapkan identitas sumber.

Tidak seperti sts:RoleSessionName, setelah identitas sumber diatur, nilai tidak dapat diubah. Ini terdapat dalam konteks permintaan untuk semua tindakan yang diambil dengan peran menggunakan identitas sumber daya. Nilai tetap ada dalam sesi peran berikutnya saat Anda menggunakan kredensial sesi untuk mengambil peran lain. Mengasumsikan satu peran dari peran lain disebut rantai peran.

Anda dapat menggunakan kunci kondisi aws:SourceIdentity global untuk mengontrol lebih lanjut akses ke AWS sumber daya berdasarkan nilai identitas sumber dalam permintaan berikutnya.

Kebijakan kepercayaan peran berikut memungkinkan pengguna IAM AdminUser untuk mengambil peran dalam akun111122223333. Ini juga memberikan izin ke AdminUser untuk mengatur identitas sumber, selama identitas sumber yang ditetapkan adalah DiegoRamirez.

Untuk informasi selengkapnya tentang menggunakan informasi identitas sumber, lihat Memantau dan mengontrol tindakan yang diambil dengan peran yang diasumsikan.

Bekerja IT Operator ARN .

Gunakan kunci ini untuk membandingkan kebijakan ARN dalam AssumeRoot permintaan sts: dengan kebijakan ARN yang ditentukan dalam kebijakan.

Ketersediaan — Kunci ini hadir dalam permintaan saat Anda membuat permintaan menggunakan sts: AssumeRoot.

Administrator dapat menggunakan kunci kondisi ini dalam kebijakan IAM untuk membatasi peran atau pengguna tertentu dalam akun manajemen atau akun administrator yang didelegasikan agar tidak melakukan tindakan tertentu saat mengasumsikan kredentif root. Untuk informasi selengkapnya, lihat Melakukan tugas istimewa pada AWS Organizations akun anggota.

Bekerja dengan operator string.

Gunakan kunci ini untuk membandingkan kunci tag sesi transitif dalam permintaan dengan yang ditentukan dalam kebijakan.

Ketersediaan – Kunci ini tersedia dalam permintaan saat Anda mengajukan permintaan menggunakan kredensial keamanan sementara. Ini termasuk kredensial yang dibuat menggunakan operasi asumsi peran, atau operasi GetFederationToken.

Saat Anda menggunakan kredensial sesi untuk membuat permintaan berikutnya, konteks permintaan mencakup kunci konteks aws:PrincipalTag. Kunci ini mencakup daftar tanda sesi, tanda sesi transitif, dan tanda peran. Tanda sesi transitif adalah tanda yang tetap ada di semua sesi berikutnya saat Anda menggunakan kredensial sesi untuk menjalankan peran lain. Mengasumsikan satu peran dari peran lain disebut rantai peran.

Anda dapat menggunakan kunci kondisi ini dalam kebijakan untuk mewajibkan pengaturan tanda sesi tertentu sebagai transitif saat mengambil peran atau menggabungkan pengguna.