Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

SWFIAMKebijakan Amazon

IAMKebijakan berisi satu atau lebih Statement elemen, yang masing-masing berisi serangkaian elemen yang menentukan kebijakan. Untuk daftar lengkap elemen d an diskusi umum tentang cara membangun kebijakan, lihat Bahasa Kebijakan Akses. Kontrol SWF akses Amazon didasarkan pada elemen-elemen berikut:

Bagian berikut memberikan contoh cara membuat SWF kebijakan Amazon. Untuk detailnya, lihat Syarat String.

Contoh SWF Kebijakan Amazon

Alur kerja terdiri dari beberapa aktor, yaitu aktivitas, decider, dan sebagainya. Anda dapat mengontrol akses untuk setiap aktor dengan melampirkan IAM kebijakan yang sesuai. Bagian ini menyediakan beberapa contoh. Berikut ini menunjukkan kasus yang paling sederhana:

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:*",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/*"
   } ]
}        

Jika Anda melampirkan kebijakan ini ke aktor, kebijakan ini memiliki akses akun penuh di semua wilayah. Anda dapat menggunakan wildcard untuk memiliki nilai tunggal yang mewakili beberapa sumber daya, tindakan, atau wilayah.

Untuk detail tentang cara menggunakan wildcard, lihat Deskripsi Elemen

Bagian berikut menunjukkan contoh kebijakan yang memberikan izin dengan cara yang lebih terperinci.

Perizinan Domain

Jika Anda ingin membatasi alur kerja departemen ke domain tertentu, Anda dapat menggunakan sesuatu seperti:

{
   "Version": "2012-10-17",
   "Statement": [ {
      "Effect" : "Allow",
      "Action" : "swf:*",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/department1"
   } ]
}           

Jika Anda melampirkan kebijakan ini untuk aktor, kebijakan dapat memanggil tindakan apapun, tetapi hanya untuk domain department1.

Jika Anda menginginkan satu aktor memiliki akses ke lebih dari satu domain, Anda dapat mengungkapkan izin untuk setiap domain secara terpisah, sebagai berikut:

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect" : "Allow",
         "Action" : "swf:*",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department1"
      }, {
         "Effect" : "Allow",
         "Action" : "swf:*",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department2"
      }
   ]
}           

Jika Anda melampirkan kebijakan ini ke aktor, kebijakan tersebut dapat menggunakan SWF tindakan Amazon apa pun di department2 domain department1 dan domain. Anda juga dapat menggunakan wildcard sesekali untuk mewakili beberapa domain.

APIIzin dan Kendala

Anda mengontrol tindakan yang dapat digunakan seorang aktor dengan elemen Action. Secara opsional, Anda dapat membatasi tindakan yang diizinkan nilai parameter dengan menggunakan elemen Condition.

Jika Anda ingin membatasi aktor hanya pada tindakan tertentu, Anda dapat menggunakan sesuatu seperti berikut ini:

{
   "Version": "2012-10-17",
   "Statement": [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/department2"
   } ]
}           

Jika Anda melampirkan kebijakan ini ke aktor, kebijakan dapat menghubungi StartWorkflowExecution untuk memulai alur kerja di domain department2. Tidak dapat menggunakan tindakan lain atau memulai alur kerja di domain lain.

Anda dapat membatasi alur kerja aktor mana yang dapat memulai dengan membatasi satu atau lebih nilai parameter StartWorkflowExecution, sebagai berikut:

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect" : "Allow",
         "Action" : "swf:StartWorkflowExecution",
         "Resource" : "arn:aws:swf:*:123456789012:/domain/department1",
         "Condition" : {
            "StringEquals" : { 
               "swf:workflowType.name" : "workflow1",
               "swf:workflowType.version" : "version2" 
            }
         }
      }
   ]
}           

Kebijakan ini membatasi parameter tindakan name dan version StartWorkflowExecution. Jika Anda melampirkan kebijakan ini ke aktor, kebijakan tersebut dapat dijalankan hanya version2 dari workflow1 dalam domain department1 dan kedua parameter harus disertakan dalam permintaan.

Anda dapat membatasi parameter tanpa harus memasukkanya dalam permintaan dengan menggunakan operator StringEqualsIfExists, sebagai berikut:

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
      }
   } ]
}           

Kebijakan ini mengizinkan aktor untuk menentukan daftar tugas saat memulai eksekusi alur kerja secara opsional.

Anda dapat membatasi daftar tag untuk beberapa tindakan. Dalam hal ini, setiap tag memiliki kunci terpisah, sehingga Anda menggunakan swf:tagList.member.0 untuk membatasi tanda pertama dalam daftar, swf:tagList.member.1 untuk membatasi tag kedua dalam daftar, dan seterusnya, hingga maksimum 5. Namun, Anda harus berhati-hati dalam membatasi daftar tag. Misalnya, berikut ini adalah contoh kebijakan yang tidak direkomendasikan:

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : {
            "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
         }
      }
   } ]
}           

Kebijakan ini mengizinkan Anda untuk menentukan baik some_ok_tag atau another_ok_tag secara opsional. Namun, kebijakan ini membatasi hanya elemen pertama dari daftar tag. Daftar dapat memiliki elemen tambahan dengan nilai semaunya yang semuanya akan diizinkan karena kebijakan ini tidak menerapkan syarat apa pun untuk swf:tagList.member.1, swf:tagList.member.2, dan sebagainya.

Salah satu cara untuk mengatasi masalah ini adalah dengan melarang penggunaan daftar tag. Kebijakan berikut memastikan bahwa hanya some_ok_tag atau another_ok_tag yang diperbolehkan dengan mewajibkan daftar hanya memiliki satu elemen.

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:StartWorkflowExecution",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/some_domain",
      "Condition" : {
         "StringEqualsIfExists" : {
            "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
         },
         "Null" : { "swf:tagList.member.1" : "true" }
      }
   } ]
}          

APIIzin dan Kendala Pseudo

Jika Anda ingin membatasi keputusan yang tersedia untuk RespondDecisionTaskCompleted, Anda harus terlebih dahulu mengizinkan aktor untuk memanggil RespondDecisionTaskCompleted. Anda kemudian dapat mengekspresikan izin untuk API anggota pseudo yang sesuai dengan menggunakan sintaks yang sama seperti untuk regulerAPI, sebagai berikut:

{
   "Version": "2012-10-17",
   "Statement" : [
      {
         "Resource" : "arn:aws:swf:*:123456789012:/domain/*",
         "Action" : "swf:RespondDecisionTaskCompleted",
         "Effect" : "Allow"
      }, {
         "Resource" : "*",
         "Action" : "swf:ScheduleActivityTask",
         "Effect" : "Allow",
         "Condition" : {
            "StringEquals" : { "swf:activityType.name" : "SomeActivityType" }
         }
      }
   ]
}           

Jika Anda melampirkan kebijakan ini ke aktor, elemen Statement mengizinkan aktor untuk memanggil RespondDecisionTaskCompleted. Elemen kedua memungkinkan aktor untuk menggunakan ScheduleActivityTask keputusan untuk mengarahkan Amazon SWF untuk menjadwalkan tugas aktivitas. Untuk mengizinkan semua keputusan, ganti “swf:ScheduleActivityTask" dengan “swf: *”.

Anda dapat menggunakan operator Kondisi untuk membatasi parameter seperti biasaAPI. Operator StringEquals dalam Condition ini mengizinkan RespondDecisionTaskCompleted untuk menjadwalkan tugas aktivitas untuk aktivitas SomeActivityType, dan harus menjadwalkan tugas tersebut. Jika Anda ingin mengizinkan RespondDecisionTaskCompleted untuk menggunakan nilai parameter tetapi tidak memerlukan untuk melakukannya, Anda sebaliknya dapat menggunakan operator StringEqualsIfExists.

AWS kebijakan terkelola: SimpleWorkflowFullAccess

Anda dapat melampirkan SimpleWorkflowFullAccess kebijakan ke IAM identitas Anda.

Kebijakan ini menyediakan akses penuh ke layanan SWF konfigurasi Amazon.

Detail izin

Kebijakan ini mencakup izin berikut.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "swf:*"
         ],
         "Resource": "*"
      }
   ]
}

Batasan Model Layanan pada IAM Kebijakan

Anda harus mempertimbangkan kendala model layanan saat membuat kebijakan. IAM Dimungkinkan untuk membuat IAM kebijakan yang valid secara sintaksis yang mewakili permintaan SWF Amazon yang tidak valid; permintaan yang diizinkan dalam hal kontrol akses masih dapat gagal karena merupakan permintaan yang tidak valid.

Misalnya, kebijakan berikut untuk ListOpenWorkflowExecutions adalah tidak disarankan:

{
   "Version": "2012-10-17",
   "Statement" : [ {
      "Effect" : "Allow",
      "Action" : "swf:ListOpenWorkflowExecutions",
      "Resource" : "arn:aws:swf:*:123456789012:/domain/domain_name",
      "Condition" : {
         "StringEquals" : { 
            "swf:typeFilter.name" : "workflow_name",
            "swf:typeFilter.version" : "workflow_version",
            "swf:tagFilter.tag" : "some_tag" 
         }
      }
   } ]
}        

Model SWF layanan Amazon tidak mengizinkan tagFilter parameter typeFilter dan digunakan dalam ListOpenWorkflowExecutions permintaan yang sama. Oleh karena itu kebijakan mengizinkan panggilan yang akan ditolak layanan—dengan melemparkan ValidationException—sebagai permintaan yang tidak valid.