Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan atribut untuk kontrol akses

Atribut untuk kontrol akses adalah implementasi kumpulan identitas Amazon Cognito dari kontrol akses berbasis atribut (). ABAC Anda dapat menggunakan IAM kebijakan untuk mengontrol akses ke AWS sumber daya melalui kumpulan identitas Amazon Cognito berdasarkan atribut pengguna. Atribut ini dapat diambil dari penyedia identitas sosial dan perusahaan. Anda dapat memetakan atribut dalam akses penyedia dan token ID atau SAML pernyataan ke tag yang dapat direferensikan dalam kebijakan izin. IAM

Anda dapat memilih pemetaan default atau membuat pemetaan kustom Anda sendiri di kolam identitas Amazon Cognito. Pemetaan default memungkinkan Anda menulis IAM kebijakan berdasarkan kumpulan atribut pengguna yang tetap. Pemetaan khusus memungkinkan Anda memilih kumpulan atribut pengguna khusus yang direferensikan dalam kebijakan izin. IAM Nama Atribut di konsol Amazon Cognito dipetakan ke kunci Tag untuk prinsipal, yang merupakan tag yang direferensikan dalam kebijakan izin. IAM

Misalnya, katakanlah Anda memiliki layanan streaming media dengan keanggotaan gratis dan berbayar. Anda menyimpan file media di Amazon S3 dan menandai file tersebut dengan tanda gratis atau premium. Anda dapat menggunakan atribut untuk kontrol akses untuk memungkinkan akses ke konten gratis dan berbayar berdasarkan tingkat keanggotaan pengguna, yang merupakan bagian dari profil pengguna. Anda dapat memetakan atribut keanggotaan ke kunci tag agar prinsipal diteruskan ke kebijakan IAM izin. Dengan cara ini Anda dapat membuat kebijakan izin tunggal dan secara kondisional mengizinkan akses ke konten premium berdasarkan nilai tingkat keanggotaan dan tanda pada file konten.

Menggunakan atribut untuk kontrol akses memiliki beberapa manfaat:

Menggunakan atribut untuk kontrol akses dengan kolam identitas Amazon Cognito

Sebelum Anda dapat menggunakan atribut untuk kontrol akses, pastikan bahwa Anda memenuhi prasyarat berikut:

Untuk menggunakan atribut untuk kontrol akses, Klaim yang Anda tetapkan sebagai sumber data menetapkan nilai Kunci Tag yang Anda pilih. Amazon Cognito menerapkan kunci tag dan nilai ke sesi pengguna Anda. IAMKebijakan Anda dapat mengevaluasi akses pengguna Anda dari ${aws:PrincipalTag/tagkey} kondisi tersebut. IAMmengevaluasi nilai tag pengguna Anda terhadap kebijakan.

Anda harus menyiapkan IAM peran yang kredensialnya ingin Anda berikan kepada pengguna Anda. Kebijakan kepercayaan dari peran ini harus mengizinkan Amazon Cognito untuk mengambil peran bagi pengguna Anda. Untuk atribut untuk kontrol akses, Anda juga harus mengizinkan Amazon Cognito menerapkan tag utama ke sesi sementara pengguna Anda. Berikan izin untuk mengambil peran dengan tindakan tersebut AssumeRoleWithWebIdentity. Berikan izin untuk menandai sesi pengguna dengan tindakan khusus izin. sts:TagSession Untuk informasi selengkapnya, lihat Melewati tag sesi AWS Security Token Service di Panduan AWS Identity and Access Management Pengguna. Untuk contoh kebijakan kepercayaan yang memberikan sts:AssumeRoleWithWebIdentity dan sts:TagSession izin kepada prinsipal layanan cognito-identity.amazonaws.com Amazon Cognito, lihat. Menggunakan atribut untuk contoh kebijakan kontrol akses

Menggunakan atribut untuk contoh kebijakan kontrol akses

Pertimbangkan skenario di mana seorang karyawan dari departemen hukum perusahaan perlu membuat daftar semua file dalam bucket milik departemen mereka dan diklasifikasikan dengan tingkat keamanan mereka. Asumsikan token bahwa karyawan ini mendapat dari penyedia identitas berisi klaim berikut.

Klaim

            { .
              .
            "sub" : "57e7b692-4f66-480d-98b8-45a6729b4c88",
            "department" : "legal",
            "clearance" : "confidential",
             .
             .
            }
        

Atribut ini dapat dipetakan ke tag dan direferensikan dalam kebijakan IAM izin sebagai tag utama. Anda sekarang dapat mengelola akses dengan mengubah profil pengguna di ujung penyedia identitas. Atau, Anda dapat mengubah atribut pada sisi sumber daya dengan menggunakan nama atau tanda tanpa mengubah kebijakan itu sendiri.

Kebijakan izin berikut melakukan dua hal:

Kebijakan izin

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:List*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}"
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}/*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/clearance": "${aws:PrincipalTag/clearance}"
                }
            }
        }
    ]
}

Kebijakan kepercayaan menentukan siapa yang dapat mengambil peran ini. Kebijakan hubungan kepercayaan memungkinkan penggunaan sts:AssumeRoleWithWebIdentity dan sts:TagSession untuk mengizinkan akses. Ini menambahkan kondisi untuk membatasi kebijakan ke kumpulan identitas yang Anda buat dan memastikan bahwa itu untuk peran yang diautentikasi.

Kebijakan kepercayaan

            
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRoleWithWebIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "IDENTITY-POOL-ID"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}
            

Matikan atribut untuk kontrol akses (konsol)

Ikuti prosedur ini untuk menonaktifkan atribut untuk kontrol akses.

Pemetaan penyedia default

Tabel berikut memiliki informasi pemetaan default untuk penyedia autentikasi yang didukung Amazon Cognito.