Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Manajemen Identitas dan Akses di IVS

AWS Identity and Access Management (IAM) adalah AWS layanan yang membantu administrator akun mengontrol akses ke AWS sumber daya dengan aman. Setiap AWS sumber daya dimiliki oleh AWS akun, dan izin untuk membuat atau mengakses sumber daya diatur oleh kebijakan izin. IAMadministrator akun mengontrol siapa yang dapat diautentikasi (masuk) dan diberi wewenang (memiliki izin) untuk menggunakan sumber daya Amazon. IVS IAMadalah fitur AWS akun Anda yang ditawarkan tanpa biaya tambahan.

Penting: Untuk informasi lengkap, lihat halaman AWS IAM produk, Panduan IAM Pengguna, dan AWS APIPermintaan Penandatanganan. Di seluruh bagian ini, kami juga menyediakan tautan ke bagian tertentu dari Panduan IAM Pengguna. Anda harus terbiasa dengan materi ini sebelum melanjutkan.

Audiens

Cara Anda menggunakan IAM berbeda, tergantung pada pekerjaan yang Anda lakukan di AmazonIVS:

Bagaimana Amazon IVS Bekerja dengan IAM

Sebelum Anda dapat membuat IVS API permintaan Amazon, Anda harus membuat satu atau beberapa IAM identitas (pengguna, grup, dan peran) dan IAM kebijakan, lalu lampirkan kebijakan ke identitas. Diperlukan waktu hingga beberapa menit agar izin menyebar; sampai saat itu, API permintaan ditolak.

Untuk tampilan tingkat tinggi tentang cara IVS kerja AmazonIAM, lihat AWS Layanan yang Bekerja dengan IAM di Panduan IAM Pengguna.

Identitas

Anda dapat membuat IAM identitas untuk memberikan otentikasi bagi orang dan proses di akun Anda AWS . IAMgrup adalah kumpulan IAM pengguna yang dapat Anda kelola sebagai satu unit. Lihat Identitas (Pengguna, Grup, dan Peran) di Panduan IAM Pengguna.

Kebijakan

Lihat bagian ini di Panduan IAM Pengguna:

Secara default, IAM pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi IVS sumber daya Amazon (bahkan untuk mengubah kata sandi mereka sendiri). Mereka juga tidak dapat melakukan tugas menggunakan AWS konsol, AWS CLI, atau AWS API. IAMAdministrator harus membuat IAM kebijakan yang memberikan izin kepada pengguna dan peran untuk melakukan API operasi tertentu pada sumber daya tertentu yang mereka butuhkan.

IAMkebijakan menentukan izin untuk tindakan terlepas dari metode yang digunakan untuk melakukan operasi. Misalnya, anggaplah Anda memiliki kebijakan yang mengizinkan tindakan iam:GetRole. Pengguna dengan kebijakan tersebut bisa mendapatkan informasi peran dari AWS Management Console, Console AWS CLI, atau AWS API.

Kebijakan adalah dokumen JSON kebijakan izin yang terdiri dari elemen. Amazon IVS mendukung tiga elemen:

Anda dapat memanfaatkan variabel sebagai placeholder dalam sebuah kebijakan. Misalnya, Anda dapat memberikan izin IAM pengguna untuk mengakses sumber daya hanya jika ditandai dengan nama pengguna IAM pengguna. Lihat Variabel dan Tag di Panduan IAM Pengguna.

Amazon IVS menyediakan kebijakan AWS terkelola yang dapat digunakan untuk memberikan sekumpulan izin yang telah dikonfigurasi sebelumnya ke identitas (hanya baca atau akses penuh). Anda dapat memilih untuk menggunakan kebijakan terkelola alih-alih kebijakan berbasis identitas yang ditunjukkan di bawah ini. Untuk detailnya, lihat Kebijakan Terkelola untuk Amazon IVS.

Otorisasi Berdasarkan Tag Amazon IVS

Anda dapat melampirkan tag ke IVS sumber daya Amazon atau meneruskan tag dalam permintaan ke AmazonIVS. Untuk mengontrol akses berdasarkan tanda, Anda harus memberikan informasi tanda di elemen persyaratan sebuah kebijakan dengan menggunakan kunci syarat aws:ResourceTag/key-name, aws:RequestTag/key-name, atau aws:TagKeys. Untuk informasi selengkapnya tentang menandai IVS sumber daya Amazon, lihat “Penandaan” di Referensi Streaming IVSLatensi Rendah, Referensi Streaming Waktu IVSNyata, dan API API Referensi Obrolan. IVS API

Sebagai contoh, lihat Lihat IVS Saluran Amazon Berdasarkan Tag.

Peran

Lihat IAMPeran dan Kredenal Keamanan Sementara di IAMPanduan Pengguna.

IAMPeran adalah entitas dalam AWS akun Anda yang memiliki izin khusus.

Amazon IVS mendukung penggunaan kredensil keamanan sementara. Anda dapat menggunakan kredensi sementara untuk masuk dengan federasi, mengambil IAM peran, atau mengambil peran lintas akun. Anda memperoleh kredensi keamanan sementara dengan memanggil API operasi Layanan Token AWS Keamanan seperti AssumeRole atau. GetFederationToken

Hak Akses Istimewa dan Tidak Istimewa

APIsumber daya memiliki akses istimewa. Akses pemutaran yang tidak memiliki hak istimewa dapat diatur melalui saluran pribadi; lihat. Menyiapkan Saluran Privat

Praktik Terbaik untuk Kebijakan

Lihat Praktik IAM Terbaik di Panduan IAM Pengguna.

Kebijakan berbasis identitas adalah pilihan yang sangat tepat. Mereka menentukan apakah seseorang dapat membuat, mengakses, atau menghapus IVS sumber daya Amazon di akun Anda. Tindakan ini dapat menimbulkan biaya untuk AWS akun Anda. Ikuti rekomendasi ini:

Contoh Kebijakan Berbasis Identitas

Gunakan IVS Konsol Amazon

Untuk mengakses IVS konsol Amazon, Anda harus memiliki set izin minimum yang memungkinkan Anda untuk membuat daftar dan melihat detail tentang IVS sumber daya Amazon di AWS akun Anda. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tersebut tidak akan berfungsi sebagaimana mestinya untuk identitas dengan kebijakan tersebut. Untuk memastikan akses ke IVS konsol Amazon, lampirkan kebijakan berikut ke identitas (lihat Menambahkan dan Menghapus IAM Izin di Panduan IAM Pengguna).

Bagian-bagian dari kebijakan berikut menyediakan akses ke:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "ivs:*",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "servicequotas:ListServiceQuotas"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucketPolicy",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:PutBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "iam:AttachRolePolicy",
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/aws-service-role/ivs.amazonaws.com/AWSServiceRoleForIVSRecordToS3*"
    },
    {
      "Action": [
        "cloudwatch:GetMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "lambda:AddPermission",
        "lambda:ListFunctions"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Izinkan Pengguna untuk Melihat Izin Mereka Sendiri

Contoh ini menunjukkan kebijakan yang memungkinkan IAM pengguna untuk melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di AWS konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ViewOwnUserInfo",
         "Effect": "Allow",
         "Action": [
            "iam:GetUserPolicy",
            "iam:ListGroupsForUser",
            "iam:ListAttachedUserPolicies",
            "iam:ListUserPolicies",
            "iam:GetUser"
         ],
         "Resource": [
            "arn:aws:iam:*:*:user/${aws:username}"
         ]
      },
      {
         "Sid": "NavigateInConsole",
         "Effect": "Allow",
         "Action": [
            "iam:GetGroupPolicy",
            "iam:GetPolicyVersion",
            "iam:GetPolicy",
            "iam:ListAttachedGroupPolicies",
            "iam:ListGroupPolicies",
            "iam:ListPolicyVersions",
            "iam:ListPolicies",
            "iam:ListUsers"
         ],
         "Resource": "*"
      }
   ]
}

Akses IVS Saluran Amazon

Di sini, Anda ingin memberi IAM pengguna di AWS akun Anda akses ke salah satu IVS saluran Amazon Anda,VgNkEJgOVX9N. Anda juga ingin mengizinkan pengguna menghentikan stream (ivs:StopStream), menambahkan metadata (ivs:PutMetadata), dan memperbarui channel (ivs:UpdateChannel). Kebijakan ini juga memberikan izin yang diperlukan oleh IVS konsol Amazon:ivs:ListChannels,, ivs:ListStreamsivs:GetChannel, dan. ivs:GetStream

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ListChannelsInConsole",
         "Effect":"Allow",
         "Action":[
            "ivs:ListChannels",
            "ivs:ListStreams"

         ],
         "Resource":"arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid":"ViewSpecificChannelInfo",
         "Effect":"Allow",
         "Action":[
            "ivs:GetChannel",
            "ivs:GetStream"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N"
      },
      {
         "Sid":"ManageChannel",
         "Effect":"Allow",
         "Action":[
            "ivs:StopStream",
            "ivs:PutMetadata",
            "ivs:UpdateChannel"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N" 
      }
   ]
}

Lihat IVS Saluran Amazon Berdasarkan Tag

Anda dapat menggunakan kondisi dalam kebijakan berbasis identitas untuk mengontrol akses ke IVS sumber daya Amazon berdasarkan tag. Contoh ini menunjukkan kebijakan yang memungkinkan melihat saluran. Kebijakan ini juga memberikan izin yang diperlukan untuk menyelesaikan tindakan ini di konsol AmazonIVS.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ListWidgetsInConsole",
         "Effect": "Allow",
         "Action": "ivs:ListChannels",
         "Resource": "arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid": "ViewChannelIfOwner",
         "Effect": "Allow",
         "Action": "ivs:GetChannel",
         "Resource": "arn:aws:ivs:*:*:channel/*",
         "Condition": {
            "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
         }
      }
   ]
}

Anda dapat melampirkan kebijakan ini ke pengguna IAM di akun Anda. Namun, izin diberikan hanya jika saluran ditandai dengan nama pengguna pengguna tersebut sebagai pemilik. Jika pengguna bernama richard-roe mencoba melihat IVS saluran Amazon, saluran tersebut harus diberi tag Owner=richard-roe atauowner=richard-roe; jika tidak, dia ditolak aksesnya. (Kunci tag kondisi Owner cocok dengan keduanya Owner dan owner karena nama kunci kondisi tidak peka huruf besar/kecil.)

Pemecahan Masalah

Gunakan informasi berikut untuk membantu mendiagnosis dan memperbaiki masalah umum yang mungkin Anda temui saat bekerja dengan Amazon IVS danIAM.