Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan kebijakan berbasis identitas di Penjadwal EventBridge

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya EventBridge Penjadwal. Untuk memberikan izin kepada pengguna untuk melakukan tindakan di sumber daya yang mereka perlukan, administrator IAM dapat membuat kebijakan IAM.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM dengan menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan IAM (konsol) di Panduan Pengguna IAM.

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh Pen EventBridge jadwal, termasuk format ARN untuk setiap jenis sumber daya, lihat Tindakan, sumber daya, dan kunci kondisi untuk Pen EventBridge jadwal Amazon di Referensi Otorisasi Layanan.

Praktik terbaik kebijakan

Identity-based kebijakan menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya EventBridge Penjadwal di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan di IAM dalam Panduan Pengguna IAM.

EventBridge Izin penjadwal

Agar prinsipal IAM (pengguna, grup, atau peran) membuat jadwal di Pen EventBridge jadwal dan mengakses sumber daya Pen EventBridge jadwal melalui konsol atau API, prinsipal harus memiliki serangkaian izin yang ditambahkan ke kebijakan izin mereka. Anda dapat mengonfigurasi izin ini tergantung pada fungsi pekerjaan kepala sekolah. Misalnya, pengguna, atau peran, yang hanya menggunakan konsol Pen EventBridge jadwal untuk melihat daftar jadwal yang ada tidak perlu memiliki izin yang diperlukan untuk memanggil operasi CreateSchedule API. Sebaiknya sesuaikan izin berbasis identitas Anda untuk hanya menyediakan akses yang kurang istimewa.

Daftar berikut menunjukkan sumber daya EventBridge Penjadwal, dan tindakan yang didukung terkait.

Anda dapat menggunakan izin EventBridge Penjadwal untuk membuat kebijakan yang dikelola pelanggan Anda sendiri untuk digunakan dengan Pen EventBridge jadwal. Anda juga dapat menggunakan kebijakan AWS terkelola yang dijelaskan di bagian berikut untuk memberikan izin yang diperlukan untuk kasus penggunaan umum tanpa harus mengelola kebijakan Anda sendiri.

AWS kebijakan terkelola untuk EventBridge Scheduler

AWS mengatasi banyak kasus penggunaan umum dengan menyediakan kebijakan IAM mandiri yang membuat AWS , dan mengelola. Kebijakan terkelola, atau yang ditentukan sebelumnya memberikan izin yang diperlukan untuk kasus penggunaan umum sehingga Anda tidak perlu menyelidiki izin yang diperlukan. Untuk informasi lebih lanjut, lihat AWS kebijakan terkelola dalam Panduan Pengguna IAM. Kebijakan ter AWS kelola berikut yang dapat Anda lampirkan ke pengguna di akun Anda khusus untuk Pen EventBridge jadwal:

Kebijakan yang dikelola pelanggan untuk EventBridge Scheduler

Gunakan contoh berikut untuk membuat kebijakan yang dikelola pelanggan Anda sendiri untuk Pen EventBridge jadwal. Kebijakan yang dikelola pelanggan memungkinkan Anda memberikan izin hanya untuk tindakan dan sumber daya yang diperlukan untuk aplikasi dan pengguna di tim Anda sesuai dengan fungsi pekerjaan kepala sekolah.

Contoh: CreateSchedule

Saat Anda membuat jadwal baru, Anda memilih apakah akan mengenkripsi data Anda di Pen EventBridge jadwal menggunakan Kunci milik AWS, atau kunci yang dikelola pelanggan.

Kebijakan berikut memungkinkan prinsipal untuk membuat jadwal dan menerapkan enkripsi menggunakan Kunci milik AWS. Dengan a Kunci milik AWS, AWS mengelola sumber daya pada AWS Key Management Service (AWS KMS) untuk Anda sehingga Anda tidak memerlukan izin tambahan untuk berinteraksi dengannya AWS KMS.

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Gunakan kebijakan berikut untuk mengizinkan kepala sekolah membuat jadwal dan menggunakan kunci yang dikelola AWS KMS pelanggan untuk enkripsi. Untuk menggunakan kunci yang dikelola pelanggan, kepala sekolah harus memiliki izin untuk mengakses AWS KMS sumber daya di akun Anda. Kebijakan ini memberikan akses ke kunci KMS tunggal yang ditentukan untuk digunakan untuk mengenkripsi data di Pen EventBridge jadwal. Atau, Anda dapat menggunakan karakter wildcard (*) untuk memberikan akses ke semua kunci dalam akun, atau subset yang cocok dengan pola nama tertentu.

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
            "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Condition": {
                "StringLike": {
                "kms:ViaService": "scheduler.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Contoh: GetSchedule

Gunakan kebijakan berikut untuk mengizinkan kepala sekolah mendapatkan informasi tentang jadwal.

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:GetSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        }
    ]
}

Contoh: UpdateSchedule

Gunakan kebijakan berikut untuk mengizinkan kepala sekolah memperbarui jadwal dengan memanggil scheduler:UpdateSchedule tindakan. Mirip denganCreateSchedule, kebijakan tergantung pada apakah jadwal menggunakan kunci AWS KMS Kunci milik AWS atau kunci yang dikelola pelanggan untuk enkripsi. Untuk jadwal yang dikonfigurasi dengan Kunci milik AWS, gunakan kebijakan berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Untuk jadwal yang dikonfigurasi dengan kunci yang dikelola pelanggan, gunakan kebijakan berikut. Kebijakan ini mencakup izin tambahan yang memungkinkan kepala sekolah mengakses AWS KMS sumber daya di akun Anda:

JSON

{
    "Version":"2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
            "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
    ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Condition": {
                "StringLike": {
                "kms:ViaService": "scheduler.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-east-1:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

Contoh: DeleteScheduleGroup

Gunakan kebijakan berikut untuk mengizinkan kepala sekolah menghapus grup jadwal. Saat Anda menghapus grup, Anda juga menghapus jadwal yang terkait dengan grup itu. Kepala sekolah yang menghapus grup harus memiliki izin untuk juga menghapus jadwal yang terkait dengan grup tersebut. Kebijakan ini memberikan izin utama untuk memang scheduler:DeleteScheduleGroup gil tindakan pada grup jadwal yang ditentukan, serta semua jadwal dalam grup:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteSchedule",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteScheduleGroup",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

AWS pembaruan kebijakan terkelola