Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
AWS chiavi di contesto della condizione globale
Quando un principale effettua una richiesta a AWS, AWS raccoglie le informazioni sulla richiesta in un contesto di richiesta. È possibile utilizzare l'elemento Condition
di una policy JSON per confrontare le chiavi della richiesta con i valori chiave specificati nella policy. Le informazioni sulla richiesta vengono fornite da diverse fonti, tra cui il responsabile che effettua la richiesta, la risorsa sulla quale viene effettuata la richiesta e i metadati relativi alla richiesta stessa.
Le chiavi di condizione globali possono essere utilizzate in tutti i AWS
servizi. Sebbene queste chiavi di condizione possano essere utilizzate in tutte le politiche, la chiave non è disponibile in tutti i contesti di richiesta. Ad esempio, la chiave di aws:SourceAccount
condizione è disponibile solo quando la chiamata alla risorsa viene effettuata direttamente da un responsabile AWS del servizio. Per ulteriori informazioni sulle circostanze in cui una chiave globale viene inclusa nel contesto della richiesta, consulta le informazioni sulla disponibilità per ciascuna chiave.
Alcuni servizi individuali creano le proprie chiavi di condizione che sono disponibili nel contesto della richiesta per altri servizi. Le chiavi di condizione tra servizi sono un tipo di chiave di condizione globale che includono un prefisso corrispondente al nome del servizio, ad esempio ec2:
olambda:
, ma sono disponibili in altri servizi.
Le chiavi di condizione specifiche del servizio sono definite per l'uso con un singolo servizio. AWS Ad esempio, Amazon S3 consente di scrivere una policy con la chiave di s3:VersionId
condizione per limitare l'accesso a una versione specifica di un oggetto Amazon S3. Questa chiave di condizione è unica per il servizio, il che significa che funziona solo con le richieste al servizio Amazon S3. Per le chiavi di condizione specifiche del servizio, consulta Actions, Resources e Condition Keys for AWS Services e scegli il servizio di cui desideri visualizzare le chiavi.
Nota
Se si utilizzano chiavi di condizione disponibili solo in alcune circostanze, è possibile utilizzare IfExistsle versioni degli operatori di condizione. Se le chiavi di condizione sono assenti da un contesto di richiesta, la policy può non riuscire a effettuare la valutazione. Ad esempio, utilizzare il seguente blocco condizionale con gli operatori ...IfExists
per verificare se una richiesta proviene da uno specifico intervallo IP o da un determinato VPC. Se una o entrambe le chiavi non sono incluse nel contesto della richiesta, la condizione restituisce comunque true
. I valori vengono controllati solo se la chiave specificata è inclusa nel contesto della richiesta. Per ulteriori informazioni su come viene valutata una politica quando una chiave non è presente per altri operatori, consulta Operatori di condizione.
"Condition": {
"IpAddressIfExists": {"aws:SourceIp" : ["xxx"] },
"StringEqualsIfExists" : {"aws:SourceVpc" : ["yyy"]}
}
Importante
Per confrontare la condizione con un contesto di richiesta con più valori chiave, devi utilizzare gli operatori su set ForAllValues
o ForAnyValue
. Utilizza gli operatori di insieme solo con le chiavi della condizione multivalore. Non utilizzare operatori con chiavi di condizione a valore singolo. Per ulteriori informazioni, consulta Chiavi di contesto multivalore.
Proprietà del principale | Proprietà di una sessione di ruolo | Proprietà della rete | Le proprietà della risorsa | Proprietà della richiesta |
---|---|---|---|---|
leggi: MultiFactor AuthPresent AWS: EC2 IPv4 privato InstanceSource |
Proprietà del principale
Utilizzate le seguenti chiavi di condizione per confrontare i dettagli sul principale che effettua la richiesta con le proprietà principali specificate nella politica. Per un elenco dei responsabili che possono effettuare richieste, vedereSpecifica di un'entità principale.
Indice
Leggi: PrincipalArn
Utilizzare questa chiave per confrontare il nome della risorsa Amazon (ARN) del principale che ha effettuato la richiesta con l'ARN specificato nella policy. Per i ruoli IAM, il contesto della richiesta restituisce l'ARN del ruolo, non l'ARN dell'utente che ha assunto il ruolo.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta per tutte le richieste firmate. Le richieste anonime non includono questa chiave. È possibile specificare i seguenti tipi di principali in questa chiave di condizione:
-
Ruolo IAM
-
Utente IAM
-
AWS STS sessione utente federata
-
Account AWS utente root
-
-
Tipo di dati: ARN, String
AWS consiglia di utilizzare operatori ARN anziché operatori stringa quando si confrontano gli ARN.
-
Tipo di valore: valore singolo
-
Valori di esempio L'elenco seguente mostra il valore del contesto della richiesta restituito per diversi tipi di principali che è possibile specificare nella
aws:PrincipalArn
chiave di condizione:-
Ruolo IAM- Il contesto della richiesta contiene il seguente valore per la chiave di condizione
aws:PrincipalArn
. Non specificare l'ARN della sessione del ruolo assunto come valore per questa chiave di condizione. Per ulteriori informazioni sul principale della sessione del ruolo assunto, consulta Principali della sessione come ruolo.arn:aws:iam::123456789012:role/role-name
-
Utente IAM- Il contesto della richiesta contiene il seguente valore per la chiave di condizione
aws:PrincipalArn
.arn:aws:iam::123456789012:user/
user-name
-
AWS STS sessioni utente federate: il contesto della richiesta contiene il seguente valore per la chiave di condizione.
aws:PrincipalArn
arn:aws:sts::123456789012:federated-user/
user-name
-
Account AWS utente root — Il contesto della richiesta contiene il seguente valore per la chiave
aws:PrincipalArn
di condizione. Quando si specifica l'ARN dell'utente root come valore per la chiave di condizioneaws:PrincipalArn
, limita le autorizzazioni solo per l'utente root del Account AWS. Questo è diverso dallo specificare l'ARN dell'utente root nell'elemento principale di una policy basata sulle risorse, che delega l'autorità al Account AWS. Per ulteriori informazioni sulla specifica dell'ARN dell'utente root nell'elemento principale di una policy basata sulle risorse, consulta Account AWS presidi.arn:aws:iam::123456789012:root
-
È possibile specificare l'ARN dell'utente root come valore per la chiave di condizione aws:PrincipalArn
nelle politiche di controllo AWS Organizations del servizio (SCP). Le SPC sono un tipo di policy dell'organizzazione utilizzate per gestire le autorizzazioni nell'organizzazione e riguardano solo gli account dei membri nell'organizzazione. Una SCP limita le autorizzazioni per i ruoli e gli utenti IAM e negli account membri, compreso l'utente root dell'account membro. Per ulteriori informazioni sull'effetto delle SCP sulle autorizzazioni, consulta Effetti delle SCP sulle autorizzazioni nella Guida per l'utente di Organizations.
leggi: PrincipalAccount
Utilizzare questa chiave per confrontare l'account a cui appartiene il principale richiedente con l'identificatore dell'account specificato nella policy. Per le richieste anonime, il contesto della richiesta restituisce anonymous
.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta per tutte le richieste, incluse le richieste anonime.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Nell'esempio seguente, l'accesso è negato tranne che ai principali con il numero di account 123456789012
.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyAccessFromPrincipalNotInSpecificAccount", "Action": "
service
:*", "Effect": "Deny", "Resource": [ "arn:aws:service:region:accountID:resource
" ], "Condition": { "StringNotEquals": { "aws:PrincipalAccount": [ "123456789012" ] } } } ] }
aws: PrincipalOrg Percorsi
Usa questa chiave per confrontare il AWS Organizations percorso del principale che effettua la richiesta con il percorso indicato nella policy. Tale principale può essere un utente IAM, un ruolo IAM, un utente federato o Utente root dell'account AWS. In una policy, questa chiave di condizione garantisce che il richiedente sia un membro dell'account all'interno della radice dell'organizzazione specificata o delle unità organizzative (OU) in AWS Organizations. Un AWS Organizations percorso è una rappresentazione testuale della struttura di un'entità Organizations. Per ulteriori informazioni sull'utilizzo e la comprensione dei percorsi, consultare Informazioni sul percorso dell'entità AWS Organizations.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta solo se il principale è membro di un'organizzazione. Le richieste anonime non includono questa chiave.
-
Tipo di dati: stringa (elenco)
-
Tipo di valore: multivalore
Nota
Gli ID organizzazione sono univoci a livello globale, ma gli ID delle unità organizzative e gli ID root sono univoci solo all'interno di un'organizzazione. Ciò significa che non ci sono due organizzazioni che condividono lo stesso ID organizzazione. Tuttavia, un'altra organizzazione potrebbe avere un'unità organizzativa o un root con il tuo stesso ID. Si consiglia di includere sempre l'ID organizzazione quando si specifica un'unità organizzativa o un root.
Ad esempio, la seguente condizione restituisce true
per le entità negli account collegati direttamente all'unità organizzativa ou-ab12-22222222
, ma non nelle unità organizzative figlie.
"Condition" : { "ForAnyValue:StringEquals" : { "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"] }}
La seguente condizione restituisce true
per i principali in un account collegato direttamente all'unità organizzativa o a una delle sue unità organizzative figlie. Quando si include un carattere jolly, è necessario utilizzare l'operatore condizionale StringLike
.
"Condition" : { "ForAnyValue:StringLike" : { "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/*"] }}
La seguente condizione restituisce true
per i principali in un account collegato direttamente a una delle unità organizzative figlie ma non all'unità organizzativa padre. La condizione precedente è per l'unità organizzativa o per qualsiasi figlio. La condizione seguente è solo per i figli (e tutti i figli di quei figli).
"Condition" : { "ForAnyValue:StringLike" : { "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/ou-*"] }}
La condizione seguente consente l'accesso per ogni principale nell'organizzazione o-a1b2c3d4e5
, indipendentemente dalla propria unità organizzativa padre.
"Condition" : { "ForAnyValue:StringLike" : { "aws:PrincipalOrgPaths":["o-a1b2c3d4e5/*"] }}
aws:PrincipalOrgPaths
è una chiave di condizione multivalore. Le chiavi multivalore possono avere più di un valore nel contesto della richiesta. Quando si utilizzano più valori con l'operatore condizionale ForAnyValue
, il percorso del principale deve corrispondere a uno dei percorsi elencati nella policy. Per ulteriori informazioni sulle chiavi di condizione multivalore, consultare Chiavi di contesto multivalore.
"Condition": { "ForAnyValue:StringLike": { "aws:PrincipalOrgPaths": [ "o-a1b2c3d4e5/r-ab12/ou-ab12-33333333/*", "o-a1b2c3d4e5/r-ab12/ou-ab12-22222222/*" ] } }
aws: PrincipalOrg ID
Utilizza questa chiave per confrontare l'identificatore dell'organizzazione AWS Organizations a cui appartiene il principale richiedente con l'identificatore specificato nella politica.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta solo se il principale è membro di un'organizzazione. Le richieste anonime non includono questa chiave.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Questa chiave globale fornisce un'alternativa per elencare tutti gli ID account per tutti gli account AWS all'interno di un'organizzazione. È possibile utilizzare questa chiave di condizione per specificare semplicemente l'elemento Principal
in una policy basata sulle risorse. È possibile specificare l'ID organizzazione nell'elemento condizionale. Quando si aggiunge e si rimuove un account, le policy che includono la chiave aws:PrincipalOrgID
includono automaticamente anche gli account corretti e non necessitano di aggiornamento manuale.
Ad esempio, la seguente policy del bucket Amazon S3 consente ai membri di qualsiasi account nell'organizzazione o-xxxxxxxxxxx
di aggiungere un oggetto al bucket policy-ninja-dev
.
{ "Version": "2012-10-17", "Statement": { "Sid": "AllowPutObject", "Effect": "Allow", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::policy-ninja-dev/*", "Condition": {"StringEquals": {"aws:PrincipalOrgID":"o-xxxxxxxxxxx"} } } }
Nota
Questa condizione globale vale anche per l'account di gestione di un'organizzazione AWS . Questa policy impedisce a tutti principali esterni all'organizzazione specificata di accedere al bucket Amazon S3. Sono inclusi tutti AWS i servizi che interagiscono con le risorse interne, come AWS CloudTrail l'invio di dati di log ai bucket Amazon S3. Per scoprire come concedere l'accesso ai AWS servizi in modo sicuro, consulta. leggi: PrincipalIs AWSService
Per ulteriori informazioni su AWS Organizations, consulta What Is AWS Organizations? nella Guida AWS Organizations per l'utente.
aws:PrincipalTag//tag-key
Utilizzare questa chiave per confrontare il tag collegato al principale che effettua la richiesta con il tag specificato nella policy. Se il principale ha più di un tag collegato, il contesto della richiesta include una chiave aws:PrincipalTag
per ogni chiave tag collegata.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta se il principale utilizza un utente IAM con tag collegati. È inclusa per un principale che utilizza un ruolo IAM con tag collegati o tag di sessione. Le richieste anonime non includono questa chiave.
-
Tipo di valore: valore singolo
È possibile aggiungere attributi personalizzati a un utente o a un ruolo sotto forma di coppia chiave-valore. Per ulteriori informazioni sui tag in IAM, consulta Tagging delle risorse IAM. Puoi utilizzare aws:PrincipalTag
per controllare l'accesso per i principali AWS
.
Questo esempio mostra come creare una policy basata sull'identità che consenta agli utenti con il tag department=hr
per gestire utenti, gruppi o ruoli IAM. Per utilizzare questa policy, sostituisci il testo segnaposto in corsivo
nella policy di esempio con le tue informazioni. Quindi, segui le indicazioni fornite in Creazione di una policy o Modifica di una policy.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:*", "Resource": "*", "Condition": { "StringEquals": { "aws:PrincipalTag/
department
": "hr
" } } } ] }
leggi: PrincipalIs AWSService
Usa questa chiave per verificare se la chiamata alla tua risorsa viene effettuata direttamente da un responsabile AWS del servizio. Ad esempio, AWS CloudTrail utilizza il principale del servizio cloudtrail.amazonaws.com
per scrivere log nel bucket Amazon S3. La chiave di contesto della richiesta è impostata su true (VERO) quando un servizio utilizza un principale del servizio per eseguire un'operazione diretta sulle risorse. La chiave di contesto è impostata su false se il servizio utilizza le credenziali di un principale IAM per effettuare una richiesta per conto del principale. Viene impostata su false anche se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale.
-
Disponibilità: questa chiave è presente nel contesto della richiesta per tutte le richieste di API firmate che utilizzano le credenziali AWS . Le richieste anonime non includono questa chiave.
-
Tipo di dati: booleano
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per limitare l'accesso alle identità attendibili e alle posizioni di rete previste, garantendo al contempo l'accesso ai servizi in modo sicuro. AWS
Nel seguente esempio di policy sui bucket di Amazon S3, l'accesso al bucket è limitato a meno che la richiesta non provenga da vpc-111bbb22
o provenga da un responsabile del servizio, ad esempio. CloudTrail
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Expected-network+service-principal", "Effect": "Deny", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::
DOC-EXAMPLE-BUCKET1
/AWS Logs/AccountNumber
/*", "Condition": { "StringNotEqualsIfExists": { "aws:SourceVpc": "vpc-111bbb22" }, "BoolIfExists": { "aws:PrincipalIsAWSService": "false" } } } ] }
Nel seguente video, scopri ulteriori informazioni su come utilizzare la chiave di condizione aws:PrincipalIsAWSService
in una policy.
aws: PrincipalService Nome
Utilizza questa chiave per confrontare il nome del principale del servizio nella policy con il prinicpale del servizio che effettua richieste alle risorse. È possibile utilizzare questa chiave per verificare se la chiamata viene effettuata da un principale del servizio specifico. Quando un principale del servizio effettua una richiesta diretta alla risorsa, la chiave aws:PrincipalServiceName
contiene il nome del principale del servizio. Ad esempio, il nome principale del AWS CloudTrail servizio ècloudtrail.amazonaws.com
.
-
Disponibilità: questa chiave è presente nella richiesta quando la chiamata viene effettuata da un responsabile AWS del servizio. Questa chiave non è presente in alcun'altra situazione, tra cui:
-
Se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale.
-
Se il servizio utilizza le credenziali di un principale IAM per effettuare una richiesta per conto del principale.
-
Se la chiamata viene effettuata direttamente da un principale IAM.
-
Se la chiamata viene effettuata da un richiedente anonimo.
-
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per limitare l'accesso alle identità attendibili e alle posizioni di rete previste, garantendo al contempo l'accesso a un AWS servizio in tutta sicurezza.
Nel seguente esempio di policy sui bucket di Amazon S3, l'accesso al bucket è limitato a meno che la richiesta non provenga da vpc-111bbb22
o provenga da un responsabile del servizio, ad esempio. CloudTrail
{ "Version": "2012-10-17", "Statement": [ { "Sid": "expected-network+service-principal", "Effect": "Deny", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::
DOC-EXAMPLE-BUCKET1
/AWS Logs/AccountNumber
/*", "Condition": { "StringNotEqualsIfExists": { "aws:SourceVpc": "vpc-111bbb22", "aws:PrincipalServiceName": "cloudtrail.amazonaws.com" } } } ] }
leggi: PrincipalService NamesList
Questa chiave fornisce un elenco di tutti i nomi dei principali del servizio che appartengono al servizio. Questa è una chiave di condizione avanzata. È possibile utilizzarlo per impedire al servizio di accedere alla risorsa solo da una regione specifica. Alcuni servizi possono creare entità di servizio regionali per indicare una particolare istanza del servizio all'interno di una regione specifica. È possibile limitare l'accesso a una risorsa a una particolare istanza del servizio. Quando un principale del servizio effettua una richiesta diretta alla risorsa, aws:PrincipalServiceNamesList
contiene un elenco non ordinato di tutti i nomi di principali del servizio associati all'istanza regionale del servizio.
-
Disponibilità: questa chiave è presente nella richiesta quando la chiamata viene effettuata da un responsabile AWS del servizio. Questa chiave non è presente in alcun'altra situazione, tra cui:
-
Se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale.
-
Se il servizio utilizza le credenziali di un principale IAM per effettuare una richiesta per conto del principale.
-
Se la chiamata viene effettuata direttamente da un principale IAM.
-
Se la chiamata viene effettuata da un richiedente anonimo.
-
-
Tipo di dati: stringa (elenco)
-
Tipo di valore: multivalore
aws:PrincipalServiceNamesList
è una chiave di condizione multivalore. Le chiavi multivalore possono avere più di un valore nel contesto della richiesta. È necessario utilizzare gli operatori di insieme ForAnyValue
o ForAllValues
con gli operatori di condizione di stringa quando si utilizza questa chiave. Per ulteriori informazioni sulle chiavi di condizione multivalore, consultare Chiavi di contesto multivalore.
leggi: PrincipalType
Utilizzare questa chiave per confrontare il tipo di principale che effettua la richiesta con il tipo di principale specificato nella policy. Per ulteriori informazioni, consulta Specifica di un'entità principale. Per esempi specifici di valori chiave principal
, vedi Valori della chiave dell'entità principale.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta per tutte le richieste, incluse le richieste anonime.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
aws:userid
Utilizzare questa chiave per confrontare l'identificatore del principale richiedente con l'ID specificato nella policy. Per gli utenti IAM, il valore del contesto della richiesta è l'ID utente. Per i ruoli IAM, questo formato di valore può variare. Per informazioni dettagliate su come vengono visualizzate le informazioni per diverse entità, consultare Specifica di un'entità principale. Per esempi specifici di valori chiave principal
, vedi Valori della chiave dell'entità principale.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta per tutte le richieste, incluse le richieste anonime.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
aws:username
Utilizzare questa chiave per confrontare il nome utente del richiedente con il nome utente specificato nella policy. Per informazioni dettagliate su come vengono visualizzate le informazioni per diverse entità, consultare Specifica di un'entità principale. Per esempi specifici di valori chiave principal
, vedi Valori della chiave dell'entità principale.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta per gli utenti IAM. Le richieste anonime e le richieste effettuate utilizzando i ruoli Utente root dell'account AWS o IAM non includono questa chiave. Le richieste effettuate utilizzando le credenziali di IAM Identity Center non includono questa chiave nel contesto.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Proprietà di una sessione di ruolo
Utilizzate le seguenti chiavi di condizione per confrontare le proprietà della sessione di ruolo al momento della generazione della sessione. Queste chiavi di condizione sono disponibili solo quando una richiesta viene effettuata da un principale con credenziali di sessione di ruolo o utente federato. I valori di queste chiavi di condizione sono incorporati nel token di sessione del ruolo.
Un ruolo è un tipo di principale. È inoltre possibile utilizzare le chiavi di condizione della Proprietà del principale sezione per valutare le proprietà di un ruolo quando un ruolo effettua una richiesta.
Indice
- leggi: FederatedProvider
- aws: TokenIssue Ora
- leggi: MultiFactor AuthAge
- leggi: MultiFactor AuthPresent
- AWS: EC2 Vpc InstanceSource
- AWS: EC2 IPv4 privato InstanceSource
- leggi: SourceIdentity
- ec2: RoleDelivery
- ec2: Arn SourceInstance
- colla: RoleAssumed Di
- glue: Servizio CredentialIssuing
- lambda: Arn SourceFunction
- ssm: Arn SourceInstance
- archivio di identità: UserId
leggi: FederatedProvider
Utilizzare questa chiave per confrontare il provider dell'identità di emissione (IdP) del principale con l'IdP specificato nella policy. Ciò significa che è stato assunto un ruolo IAM utilizzando l'AssumeRoleWithWebIdentity
AWS STS operazione. Quando le credenziali temporanee della sessione come ruolo risultante vengono utilizzate per effettuare una richiesta, il contesto della richiesta identifica l'IdP che ha autenticato l'identità federata originale.
-
Disponibilità: questa chiave è presente quando il principale è un principale della sessione come ruolo e quella sessione è stata emessa quando un ruolo è stato assunto con
AssumeRoleWithWebIdentity
. -
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Ad esempio, se l'utente è stato autenticato tramite Amazon Cognito, il contesto delle richiesta include il valore cognito-identity.amazonaws.com
. Analogamente, se l'utente è stato autenticato tramite Login with Amazon, il contesto della richiesta contiene il valore www.amazon.com
.
È possibile utilizzare qualsiasi chiave di condizione a valore singolo come variabile. L'esempio seguente di policy basata sulle risorse utilizza la chiave aws:FederatedProvider
come variabile di policy nell'ARN di una risorsa. Questa policy consente a qualsiasi principale che ha effettuato l'autenticazione tramite un IdP di estrarre oggetti da un bucket Amazon S3 con un percorso specifico per il provider di identità di emissione.
aws: TokenIssue Ora
Utilizzare questa chiave per confrontare la data e l'ora in cui sono state emesse le credenziali di sicurezza temporanee con la data e l'ora specificate nella policy.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando il principale utilizza credenziali temporanee per effettuare la richiesta. La chiave non è presente nelle AWS CLI richieste AWS API o AWS SDK effettuate utilizzando le chiavi di accesso.
-
Tipo di dati: data
-
Tipo di valore: valore singolo
Per sapere quali servizi supportano l'utilizzo di credenziali temporanee, consulta AWS servizi che funzionano con IAM.
leggi: MultiFactor AuthAge
Utilizzare questa chiave per confrontare il numero di secondi da quando il principale richiedente è stato autorizzato utilizzando MFA con il numero specificato nella policy. Per ulteriori informazioni sulla funzionalità MFA, consultare Utilizzo dell'autenticazione a più fattori (MFA) in AWS.
Importante
Questa chiave condizionale non è presente per le identità federate o le richieste effettuate utilizzando chiavi di accesso per firmare richieste AWS CLI, AWS API o SDK. AWS Per ulteriori informazioni sull'aggiunta della protezione MFA alle operazioni API con credenziali di sicurezza temporanee, consulta. Configurazione dell'accesso alle API protetto da MFA
Per verificare se l'autenticazione MFA viene utilizzata per convalidare le identità federate IAM, puoi passare il metodo di autenticazione dal tuo provider di identità come tag di AWS sessione. Per informazioni dettagliate, vedi Passare i tag di sessione AWS STS. Per applicare la MFA per le identità di IAM Identity Center, puoi abilitare gli attributi per il controllo degli accessi per passare una dichiarazione di asserzione SAML con il metodo di autenticazione dal tuo provider di identità a IAM Identity Center.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando il principale utilizza credenziali di sicurezza temporanee per effettuare la richiesta. Le politiche con condizioni MFA possono essere allegate a:
-
Un utente o un gruppo IAM
-
Una risorsa, ad esempio un bucket Amazon S3, una coda Amazon SQS o un argomento Amazon SNS
-
La policy di attendibilità di un ruolo IAM che può essere assunto da un utente
-
-
Tipo di dati: numerico
-
Tipo di valore: valore singolo
leggi: MultiFactor AuthPresent
Utilizza questa chiave per verificare se è stata utilizzata l'autenticazione a più fattori (MFA) per convalidare le credenziali di sicurezza temporanee che hanno effettuato la richiesta.
Importante
Questa chiave condizionale non è presente per le identità federate o le richieste effettuate utilizzando chiavi di accesso per firmare richieste AWS CLI, AWS API o SDK. AWS Per ulteriori informazioni sull'aggiunta della protezione MFA alle operazioni API con credenziali di sicurezza temporanee, consulta. Configurazione dell'accesso alle API protetto da MFA
Per verificare se l'autenticazione MFA viene utilizzata per convalidare le identità federate IAM, puoi passare il metodo di autenticazione dal tuo provider di identità come tag di AWS sessione. Per informazioni dettagliate, vedi Passare i tag di sessione AWS STS. Per applicare la MFA per le identità di IAM Identity Center, puoi abilitare gli attributi per il controllo degli accessi per passare una dichiarazione di asserzione SAML con il metodo di autenticazione dal tuo provider di identità a IAM Identity Center.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando il principale utilizza credenziali temporanee per effettuare la richiesta. Le politiche con condizioni MFA possono essere allegate a:
-
Un utente o un gruppo IAM
-
Una risorsa, ad esempio un bucket Amazon S3, una coda Amazon SQS o un argomento Amazon SNS
-
La policy di attendibilità di un ruolo IAM che può essere assunto da un utente
-
-
Tipo di valore: valore singolo
Le credenziali temporanee vengono utilizzate per autenticare i ruoli IAM e gli utenti IAM con token temporanei di AssumeRoleor GetSessionToken e gli utenti di. AWS Management Console
Le chiavi di accesso utente IAM sono credenziali a lungo termine, ma in alcuni casi AWS creano credenziali temporanee per conto degli utenti IAM per eseguire operazioni. In questi casi, la chiave aws:MultiFactorAuthPresent
è presente nella richiesta ed è impostata su un valore false
. Esistono due casi comuni in cui ciò può accadere:
-
Gli utenti IAM utilizzano AWS Management Console inconsapevolmente credenziali temporanee. Gli utenti accedono alla console utilizzando il nome utente e la password, che sono credenziali a lungo termine. Tuttavia, in background, la console genera credenziali temporanee per conto dell'utente.
-
Se un utente IAM effettua una chiamata a un AWS servizio, il servizio riutilizza le credenziali dell'utente per effettuare un'altra richiesta a un servizio diverso. Ad esempio, quando si chiama Athena per accedere a un bucket Amazon S3 o quando lo si AWS CloudFormation utilizza per creare un'istanza Amazon EC2. Per la richiesta successiva, utilizza credenziali temporanee AWS .
Per sapere quali servizi supportano l'utilizzo di credenziali temporanee, consulta AWS servizi che funzionano con IAM.
La chiave aws:MultiFactorAuthPresent
non è presente quando vengono lanciati un'API o un comando della CLI con credenziali a lungo termine, ad esempio coppie di chiavi di accesso. Pertanto, si consiglia, quando si controlla questa chiave, di utilizzare le versioni ...IfExists
degli operatori di condizione.
È importante capire che il seguente elemento Condition
non è un modo affidabile per controllare se una richiesta è autenticata utilizzando MFA.
##### WARNING: NOT RECOMMENDED #####
"Effect" : "Deny",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "false" } }
Questa combinazione di effetto Deny
, elemento Bool
e valore false
nega le richieste che possono essere autenticate utilizzando MFA, ma che non lo sono. Ciò è valido solo per le credenziali temporanee che supportano l'uso di MFA. Questa istruzione non nega l'accesso alle richieste effettuate utilizzando le credenziali a lungo termine oppure alle richieste autenticate utilizzando MFA. Utilizza questo esempio con cautela in quanto la relativa logica è complessa e non verifica se l'autenticazione MFA è stata effettivamente utilizzata.
Inoltre, non utilizzare la combinazione di effetto Deny
, elemento Null
e true
perché ha lo stesso comportamento e la logica è ancora più complessa.
Combinazione consigliata
Consigliamo di utilizzare l'operatore BoolIfExists per verificare se una richiesta viene autenticata con MFA.
"Effect" : "Deny", "Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "false" } }
Questa combinazione di Deny
, BoolIfExists
e false
nega le richieste che non vengono autenticate con MFA. Nello specifico, nega le richieste da credenziali temporanee che non includono MFA. Nega inoltre le richieste effettuate utilizzando credenziali a lungo termine, ad esempio AWS CLI operazioni AWS API effettuate utilizzando chiavi di accesso. L'operatore *IfExists
verifica la presenza della chiave aws:MultiFactorAuthPresent
e se potrebbe essere presente o meno, come indicato dalla relativa esistenza. Utilizzalo quando intendi negare qualsiasi richiesta non autenticata con MFA. È più sicuro, ma può violare qualsiasi codice o script che utilizza le chiavi di accesso per accedere all' AWS CLI API or. AWS
Combinazioni alternative
È inoltre possibile utilizzare l'BoolIfExistsoperatore per consentire le richieste autenticate tramite MFA AWS CLI e/o le richieste AWS API effettuate utilizzando credenziali a lungo termine.
"Effect" : "Allow", "Condition" : { "BoolIfExists" : { "aws:MultiFactorAuthPresent" : "true" } }
Questa condizione è corrispondente se la chiave esiste ed è presente o se la chiave non esiste. Questa combinazione di Allow
, BoolIfExists
e true
consente le richieste autenticate con MFA o le richieste che non possono essere autenticate con MFA. Ciò significa che le AWS CLI operazioni AWS API e AWS SDK sono consentite quando il richiedente utilizza le proprie chiavi di accesso a lungo termine. Questa combinazione non consente le richieste da credenziali temporanee che potrebbero ma non includono MFA.
Quando crei una policy utilizzando l'editor visivo della console IAM e scegli MFA obbligatoria, questa combinazione viene applicata. Questa impostazione richiede MFA per l'accesso alla console, ma consente l'accesso programmatico senza MFA.
In alternativa, puoi utilizzare l'operatore Bool
per consentire le richieste programmatiche e della console solo quando autenticate tramite MFA.
"Effect" : "Allow",
"Condition" : { "Bool" : { "aws:MultiFactorAuthPresent" : "true" } }
Questa combinazione di Allow
, Bool
e true
consente solo le richieste autenticate mediante MFA. Ciò è valido solo per le credenziali temporanee che supportano l'uso di MFA. Questa istruzione non consente l'accesso alle richieste eseguite utilizzando chiavi di accesso a lungo termine oppure alle richieste eseguite utilizzando credenziali temporanee senza MFA.
Non utilizzare una struttura di policy simile alle seguenti per controllare se la chiave MFA è presente:
##### WARNING: USE WITH CAUTION #####
"Effect" : "Allow",
"Condition" : { "Null" : { "aws:MultiFactorAuthPresent" : "false" } }
Questa combinazione di effetto Allow
, elemento Null
e valore false
consente solo le richieste che possono essere autenticate mediante MFA, indipendentemente dall'autenticazione o meno della richiesta. Ciò consente tutte le richieste eseguite utilizzando credenziali temporanee e nega l'accesso alle credenziali a lungo termine. Utilizza questo esempio con cautela in quanto non verifica se l'autenticazione MFA è stata effettivamente utilizzata.
AWS: EC2 Vpc InstanceSource
Questa chiave identifica il VPC al quale sono state consegnate le credenziali del ruolo IAM di Amazon EC2. È possibile utilizzare questa chiave in una policy con la chiave globale aws:SourceVPC per verificare se da un VPC (aws:SourceVPC
) viene effettuata una chiamata che corrisponde al VPC al quale è stata consegnata una credenziale (aws:Ec2InstanceSourceVpc
).
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che il richiedente firma le richieste con una credenziale di ruolo Amazon EC2. Può essere utilizzata nelle policy IAM, nelle policy di controllo dei servizi, nelle policy degli endpoint VPC e nelle policy delle risorse.
-
Tipo di valore: valore singolo
Questa chiave può essere utilizzata con i valori identificativi del VPC, ma è particolarmente utile se impiegata come variabile in combinazione con la chiave di contesto aws:SourceVpc
. La chiave di contesto aws:SourceVpc
viene inclusa nel contesto della richiesta solo se il richiedente utilizza un endpoint VPC per effettuare la richiesta. L'impiego di aws:Ec2InstanceSourceVpc
con aws:SourceVpc
consente di utilizzare aws:Ec2InstanceSourceVpc
in modo più ampio, poiché confronta dei valori che in genere cambiano insieme.
Nota
Questa chiave di condizione non è disponibile in EC2-Classic.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "RequireSameVPC", "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:SourceVpc": "${aws:Ec2InstanceSourceVpc}" }, "Null": { "ec2:SourceInstanceARN": "false" }, "BoolIfExists": { "aws:ViaAWSService": "false" } } } ] }
Nell'esempio precedente, l'accesso è negato se il valore di aws:SourceVpc
non corrisponde al valore di aws:Ec2InstanceSourceVpc
. L'istruzione della policy è limitata ai soli ruoli utilizzati come ruoli dell'istanza Amazon EC2 verificando l'esistenza della chiave di condizione ec2:SourceInstanceARN
.
La policy consente aws:ViaAWSService
di AWS autorizzare le richieste quando vengono effettuate per conto dei ruoli delle istanze Amazon EC2. Ad esempio, quando effettui una richiesta da un'istanza Amazon EC2 a un bucket Amazon S3 crittografato, Amazon S3 effettua una chiamata a per tuo conto. AWS KMS Alcune chiavi non sono presenti quando viene effettuata la richiesta a. AWS KMS
AWS: EC2 IPv4 privato InstanceSource
Questa chiave identifica l'indirizzo IPv4 privato dell'interfaccia di rete elastica primaria a cui sono state consegnate le credenziali del ruolo IAM di Amazon EC2. Per assicurarti di disporre di una combinazione unica a livello globale di ID VPC e IP privato di origine, devi utilizzare questa chiave di condizione con la relativa chiave complementare aws:Ec2InstanceSourceVpc
. Utilizza questa chiave con aws:Ec2InstanceSourceVpc
per assicurarti che la richiesta sia stata effettuata dallo stesso indirizzo IP privato a cui sono state consegnate le credenziali.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che il richiedente firma le richieste con una credenziale di ruolo Amazon EC2. Può essere utilizzata nelle policy IAM, nelle policy di controllo dei servizi, nelle policy degli endpoint VPC e nelle policy delle risorse.
-
Tipo di valore: valore singolo
Importante
Questa chiave non deve essere utilizzata da sola in un'istruzione Allow
. Per definizione, gli indirizzi IP privati non sono univoci a livello globale. Dovresti usare la chiave aws:Ec2InstanceSourceVpc
ogni volta che utilizzi la chiave aws:Ec2InstanceSourcePrivateIPv4
per specificare il VPC dal quale possono essere utilizzate le credenziali dell'istanza Amazon EC2.
Nota
Questa chiave di condizione non è disponibile in EC2-Classic.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:Ec2InstanceSourceVpc": "${aws:SourceVpc}" }, "Null": { "ec2:SourceInstanceARN": "false" }, "BoolIfExists": { "aws:ViaAWSService": "false" } } }, { "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:Ec2InstanceSourcePrivateIPv4": "${aws:VpcSourceIp}" }, "Null": { "ec2:SourceInstanceARN": "false" }, "BoolIfExists": { "aws:ViaAWSService": "false" } } } ] }
leggi: SourceIdentity
Utilizza questa chiave per confrontare l'identità di origine impostata dal principale con l'identità di origine specificata nella policy.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta dopo che è stata impostata un'identità di origine quando si assume un ruolo utilizzando qualsiasi comando CLI AWS STS assume-role o operazione API. AWS STS
AssumeRole
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave in una policy per consentire l'esecuzione di azioni AWS da parte dei responsabili che hanno impostato un'identità di origine quando assumono un ruolo. L'attività per l'identità di origine specificata del ruolo viene visualizzata in AWS CloudTrail. In questo modo è più facile per gli amministratori determinare chi o cosa ha eseguito le azioni con un ruolo. AWS
A differenza di sts:RoleSessionName, dopo aver impostato l'identità di origine, il valore non può essere modificato. È presente nel contesto della richiesta di tutte le operazioni intraprese dal ruolo. Il valore persiste nelle sessioni di ruolo successive quando si utilizzano le credenziali di sessione per assumere un altro ruolo. L'assunzione di un ruolo partendo da un altro si chiama concatenamento del ruolo.
La sts:SourceIdentitychiave è presente nella richiesta quando il principale imposta inizialmente un'identità di origine assumendo un ruolo utilizzando qualsiasi comando CLI o operazione API di AWS STS assume-role. AWS STS
AssumeRole
La chiave aws:SourceIdentity
è presente nella richiesta per tutte le operazioni eseguite con una sessione di ruolo con un set di identità di origine.
La policy di attendibilità del ruolo riportata di seguito per CriticalRole
nell'account 111122223333
contiene una condizione per aws:SourceIdentity
che impedisce a un principale senza un'identità di origine impostata su Saanvi o Diego di assumere il ruolo.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AssumeRoleIfSourceIdentity", "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::123456789012:role/CriticalRole"}, "Action": [ "sts:AssumeRole", "sts:SetSourceIdentity" ], "Condition": { "StringLike": { "aws:SourceIdentity": ["Saanvi","Diego"] } } } ] }
Per ulteriori informazioni sull'utilizzo dell'identità di origine, consulta Monitoraggio e controllo delle operazioni intraprese con i ruoli assunti.
ec2: RoleDelivery
Usa questa chiave per confrontare la versione del servizio di metadati dell'istanza nella richiesta firmata con le credenziali del ruolo IAM per Amazon EC2. Il servizio di metadati dell'istanza esegue la distinzione tra richieste IMDSv1 e IMDSv2 a seconda che, per una determinata richiesta, le intestazioni PUT
o GET
, che sono univoche per IMDSv2, siano presenti in tale richiesta.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che la sessione di ruolo viene creata da un'istanza Amazon EC2.
-
Tipo di dati: numerico
-
Tipo di valore: valore singolo
-
Valori di esempio: 1,0, 2,0
Puoi configurare il servizio di metadati dell'istanza (IMDS) su ogni istanza in modo che il codice locale o gli utenti utilizzino IMDSv2. Quando specifichi l'utilizzo di IMDSv2, IMDSv1 non funziona più.
-
Instance Metadata Service versione 1 (IMDSv1): un metodo di richiesta/risposta
-
Servizio di metadati dell'istanza Versione 2 (IMDSv2): un metodo orientato alla sessione
Nell'esempio seguente, l'accesso è negato se il RoleDelivery valore ec2: nel contesto della richiesta è 1.0 (IMDSv1). Questa dichiarazione politica può essere applicata in generale perché, se la richiesta non è firmata dalle credenziali del ruolo di Amazon EC2, non ha alcun effetto.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "RequireAllEc2RolesToUseV2", "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "NumericLessThan": { "ec2:RoleDelivery": "2.0" } } } ] }
Per ulteriori informazioni, consulta Politiche di esempio per l'utilizzo dei metadati delle istanze.
ec2: Arn SourceInstance
Utilizzate questa chiave per confrontare l'ARN dell'istanza da cui è stata generata la sessione del ruolo.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che la sessione di ruolo viene creata da un'istanza Amazon EC2.
-
Tipo di dati: ARN
-
Tipo di valore: valore singolo
-
Valore di esempio: arn:aws:ec2:us-west- 2:1111:instance/instance-id
Per esempi di policy, consulta Consentire a un'istanza specifica di visualizzare le risorse in altri servizi. AWS
colla: RoleAssumed Di
Il AWS Glue servizio imposta questa chiave di condizione per ogni richiesta AWS API, in cui AWS Glue effettua una richiesta utilizzando un ruolo di servizio per conto del cliente (non tramite un endpoint di lavoro o sviluppatore, ma direttamente dal AWS Glue servizio). Utilizzate questa chiave per verificare se una chiamata a una AWS risorsa proviene dal AWS Glue servizio.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta quando si AWS Glue effettua una richiesta utilizzando un ruolo di servizio per conto del cliente.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
-
Valore di esempio: questa chiave è sempre impostata su
glue.amazonaws.com
.
L'esempio seguente aggiunge una condizione per consentire al AWS Glue servizio di ottenere un oggetto da un bucket Amazon S3.
{ "Effect": "Allow", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::confidential-bucket/*", "Condition": { "StringEquals": { "glue:RoleAssumedBy": "glue.amazonaws.com" } } }
glue: Servizio CredentialIssuing
Il AWS Glue servizio imposta questa chiave per ogni richiesta AWS API utilizzando un ruolo di servizio che proviene da un endpoint di lavoro o di sviluppo. Usa questa chiave per verificare se una chiamata a una AWS risorsa proviene da un AWS Glue job o da un endpoint di sviluppo.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta quando si AWS Glue effettua una richiesta proveniente da un job o da un endpoint di sviluppo.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
-
Valore di esempio: questa chiave è sempre impostata su
glue.amazonaws.com
.
L'esempio seguente aggiunge una condizione associata a un ruolo IAM utilizzato da un AWS Glue job. Ciò garantisce che determinate azioni siano consentite/negate a seconda che la sessione di ruolo venga utilizzata per un ambiente di esecuzione del AWS Glue lavoro.
{ "Effect": "Allow", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::confidential-bucket/*", "Condition": { "StringEquals": { "glue:CredentialIssuingService": "glue.amazonaws.com" } } }
lambda: Arn SourceFunction
Usa questa chiave per identificare l'ARN della funzione Lambda a cui sono state consegnate le credenziali del ruolo IAM. Il servizio Lambda imposta questa chiave per ogni richiesta AWS API proveniente dall'ambiente di esecuzione della funzione. Usa questa chiave per verificare se una chiamata a una AWS risorsa proviene dal codice di una funzione Lambda specifica. Lambda imposta questa chiave anche per alcune richieste che provengono dall'esterno dell'ambiente di esecuzione, come la scrittura di log CloudWatch e l'invio di tracce a X-Ray.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che viene richiamato il codice della funzione Lambda.
-
Tipo di dati: ARN
-
Tipo di valore: valore singolo
-
Valore di esempio: arn:aws:lambda:us-east- 1:123456789012:function: TestFunction
L'esempio seguente consente a una funzione Lambda specifica di s3:PutObject
accedere al bucket specificato.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ExampleSourceFunctionArn", "Effect": "Allow", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*", "Condition": { "ArnEquals": { "lambda:SourceFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:source_lambda" } } } ] }
Per ulteriori informazioni, consulta Lavorare con le credenziali dell'ambiente di esecuzione Lambda nella Guida per gli AWS Lambda sviluppatori.
ssm: Arn SourceInstance
Utilizza questa chiave per identificare l'ARN dell'istanza AWS Systems Manager gestita a cui sono state consegnate le credenziali del ruolo IAM. Questa chiave di condizione non è presente quando la richiesta proviene da un'istanza gestita con un ruolo IAM associato a un profilo di istanza Amazon EC2.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta ogni volta che le credenziali del ruolo vengono consegnate a un'istanza AWS Systems Manager gestita.
-
Tipo di dati: ARN
-
Tipo di valore: valore singolo
-
Valore di esempio: arn:aws:ec2:us-west- 2:1111:instance/instance-id
archivio di identità: UserId
Utilizza questa chiave per confrontare l'identità della forza lavoro di IAM Identity Center nella richiesta firmata con l'identità specificata nella policy.
-
Disponibilità: questa chiave viene inclusa quando il chiamante della richiesta è un utente di IAM Identity Center.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
-
Valore di esempio: 94482488-3041-7026-18f3-be45837cd0e4
Puoi trovare il nome di un utente in IAM Identity Center effettuando una richiesta all'API UserId Id utilizzando l'API, o l'SDK. GetUser AWS CLI AWS AWS
Proprietà della rete
Utilizzate le seguenti chiavi di condizione per confrontare i dettagli sulla rete da cui la richiesta ha avuto origine o da cui è passata la richiesta con le proprietà di rete specificate nella politica.
leggi: SourceIp
Utilizzare questa chiave per confrontare l'indirizzo IP del richiedente con l'indirizzo IP specificato nella policy. La chiave di condizione aws:SourceIp
può essere utilizzata solo per intervalli di indirizzi IP pubblici.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta, tranne quando il richiedente utilizza un endpoint VPC per effettuare la richiesta.
-
Tipo di dati: indirizzo IP
-
Tipo di valore: valore singolo
La chiave di condizione aws:SourceIp
può essere utilizzata in una policy per consentire ai principali di effettuare richieste solo all'interno di un intervallo IP specificato.
Nota
aws:SourceIp
supporta indirizzi sia IPv4 sia IPv6 e intervalli di indirizzi IP. Per un elenco di quelli Servizi AWS che supportano IPv6, consulta Servizi AWS la pagina relativa al supporto IPv6 nella Amazon VPC User Guide.
Ad esempio, puoi collegare la seguente policy basata sull’identità a un ruolo IAM. Questa policy consente all'utente di collocare oggetti nel bucket di Amazon S3 DOC-EXAMPLE-BUCKET3
se effettua la chiamata dall'intervallo di indirizzi IPv4 specificato. Questa politica consente inoltre a un AWS servizio che utilizza di eseguire questa operazione Inoltro delle sessioni di accesso per tuo conto.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "PrincipalPutObjectIfIpAddress", "Effect": "Allow", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET3/*", "Condition": { "IpAddress": { "aws:SourceIp": "
203.0.113.0/24
" } } } ] }
Se devi limitare l'accesso a reti che supportano l'indirizzamento sia IPv4 che IPv6, puoi includere l'indirizzo o gli intervalli di indirizzi IP IPv4 e IPv6 nella condizione della policy IAM. La seguente policy basata sull’identità consente all'utente di collocare oggetti nel bucket di Amazon S3 DOC-EXAMPLE-BUCKET3
se l’utente effettua la chiamata dall'intervallo di indirizzi IPv4 o IPv6 specificato. Prima di includere gli intervalli di indirizzi IPv6 nella tua policy IAM, verifica che l'intervallo con Servizio AWS cui stai lavorando supporti IPv6. Per un elenco di quelli Servizi AWS che supportano IPv6, consulta Servizi AWS la pagina relativa al supporto IPv6 nella Amazon VPC User Guide.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "PrincipalPutObjectIfIpAddress", "Effect": "Allow", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET3/*", "Condition": { "IpAddress": { "aws:SourceIp": [ "
203.0.113.0/24
", "2001:DB8:1234:5678::/64
" ] } } } ] }
Se la richiesta proviene da un host che utilizza un endpoint Amazon VPC, la chiave aws:SourceIp
non è disponibile. Dovresti invece usare una chiave specifica per VPC come aws: Ip. VpcSource Per ulteriori informazioni sull'utilizzo degli endpoint VPC, consulta la sezione Gestione delle identità e degli accessi per endpoint VPC e servizi endpoint VPC nella Guida di AWS PrivateLink .
come: SourceVpc
Usa questa chiave per verificare se la richiesta viaggia attraverso il VPC a cui è collegato l'endpoint VPC. In una policy è possibile utilizzare questa chiave per consentire l'accesso solo a un VPC specifico. Per ulteriori informazioni, consulta Limitazione dell'accesso a un VPC specifico nella Guida per l'utente di Amazon Simple Storage Service.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo se il richiedente utilizza un endpoint VPC per effettuare la richiesta.
-
Tipo di valore: valore singolo
leggi: SourceVpce
Utilizzare questa chiave per confrontare l'identificatore dell'endpoint VPC della richiesta con l'ID endpoint specificato nella policy. In una policy è possibile utilizzare questa chiave per limitare l'accesso a un endpoint VPC specifico. Per ulteriori informazioni, consulta Limitazione dell'accesso a un endpoint VPC specifico nella Guida per l'utente di Amazon Simple Storage Service.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo se il richiedente utilizza un endpoint VPC per effettuare la richiesta.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
aws: VpcSource Ip
Utilizzare questa chiave per confrontare l'indirizzo IP da cui è stata effettuata una richiesta con l'indirizzo IP specificato nella policy. In una policy, la chiave corrisponde solo se la richiesta proviene dall'indirizzo IP specificato e passa attraverso un endpoint VPC.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo se la richiesta viene effettuata utilizzando un endpoint VPC.
-
Tipo di dati: indirizzo IP
-
Tipo di valore: valore singolo
Per ulteriori informazioni, consultare Controllo degli accessi ai servizi con endpoint VPC nella Guida per l'utente di Amazon VPC.
Nota
aws:VpcSourceIp
supporta indirizzi sia IPv4 sia IPv6 e intervalli di indirizzi IP. Per un elenco di quelli Servizi AWS che supportano IPv6, consulta Servizi AWS la pagina relativa al supporto IPv6 nella Amazon VPC User Guide.
Le proprietà della risorsa
Utilizza le seguenti chiavi di condizione per confrontare i dettagli sulla risorsa oggetto della richiesta con le proprietà della risorsa specificate nella policy.
Leggi: ResourceAccount
Utilizza questa chiave per confrontare l'ID Account AWS del proprietario della risorsa richiesta con l'account della risorsa nella policy. Dopodiché, puoi consentire o negare l'accesso a tale risorsa in base all'account proprietario della stessa.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta per la maggior parte delle operazioni dei servizi. Le seguenti operazioni non supportano questa chiave:
-
AWS Audit Manager
-
auditmanager:UpdateAssessmentFrameworkShare
-
-
Amazon Detective
-
detective:AcceptInvitation
-
-
Amazon Elastic Block Store: tutte le operazioni
-
Amazon EC2
-
ec2:AcceptTransitGatewayPeeringAttachment
-
ec2:AcceptVpcEndpointConnections
-
ec2:AcceptVpcPeeringConnection
-
ec2:CopyImage
-
ec2:CopySnapshot
-
ec2:CreateTransitGatewayPeeringAttachment
-
ec2:CreateVolume
-
ec2:CreateVpcEndpoint
-
ec2:CreateVpcPeeringConnection
-
ec2:DeleteTransitGatewayPeeringAttachment
-
ec2:DeleteVpcPeeringConnection
-
ec2:RejectTransitGatewayPeeringAttachment
-
ec2:RejectVpcEndpointConnections
-
ec2:RejectVpcPeeringConnection
-
-
Amazon EventBridge
-
events:PutEvents
— EventBridgePutEvents
chiamate su un bus di eventi in un altro account, se tale bus di eventi è stato configurato come EventBridge destinazione tra più account prima del 2 marzo 2023. Per ulteriori informazioni, consulta Concedere le autorizzazioni per consentire eventi da altri AWS account nella Amazon EventBridge User Guide.
-
-
Amazon GuardDuty
-
guardduty:AcceptAdministratorInvitation
-
-
Amazon Macie
-
macie2:AcceptInvitation
-
-
OpenSearch Servizio Amazon
-
es:AcceptInboundConnection
-
es:CreateOutboundConnection
-
-
Amazon Route 53
-
route53:AssociateVpcWithHostedZone
-
route53:CreateVPCAssociationAuthorization
-
route53:DeleteVPCAssociationAuthorization
-
route53:DisassociateVPCFromHostedZone
-
route53:ListHostedZonesByVPC
-
-
AWS Security Hub
-
securityhub:AcceptAdministratorInvitation
-
-
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Nota
Per ulteriori considerazioni sulle operazioni non supportate di cui sopra, consulta il repository di esempi di policy del perimetro di dati
Questa chiave è uguale all' Account AWS ID dell'account con le risorse valutate nella richiesta.
Per la maggior parte delle risorse presenti nel tuo account, l'ARN contiene l'ID account del proprietario della rispettiva risorsa. Per alcune risorse, come i bucket Amazon S3, l'ARN della risorsa non include l'ID account. I due esempi seguenti mostrano la differenza tra una risorsa il cui ARN contiene un ID account e un ARN Amazon S3 privo di un ID account:
-
arn:aws:iam::123456789012:role/AWSExampleRole
: ruolo IAM creato e di proprietà all'interno dell'account 123456789012. -
arn:aws:s3:::DOC-EXAMPLE-BUCKET2
: bucket Amazon S3 creato e posseduto all'interno dell'account111122223333
, non visualizzato nell'ARN.
Usa la AWS console, l'API o la CLI, per trovare tutte le tue risorse e gli ARN corrispondenti.
Scrivi una policy che nega le autorizzazioni alle risorse in base all'ID account del proprietario della risorsa. Ad esempio, la seguente policy basata sull'identità nega l'accesso alla risorsa specificata se la risorsa non appartiene all'account specificato.
Per utilizzare questa policy, sostituisci il testo segnaposto in corsivo con le tue informazioni.
Importante
Questa policy non consente alcuna operazione. Utilizza invece l'effetto Deny
, che nega esplicitamente l'accesso a tutte le risorse elencate nell'istruzione che non appartengono all'account elencato. Utilizza questa policy in combinazione con altre policy che consentono l'accesso a risorse specifiche.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyInteractionWithResourcesNotInSpecificAccount", "Action": "
service
:*", "Effect": "Deny", "Resource": [ "arn:aws:service
:region
:account
:*
" ], "Condition": { "StringNotEquals": { "aws:ResourceAccount": [ "account
" ] } } } ] }
Questa politica nega l'accesso a tutte le risorse per un AWS servizio specifico a meno che lo specificato non sia Account AWS proprietario della risorsa.
Nota
Alcuni Servizi AWS richiedono l'accesso a risorse AWS di proprietà ospitate in un altro Account AWS. L'utilizzo di aws:ResourceAccount
nelle tue policy basate sull'identità potrebbe influire sulla capacità della tua identità di accedere a queste risorse.
Alcuni AWS servizi, ad esempio AWS Data Exchange, si basano sull'accesso a risorse esterne all'utente Account AWS per le normali operazioni. Se usi l'elemento aws:ResourceAccount
nelle tue policy, includi istruzioni aggiuntive per creare delle esenzioni per tali servizi. La policy AWS: nega l'accesso alle risorse Amazon S3 al di fuori del tuo account tranne AWS Data Exchange di esempio illustra come negare l'accesso in base all'account della risorsa definendo al contempo delle eccezioni per le risorse di proprietà del servizio.
Utilizza questo esempio di policy come modello per creare le tue policy personalizzate. Per ulteriori informazioni, consulta la documentazione del servizio.
aws: ResourceOrg Percorsi
Utilizzate questa chiave per confrontare il percorso AWS Organizations per la risorsa a cui si accede con il percorso nella policy. In una politica, questa chiave di condizione garantisce che la risorsa appartenga a un membro dell'account all'interno della radice o delle unità organizzative (OU) specificate in AWS Organizations. Un percorso AWS Organizations è una rappresentazione testuale della struttura di un'entità Organizations. Per ulteriori informazioni sull'utilizzo e la comprensione dei percorsi, consulta la sezione Informazioni sul percorso dell'entità AWS Organizations.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta solo se l'account che possiede la risorsa è membro di un'organizzazione. Questa chiave della condizione globale non supporta le seguenti operazioni:
-
AWS Audit Manager
-
auditmanager:UpdateAssessmentFrameworkShare
-
-
Amazon Detective
-
detective:AcceptInvitation
-
-
Amazon Elastic Block Store: tutte le operazioni
-
Amazon EC2
-
ec2:AcceptTransitGatewayPeeringAttachment
-
ec2:AcceptVpcEndpointConnections
-
ec2:AcceptVpcPeeringConnection
-
ec2:CopyImage
-
ec2:CopySnapshot
-
ec2:CreateTransitGatewayPeeringAttachment
-
ec2:CreateVolume
-
ec2:CreateVpcEndpoint
-
ec2:CreateVpcPeeringConnection
-
ec2:DeleteTransitGatewayPeeringAttachment
-
ec2:DeleteVpcPeeringConnection
-
ec2:RejectTransitGatewayPeeringAttachment
-
ec2:RejectVpcEndpointConnections
-
ec2:RejectVpcPeeringConnection
-
-
Amazon EventBridge
-
events:PutEvents
— EventBridgePutEvents
chiamate su un bus di eventi in un altro account, se tale bus di eventi è stato configurato come EventBridge destinazione tra più account prima del 2 marzo 2023. Per ulteriori informazioni, consulta Concedere le autorizzazioni per consentire eventi da altri AWS account nella Amazon EventBridge User Guide.
-
-
Amazon GuardDuty
-
guardduty:AcceptAdministratorInvitation
-
-
Amazon Macie
-
macie2:AcceptInvitation
-
-
OpenSearch Servizio Amazon
-
es:AcceptInboundConnection
-
es:CreateOutboundConnection
-
-
Amazon Route 53
-
route53:AssociateVpcWithHostedZone
-
route53:CreateVPCAssociationAuthorization
-
route53:DeleteVPCAssociationAuthorization
-
route53:DisassociateVPCFromHostedZone
-
route53:ListHostedZonesByVPC
-
-
AWS Security Hub
-
securityhub:AcceptAdministratorInvitation
-
-
-
Tipo di dati: stringa (elenco)
-
Tipo di valore: multivalore
Nota
Per ulteriori considerazioni sulle operazioni non supportate di cui sopra, consulta il repository di esempi di policy del perimetro di dati
aws:ResourceOrgPaths
è una chiave di condizione multivalore. Le chiavi multivalore possono avere più di un valore nel contesto della richiesta. È necessario utilizzare gli operatori di insieme ForAnyValue
o ForAllValues
con gli operatori di condizione di stringa quando si utilizza questa chiave. Per ulteriori informazioni sulle chiavi di condizione multivalore, consultare Chiavi di contesto multivalore.
Ad esempio, la seguente condizione restituisce True
per le risorse appartenenti all'organizzazione o-a1b2c3d4e5
. Quando si include un carattere jolly, è necessario utilizzare l'operatore di StringLikecondizione.
"Condition": { "ForAnyValue:StringLike": { "aws:ResourceOrgPaths":["o-a1b2c3d4e5/*"] } }
La condizione seguente restituisce True
alle risorse con l'ID dell'unità organizzativa ou-ab12-11111111
. Assocerà le risorse di proprietà degli account collegati all'unità organizzativa ou-ab12-11111111 o a qualsiasi unità organizzativa figlia.
"Condition": { "ForAnyValue:StringLike" : { "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/*"] }}
La seguente condizione restituisce True
per le risorse di proprietà degli account collegati direttamente all'ID dell'unità organizzativa ou-ab12-22222222
, ma non alle unità figlie. L'esempio seguente utilizza l'operatore StringEqualscondition per specificare il requisito di corrispondenza esatta per l'ID OU e non una corrispondenza con caratteri jolly.
"Condition": { "ForAnyValue:StringEquals" : { "aws:ResourceOrgPaths":["o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/"] }}
Nota
Alcuni Servizi AWS richiedono l'accesso a risorse AWS di proprietà ospitate in un altro Account AWS. L'utilizzo di aws:ResourceOrgPaths
nelle tue policy basate sull'identità potrebbe influire sulla capacità della tua identità di accedere a queste risorse.
Alcuni AWS servizi, ad esempio AWS Data Exchange, si basano sull'accesso a risorse esterne all'utente Account AWS per le normali operazioni. Se usi la chiave aws:ResourceOrgPaths
nelle tue policy, includi istruzioni aggiuntive per creare delle esenzioni per tali servizi. La policy AWS: nega l'accesso alle risorse Amazon S3 al di fuori del tuo account tranne AWS Data Exchange di esempio illustra come negare l'accesso in base all'account della risorsa definendo al contempo delle eccezioni per le risorse di proprietà del servizio. Puoi creare una policy simile per limitare l'accesso alle risorse all'interno di un'unita organizzativa (OU) utilizzando la chiave aws:ResourceOrgPaths
, tenendo conto delle risorse di proprietà del servizio.
Utilizza questo esempio di policy come modello per creare le tue policy personalizzate. Per ulteriori informazioni, consulta la documentazione del servizio.
Leggi: ResourceOrg ID
Utilizza questa chiave per confrontare l'identificatore dell'organizzazione in AWS Organizations a cui appartiene la risorsa richiesta con l'identificatore specificato nella politica.
-
Disponibilità: questa chiave viene inclusa nel contesto della richiesta solo se l'account che possiede la risorsa è membro di un'organizzazione. Questa chiave della condizione globale non supporta le seguenti operazioni:
-
AWS Audit Manager
-
auditmanager:UpdateAssessmentFrameworkShare
-
-
Amazon Detective
-
detective:AcceptInvitation
-
-
Amazon Elastic Block Store: tutte le operazioni
-
Amazon EC2
-
ec2:AcceptTransitGatewayPeeringAttachment
-
ec2:AcceptVpcEndpointConnections
-
ec2:AcceptVpcPeeringConnection
-
ec2:CopyImage
-
ec2:CopySnapshot
-
ec2:CreateTransitGatewayPeeringAttachment
-
ec2:CreateVolume
-
ec2:CreateVpcEndpoint
-
ec2:CreateVpcPeeringConnection
-
ec2:DeleteTransitGatewayPeeringAttachment
-
ec2:DeleteVpcPeeringConnection
-
ec2:RejectTransitGatewayPeeringAttachment
-
ec2:RejectVpcEndpointConnections
-
ec2:RejectVpcPeeringConnection
-
-
Amazon EventBridge
-
events:PutEvents
— EventBridgePutEvents
chiamate su un bus di eventi in un altro account, se tale bus di eventi è stato configurato come EventBridge destinazione tra più account prima del 2 marzo 2023. Per ulteriori informazioni, consulta Concedere le autorizzazioni per consentire eventi da altri AWS account nella Amazon EventBridge User Guide.
-
-
Amazon GuardDuty
-
guardduty:AcceptAdministratorInvitation
-
-
Amazon Macie
-
macie2:AcceptInvitation
-
-
OpenSearch Servizio Amazon
-
es:AcceptInboundConnection
-
es:CreateOutboundConnection
-
-
Amazon Route 53
-
route53:AssociateVpcWithHostedZone
-
route53:CreateVPCAssociationAuthorization
-
route53:DeleteVPCAssociationAuthorization
-
route53:DisassociateVPCFromHostedZone
-
route53:ListHostedZonesByVPC
-
-
AWS Security Hub
-
securityhub:AcceptAdministratorInvitation
-
-
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
Nota
Per ulteriori considerazioni sulle operazioni non supportate di cui sopra, consulta il repository di esempi di policy del perimetro di dati
Questa chiave globale restituisce l'ID dell'organizzazione della risorsa per una determinata richiesta. Consente di creare regole che si applicano a tutte le risorse di un'organizzazione che sono specificate nell'elemento Resource
di una policy basata sull'identità. È possibile specificare l'ID organizzazione nell'elemento condizionale. Quando aggiungi e rimuovi degli account, le policy che includono la chiave aws:ResourceOrgID
includono automaticamente anche gli account corretti e non necessitano dell'aggiornamento manuale.
Ad esempio, la seguente policy impedisce al principale di aggiungere oggetti alla risorsa policy-genius-dev
, a meno che la risorsa Amazon S3 non appartenga alla stessa organizzazione del principale che effettua la richiesta.
Importante
Questa policy non consente alcuna operazione. Utilizza invece l'effetto Deny
, che nega esplicitamente l'accesso a tutte le risorse elencate nell'istruzione che non appartengono all'account elencato. Utilizza questa policy in combinazione con altre policy che consentono l'accesso a risorse specifiche.
{ "Version": "2012-10-17", "Statement": { "Sid": "DenyPutObjectToS3ResourcesOutsideMyOrganization", "Effect": "Deny", "Action": "s3:PutObject", "Resource": "arn:
partition
:s3:::policy-genius-dev/*", "Condition": { "StringNotEquals": { "aws:ResourceOrgID": "${aws:PrincipalOrgID}" } } } }
Nota
Alcuni Servizi AWS richiedono l'accesso a risorse AWS di proprietà ospitate in un altro Account AWS. L'utilizzo di aws:ResourceOrgID
nelle tue policy basate sull'identità potrebbe influire sulla capacità della tua identità di accedere a queste risorse.
Alcuni AWS servizi, ad esempio AWS Data Exchange, si basano sull'accesso a risorse esterne all'utente Account AWS per le normali operazioni. Se usi la chiave aws:ResourceOrgID
nelle tue policy, includi istruzioni aggiuntive per creare delle esenzioni per tali servizi. La policy AWS: nega l'accesso alle risorse Amazon S3 al di fuori del tuo account tranne AWS Data Exchange di esempio illustra come negare l'accesso in base all'account della risorsa definendo al contempo delle eccezioni per le risorse di proprietà del servizio. Puoi creare una policy simile per limitare l'accesso alle risorse all'interno dell'organizzazione utilizzando la chiave aws:ResourceOrgID
, tenendo conto delle risorse di proprietà del servizio.
Utilizza questo esempio di policy come modello per creare le tue policy personalizzate. Per ulteriori informazioni, consulta la documentazione del servizio.
Nel seguente video, scopri ulteriori informazioni su come utilizzare la chiave di condizione aws:ResourceOrgID
in una policy.
aws:ResourceTag//tag-key
Utilizzare questa chiave per confrontare la coppia chiave-valore del tag specificata nella policy con la coppia chiave-valore associata alla risorsa. Ad esempio, puoi richiedere che l'accesso a una risorsa sia consentito solo se la risorsa dispone di una chiave di tag "Dept"
collegata al valore "Marketing"
. Per ulteriori informazioni, consulta Controllo dell'accesso alle risorse AWS.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta quando la risorsa richiesta dispone già di tag collegati o nelle richieste che creano una risorsa con un tag collegato. Questa chiave viene restituita solo per le risorse che supportano l'autorizzazione basata sui tag. È presente una chiave di contesto per ogni coppia chiave-valore del tag.
-
Tipo di valore: valore singolo
Questa chiave di contesto è formattata "aws:ResourceTag/
laddove tag-key
":"tag-value
"tag-key
e tag-value
sono una coppia chiave e valore di tag. Per le chiavi e i valori dei tag non viene fatta la distinzione tra maiuscole e minuscole. Questo significa che se specifichi "aws:ResourceTag/TagKey1": "Value1"
nell'elemento condizione della policy, la condizione corrisponderà a una chiave di tag della risorsa denominata TagKey1
o tagkey1
, ma non a entrambe.
Per esempi sull'utilizzo della chiave aws:ResourceTag
per controllare l'accesso alle risorse IAM, consulta Controllo dell'accesso alle risorse AWS.
Per esempi di utilizzo della aws:ResourceTag
chiave per controllare l'accesso ad altre AWS risorse, consultaControllo dell'accesso alle AWS risorse tramite tag.
Per un'esercitazione sull'utilizzo della chiave di condizione aws:ResourceTag
per il controllo degli accessi basato su attributi (ABAC), consulta Tutorial IAM: definisci le autorizzazioni per accedere alle AWS risorse in base ai tag.
Proprietà della richiesta
Utilizzate le seguenti chiavi di condizione per confrontare i dettagli sulla richiesta stessa e il contenuto della richiesta con le proprietà della richiesta specificate nella politica.
Indice
Leggi: CalledVia
Utilizza questa chiave per confrontare i servizi nella policy con i servizi che hanno effettuato richieste per conto del principale IAM (utente o ruolo). Quando un principale effettua una richiesta a un AWS servizio, quel servizio potrebbe utilizzare le credenziali del principale per effettuare richieste successive ad altri servizi. La chiave aws:CalledVia
contiene un elenco ordinato di ciascun servizio nella catena che ha effettuato le richieste per conto dell'entità principale.
Ad esempio, puoi usarlo AWS CloudFormation per leggere e scrivere da una tabella Amazon DynamoDB. DynamoDB utilizza quindi la crittografia fornita AWS Key Management Service da ().AWS KMS
-
Disponibilità: questa chiave è presente nella richiesta quando un servizio che supporta
aws:CalledVia
utilizza le credenziali di un principale IAM per effettuare una richiesta a un altro servizio. Questa chiave non è presente se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale. Questa chiave non è presente anche quando il principale effettua la chiamata direttamente. -
Tipo di dati: String (elenco)
-
Tipo di valore: multivalore
Per utilizzare la chiave di aws:CalledVia
condizione in una politica, è necessario fornire i responsabili del servizio per consentire o rifiutare le richieste di AWS servizio. AWS supporta l'utilizzo dei seguenti principali di servizio con. aws:CalledVia
Principale del servizio |
---|
aoss.amazonaws.com |
athena.amazonaws.com |
backup.amazonaws.com |
cloud9.amazonaws.com |
cloudformation.amazonaws.com |
databrew.amazonaws.com |
dataexchange.amazonaws.com |
dynamodb.amazonaws.com |
imagebuilder.amazonaws.com |
kms.amazonaws.com |
mgn.amazonaws.com |
nimble.amazonaws.com |
omics.amazonaws.com |
ram.amazonaws.com |
robomaker.amazonaws.com |
servicecatalog-appregistry.amazonaws.com |
sqlworkbench.amazonaws.com |
ssm-guiconnect.amazonaws.com |
Per consentire o negare l'accesso quando qualsiasi servizio effettua una richiesta utilizzando le credenziali del principale, utilizzare la chiave di condizione AWS: via AWSService
. Questa chiave di condizione supporta i AWS servizi.
La chiave aws:CalledVia
è una chiave multivalore. Tuttavia, non è possibile applicare l'ordine utilizzando questa chiave in una condizione. Usando l'esempio precedente, l'utente 1 effettua una richiesta a AWS CloudFormation, che chiama DynamoDB, che a sua volta chiama AWS KMS. Si tratta di tre richieste distinte. L'ultima chiamata a AWS KMS viene eseguita dall'utente 1 tramite AWS CloudFormation e poi DynamoDB.
![Esempio di utilizzo di aws: CalledVia](images/condition-key-calledvia-example-diagram.png)
In questo caso, la chiave aws:CalledVia
nel contesto della richiesta include cloudformation.amazonaws.com
e dynamodb.amazonaws.com
, in tale ordine. Se sei interessato al solo fatto che la chiamata sia stata effettuata tramite DynamoDB in qualche punto nella catena di richieste, puoi utilizzare questa chiave di condizione nella policy.
Ad esempio, la seguente politica consente di gestire la AWS KMS chiave denominatamy-example-key
, ma solo se DynamoDB è uno dei servizi richiedenti. L'operatore di condizione ForAnyValue:StringEquals
assicura che DynamoDB sia uno dei servizi a effettuare chiamate. Se il principale effettua la chiamata AWS KMS
direttamente, la condizione restituisce false
e la richiesta non è consentita da questa policy.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "KmsActionsIfCalledViaDynamodb", "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey", "kms:DescribeKey" ], "Resource": "arn:aws:kms:
region
:111122223333
:key/my-example-key
", "Condition": { "ForAnyValue:StringEquals": { "aws:CalledVia": ["dynamodb.amazonaws.com"] } } } ] }
Se si desidera stabilire quale servizio effettua la prima o l'ultima chiamata nella catena, è possibile utilizzare le chiavi aws:CalledViaFirst
e aws:CalledViaLast
. Ad esempio, la seguente politica consente di gestire la chiave denominata in. my-example-key
AWS KMS Queste AWS KMS operazioni sono consentite solo se nella catena sono state incluse più richieste. La prima richiesta deve essere fatta via AWS CloudFormation e l'ultima via DynamoDB. Se altri servizi fanno richieste nel mezzo della catena, l'operazione è ancora consentita.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "KmsActionsIfCalledViaChain", "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey", "kms:DescribeKey" ], "Resource": "arn:aws:kms:
region
:111122223333
:key/my-example-key
", "Condition": { "StringEquals": { "aws:CalledViaFirst": "cloudformation.amazonaws.com", "aws:CalledViaLast": "dynamodb.amazonaws.com" } } } ] }
Le chiavi aws:CalledViaFirst
e aws:CalledViaLast
sono presenti nella richiesta quando un servizio utilizza le credenziali di un'entità IAM per chiamare un altro servizio. Indicano il primo e l'ultimo servizio che ha effettuato chiamate nella catena di richieste. Ad esempio, supponiamo che AWS CloudFormation chiami un altro servizio denominatoX Service
, che chiama DynamoDB, che poi chiama. AWS KMS L'ultima chiamata a AWS KMS viene eseguita da User 1
via AWS CloudFormationX Service
, then e quindi da DynamoDB. È stato chiamato inizialmente tramite AWS CloudFormation e l'ultimo chiamato tramite DynamoDB.
![Esempio di utilizzo di aws: CalledViaFirst e aws: Last CalledVia](images/condition-key-calledviafirstlast-example-diagram.png)
aws: CalledVia Primo
Utilizza questa chiave per confrontare i servizi nella policy con il primo servizio che ha effettuato una richiesta per conto del principale IAM (utente o ruolo). Per ulteriori informazioni, consulta aws:CalledVia
.
-
Disponibilità: questa chiave è presente nella richiesta quando un servizio utilizza le credenziali di un principale IAM per effettuare almeno un'altra richiesta a un servizio diverso. Questa chiave non è presente se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale. Questa chiave non è presente anche quando il principale effettua la chiamata direttamente.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
aws: CalledVia Ultimo
Utilizza questa chiave per confrontare i servizi nella policy con l'ultimo servizio che ha effettuato una richiesta per conto del principale IAM (utente o ruolo). Per ulteriori informazioni, consulta aws:CalledVia
.
-
Disponibilità: questa chiave è presente nella richiesta quando un servizio utilizza le credenziali di un principale IAM per effettuare almeno un'altra richiesta a un servizio diverso. Questa chiave non è presente se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale. Questa chiave non è presente anche quando il principale effettua la chiamata direttamente.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
AWS: via AWSService
Usa questa chiave per verificare se un AWS servizio effettua una richiesta a un altro servizio per tuo conto.
La chiave di contesto della richiesta restituisce true
quando un servizio utilizza le credenziali di un'entità IAM per effettuare una richiesta per conto del principale. La chiave di contesto restituisce false
se il servizio utilizza un ruolo di servizio oppure un ruolo collegato ai servizi per effettuare una chiamata per conto del principale. La chiave di contesto della richiesta restituisce anche false
quando il principale effettua direttamente la chiamata.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta.
-
Tipo di dati: booleano
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per consentire o negare l'accesso in base al fatto che una richiesta sia stata effettuata da un servizio.
leggi: CurrentTime
Utilizzare questa chiave per confrontare la data e l'ora della richiesta con la data e l'ora specificate nella policy. Per visualizzare una policy di esempio che utilizza la chiave di condizione, consulta AWS: consente l'accesso in base alla data e all'ora.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta.
-
Tipo di dati: data
-
Tipo di valore: valore singolo
leggi: EpochTime
Utilizzare questa chiave per confrontare la data e l'ora della richiesta in formato epoch o ora Unix con il valore specificato nella policy. Questa chiave accetta anche il numero di secondi dal 1 gennaio 1970.
aws:Referer
Utilizzare questa chiave per confrontare il referrer della richiesta nel browser client con il referrer specificato nella policy. Il valore del contesto della richiesta aws:referer
viene fornito dal chiamante in un'intestazione HTTP. L'intestazione Referer
viene inclusa in una richiesta del browser Web quando si seleziona un link in una pagina Web. L'intestazione Referer
contiene l'URL della pagina Web in cui è stato selezionato il link.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo se la richiesta alla AWS risorsa è stata richiamata mediante un collegamento dall'URL di una pagina Web nel browser. Questa chiave non è inclusa per le richieste a livello di programmazione perché non utilizza un link del browser per accedere alla risorsa AWS .
-
Tipo di valore: valore singolo
Ad esempio, è possibile accedere a un oggetto Amazon S3 direttamente utilizzando un URL o utilizzando l'invocazione API diretta. Per ulteriori informazioni, consulta Operazioni delle API Amazon S3 direttamente tramite un browser Web. Quando si accede a un oggetto Amazon S3 da un URL presente in una pagina Web, l'URL della pagina Web di origine viene utilizzato in aws:referer
. Quando si accede a un oggetto Amazon S3 digitando l'URL nel browser, aws:referer
non è presente. Quando si richiama direttamente l'API, aws:referer
non è presente. È possibile utilizzare la chiave di condizione aws:referer
in una policy per autorizzare le richieste effettuate da un referente specifico, ad esempio un link su una pagina Web nel dominio dell'azienda.
avvertimento
Questa chiave deve essere utilizzata con attenzione. È pericoloso includere un valore dell'intestazione del referrer pubblicamente noto. Parti non autorizzate possono utilizzare browser modificati o personalizzati per fornire qualsiasi valore aws:referer
scelto. Di conseguenza, non aws:referer
deve essere utilizzato per impedire a parti non autorizzate di effettuare AWS richieste dirette. È disponibile solo per consentire ai clienti di proteggere i propri contenuti digitali, come i contenuti memorizzati su Amazon S3, da riferimenti su siti di terze parti non autorizzate.
Leggi: RequestedRegion
Utilizza questa chiave per confrontare la AWS regione chiamata nella richiesta con la regione specificata nella politica. È possibile utilizzare questa chiave di condizione globale per controllare quali regioni possono essere richieste. Per visualizzare le AWS regioni per ogni servizio, consulta Endpoint e quote del servizio in. Riferimenti generali di Amazon Web Services
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta.
-
Tipo di valore: valore singolo
I servizi globali, ad esempio IAM, dispongono di un unico endpoint. Poiché questo endpoint si trova fisicamente nella regione Stati Uniti orientali (Virginia settentrionale), le chiamate IAM vengono sempre effettuate alla regione us-east-1. Ad esempio, se crei una policy che nega l'accesso a tutti i servizi qualora la regione richiesta non fosse us-west-2 allora le chiamate IAM non andranno mai a buon fine. Per vedere un esempio di come ovviare a questo problema, vedi NotAction con Deny.
Nota
La chiave di condizione aws:RequestedRegion
consente di controllare quale endpoint di un servizio è richiamato ma non controlla l'impatto dell'operazione. Alcuni servizi hanno impatti su più regioni.
Ad esempio, Amazon S3 dispone di operazioni API che si estendono a diverse regioni.
-
È possibile richiamare
s3:PutBucketReplication
in una regione (che è interessata dalla chiave di condizioneaws:RequestedRegion
) e altre regioni vengono interessate in base alle impostazioni di configurazione delle repliche. -
Puoi richiamare
s3:CreateBucket
per creare un bucket in un'altra regione e utilizzare las3:LocationConstraint
chiave di condizione per controllare le regioni applicabili.
È possibile utilizzare questa chiave di contesto per limitare l'accesso ai AWS servizi all'interno di un determinato insieme di regioni. Ad esempio, la seguente policy consente a un utente di visualizzare tutte le istanze Amazon EC2 nella AWS Management Console. Tuttavia consente loro di modificare solo le istanze in Irlanda (eu-west-1), a Londra (eu-west-2) o Parigi (eu-west-3).
{ "Version": "2012-10-17", "Statement": [ { "Sid": "InstanceConsoleReadOnly", "Effect": "Allow", "Action": [ "ec2:Describe*", "ec2:Export*", "ec2:Get*", "ec2:Search*" ], "Resource": "*" }, { "Sid": "InstanceWriteRegionRestricted", "Effect": "Allow", "Action": [ "ec2:Associate*", "ec2:Import*", "ec2:Modify*", "ec2:Monitor*", "ec2:Reset*", "ec2:Run*", "ec2:Start*", "ec2:Stop*", "ec2:Terminate*" ], "Resource": "*", "Condition": { "StringEquals": { "aws:RequestedRegion": [ "eu-west-1", "eu-west-2", "eu-west-3" ] } } } ] }
aws:RequestTag//tag-key
Utilizzare questa chiave per confrontare la coppia chiave-valore del tag passata nella richiesta con la coppia del tag specificata nella policy. Ad esempio, è possibile controllare che la richiesta includa la chiave del tag "Dept"
e che abbia il valore "Accounting"
. Per ulteriori informazioni, consulta Controllo dell'accesso durante le richieste AWS.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta quando le coppie chiave-valore dei tag vengono passate nella richiesta. Quando più tag vengono passati nella richiesta, è presente una chiave di contesto per ogni coppia chiave-valore dei tag.
-
Tipo di valore: valore singolo
Questa chiave di contesto è formattata "aws:RequestTag/
laddove tag-key
":"tag-value
"tag-key
e tag-value
sono una coppia chiave e valore di tag. Per le chiavi e i valori dei tag non viene fatta la distinzione tra maiuscole e minuscole. Questo significa che se specifichi "aws:RequestTag/TagKey1": "Value1"
nell'elemento condizione della policy, la condizione corrisponderà a una chiave di tag della richiesta denominata TagKey1
o tagkey1
, ma non a entrambi.
Questo esempio mostra che, sebbene la chiave abbia un singolo valore, è comunque possibile utilizzare più coppie chiave-valore in una richiesta se le chiavi sono diverse.
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:::instance/*", "Condition": { "StringEquals": { "aws:RequestTag/environment": [ "preprod", "production" ], "aws:RequestTag/team": [ "engineering" ] } } } }
leggi: TagKeys
Utilizzare questa chiave per confrontare le chiavi dei tag in una richiesta con quelle specificate nella policy. Nell'utilizzo delle policy per controllare gli accessi tramite tag, è consigliabile utilizzare la chiave di condizione aws:TagKeys
per definire le chiavi di tag ammesse. Per esempi di policy e ulteriori informazioni, consultare Controllo dell'accesso in base alle chiavi di tag
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta se l'operazione supporta il passaggio di tag nella richiesta.
-
Tipo di dati: stringa (elenco)
-
Tipo di valore: multivalore
Questa chiave di contesto ha il formato "aws:TagKeys":"
, dove tag-key
"tag-key
è una lista di chiavi di tag senza valori (ad esempio ["Dept","Cost-Center"]
).
Poiché è possibile includere più coppie chiave-valore dei tag in una richiesta, il contenuto della richiesta potrebbe essere una richiesta multivalore. In questo caso, devi usare gli operatori su set ForAllValues
o ForAnyValue
. Per ulteriori informazioni, consulta Chiavi di contesto multivalore.
Alcuni servizi supportano il tagging con operazioni sulle risorse, come la creazione, la modifica o l'eliminazione di una risorsa. Per consentire il tagging e le operazioni come chiamata singola, è necessario creare una policy che comprende le operazioni di tagging e di modifica della risorsa. È quindi possibile utilizzare la chiave di condizione aws:TagKeys
per implementare nella richiesta specifiche chiavi di tag. Ad esempio, per limitare i tag quando un utente crea uno snapshot Amazon EC2, è necessario includere nella policy l'operazione di creazione ec2:CreateSnapshot
e l'operazione di tagging ec2:CreateTags
. Per visualizzare una policy per questo scenario che utilizzaaws:TagKeys
, consulta Creating a Snapshot with Tags nella Amazon EC2 User Guide.
leggi: SecureTransport
Utilizzare questa chiave per verificare se la richiesta è stata inviata utilizzando SSL. Il contesto della richiesta restituisce true
o false
. In una policy, è possibile consentire operazioni specifiche solo se la richiesta viene inviata tramite SSL.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta.
-
Tipo di dati: booleano
-
Tipo di valore: valore singolo
leggi: SourceArn
Usa questa chiave per confrontare l'Amazon Resource Name (ARN) della risorsa che effettua una service-to-service richiesta con l'ARN specificato nella policy, ma solo quando la richiesta viene effettuata da un responsabile del servizio. AWS
Quando l'ARN d’origine include l'ID account, non è necessario utilizzare aws:SourceAccount
con aws:SourceArn
.
Questa chiave non funziona con l'ARN del principale che effettua la richiesta. Utilizza invece Leggi: PrincipalArn
.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando la chiamata alla risorsa viene effettuata direttamente da un responsabile del AWS servizio per conto di una risorsa per la quale la configurazione ha attivato la richiesta. service-to-service Il servizio chiamante passa l'ARN della risorsa originale al servizio chiamato.
Le seguenti integrazioni di servizio non supportano questa chiave di condizione globale:
Servizio di chiamata (principale del servizio) Servizio chiamato (policy basata sulle risorse) Descrizione logdelivery.elb.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 logdelivery.elasticloadbalancing.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 Nota
Non tutte le integrazioni di servizi con AWS Security Token Service (AWS STS) e AWS Key Management Service (AWS KMS) sono supportate. Per ulteriori informazioni, consulta la documentazione del servizio di chiamata. L'utilizzo delle politiche chiave incluse
aws:SourceArn
nel KMS per le chiavi utilizzate Servizi AWS tramite KMS key grants può causare un comportamento imprevisto. -
Tipo di dati: ARN, String
AWS consiglia di utilizzare operatori ARN anziché operatori stringa quando si confrontano gli ARN.
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per evitare che un AWS servizio venga utilizzato come sostituto confuso durante le transazioni tra servizi. Utilizzate questa chiave solo nelle politiche basate sulle risorse in cui il Principal
è principale. Servizio AWS Imposta il valore di questa chiave di condizione sull'ARN della risorsa nella richiesta. Ad esempio, quando un aggiornamento di un bucket Amazon S3 attiva una pubblicazione sull'argomento Amazon SNS, il servizio Amazon S3 richiama l'operazione API sns:Publish
. Nella policy di argomento che consente l'operazione sns:Publish
, imposta il valore della chiave di condizione sull'ARN del bucket Amazon S3. Per informazioni su come e quando è consigliata questa chiave di condizione, consulta la documentazione relativa AWS ai servizi che stai utilizzando.
leggi: SourceAccount
Utilizza questa chiave per confrontare l'ID account della risorsa che effettua una service-to-service richiesta con l'ID dell'account specificato nella politica, ma solo quando la richiesta viene effettuata da un responsabile del AWS servizio.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando la chiamata alla risorsa viene effettuata direttamente da un responsabile del AWS servizio per conto di una risorsa per la quale la configurazione ha attivato la service-to-service richiesta. Il servizio chiamante deve passare l'ID account della risorsa originale al servizio chiamato.
Le seguenti integrazioni di servizio non supportano questa chiave di condizione globale:
Servizio di chiamata (principale del servizio) Servizio chiamato (policy basata sulle risorse) Descrizione logdelivery.elb.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 logdelivery.elasticloadbalancing.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 Nota
Non tutte le integrazioni di servizi con AWS Security Token Service (AWS STS) e AWS Key Management Service (AWS KMS) sono supportate. Per ulteriori informazioni, consulta la documentazione del servizio di chiamata. L'utilizzo delle politiche chiave incluse
aws:SourceAccount
nel KMS per le chiavi utilizzate Servizi AWS tramite KMS key grants può causare un comportamento imprevisto. -
Tipo di dati: stringa
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per evitare che un AWS servizio venga utilizzato come sostituto confuso durante le transazioni tra servizi. Utilizzate questa chiave solo nelle politiche basate sulle risorse in cui il Principal
è principale. Servizio AWS Imposta il valore di questa chiave di condizione sull'ID account della risorsa nella richiesta. Ad esempio, quando un aggiornamento di un bucket Amazon S3 attiva una pubblicazione sull'argomento Amazon SNS, il servizio Amazon S3 richiama l'operazione API sns:Publish
. Nella policy di argomento che autorizza l'operazione sns:Publish
, imposta il valore della chiave di condizione sull'ID account del bucket Amazon S3. Per informazioni su come e quando queste chiavi di condizione sono consigliate, consulta la documentazione relativa AWS ai servizi che stai utilizzando.
aws: SourceOrg Percorsi
Utilizzate questa chiave per confrontare il AWS Organizations percorso della risorsa che effettua una service-to-service richiesta con il percorso dell'organizzazione specificato nella politica, ma solo quando la richiesta viene effettuata da un responsabile del AWS servizio. Un percorso Organizations è una rappresentazione testuale della struttura di un'entità Organizations. Per ulteriori informazioni sull’utilizzo e la conoscenza dei percorsi, consulta Comprendere il percorso dell’entità AWS Organizations.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando la chiamata alla risorsa viene effettuata direttamente da un principale del servizio AWS per conto di una risorsa di proprietà di un account membro di un'organizzazione. Il servizio chiamante passa il percorso dell’organizzazione della risorsa originale al servizio chiamato.
Le seguenti integrazioni di servizio non supportano questa chiave di condizione globale:
Servizio di chiamata (principale del servizio) Servizio chiamato (policy basata sulle risorse) Descrizione logdelivery.elb.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 logdelivery.elasticloadbalancing.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 Tutti i principali di servizio Bot di Amazon Lex Consenti Servizi AWS l'uso del bot Amazon Lex Nota
Non tutte le integrazioni di servizi con AWS Security Token Service (AWS STS) e AWS Key Management Service (AWS KMS) sono supportate. Per ulteriori informazioni, consulta la documentazione del servizio di chiamata. L'utilizzo delle politiche chiave incluse
aws:SourceOrgPaths
nel KMS per le chiavi utilizzate Servizi AWS tramite KMS key grants può causare un comportamento imprevisto. -
Tipo di dati: stringa (elenco)
-
Tipo di valore: multivalore
È possibile utilizzare questa chiave di condizione per evitare che un AWS servizio venga utilizzato come sostituto confuso durante le transazioni tra servizi. Utilizzate questa chiave solo nelle politiche basate sulle risorse in cui il Principal
è principale. Servizio AWS Imposta il valore di questa chiave di condizione sul percorso dell’organizzazione della risorsa nella richiesta. Ad esempio, quando un aggiornamento di un bucket Amazon S3 attiva una pubblicazione sull'argomento Amazon SNS, il servizio Amazon S3 richiama l'operazione API sns:Publish
. Nella policy di argomento che consente l'operazione sns:Publish
, imposta il valore della chiave di condizione sul percorso dell’organizzazione del bucket Amazon S3. Per informazioni su come e quando è consigliata questa chiave di condizione, consulta la documentazione relativa AWS ai servizi che stai utilizzando.
aws:SourceOrgPaths
è una chiave di condizione multivalore. Le chiavi multivalore possono avere più di un valore nel contesto della richiesta. È necessario utilizzare gli operatori di insieme ForAnyValue
o ForAllValues
con gli operatori di condizione di stringa quando si utilizza questa chiave. Per ulteriori informazioni sulle chiavi di condizione multivalore, consultare Chiavi di contesto multivalore.
aws: SourceOrg ID
Utilizza questa chiave per confrontare l'ID dell'organizzazione della risorsa che effettua una service-to-service richiesta con l'ID dell'organizzazione specificato nella politica, ma solo quando la richiesta viene effettuata da un responsabile del AWS servizio. Quando aggiungi e rimuovi gli account da un’organizzazione in AWS Organizations, le policy che includono la chiave aws:SourceOrgID
includono automaticamente anche gli account corretti e non necessitano dell'aggiornamento manuale.
-
Disponibilità: questa chiave è inclusa nel contesto della richiesta solo quando la chiamata alla risorsa viene effettuata direttamente da un principale del servizio AWS per conto di una risorsa di proprietà di un account membro di un'organizzazione. Il servizio chiamante passa l'ID dell’organizzazione della risorsa originale al servizio chiamato.
Le seguenti integrazioni di servizio non supportano questa chiave di condizione globale:
Servizio di chiamata (principale del servizio) Servizio chiamato (policy basata sulle risorse) Descrizione logdelivery.elb.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 logdelivery.elasticloadbalancing.amazonaws.com Bucket Amazon S3 Abilita la registrazione degli accessi con Elastic Load Balancing nel bucket Amazon S3 Tutti i principali di servizio Bot di Amazon Lex Consenti Servizi AWS l'uso del bot Amazon Lex Nota
Non tutte le integrazioni di servizi con AWS Security Token Service (AWS STS) e AWS Key Management Service (AWS KMS) sono supportate. Per ulteriori informazioni, consulta la documentazione del servizio di chiamata. L'utilizzo delle politiche chiave incluse
aws:SourceOrgID
nel KMS per le chiavi utilizzate Servizi AWS tramite KMS key grants può causare un comportamento imprevisto. -
Tipo di dati: stringa
-
Tipo di valore: valore singolo
È possibile utilizzare questa chiave di condizione per evitare che un AWS servizio venga utilizzato come sostituto confuso durante le transazioni tra servizi. Utilizzate questa chiave solo nelle politiche basate sulle risorse in cui il Principal
è principale. Servizio AWS Imposta il valore di questa chiave di condizione sull’ID dell’organizzazione della risorsa nella richiesta. Ad esempio, quando un aggiornamento di un bucket Amazon S3 attiva una pubblicazione sull'argomento Amazon SNS, il servizio Amazon S3 richiama l'operazione API sns:Publish
. Nella policy di argomento che consente l'operazione sns:Publish
, imposta il valore della chiave di condizione sull'ID dell’organizzazione del bucket Amazon S3. Per informazioni su come e quando è consigliata questa chiave di condizione, consulta la documentazione relativa AWS ai servizi che stai utilizzando.
leggi: UserAgent
Utilizzare questa chiave per confrontare l'applicazione client del richiedente con l'applicazione specificata nella policy.
-
Disponibilità: questa chiave è sempre inclusa nel contesto della richiesta.
-
Tipo di dati: stringa
-
Tipo di valore: valore singolo
avvertimento
Questa chiave deve essere utilizzata con attenzione. Poiché il valore aws:UserAgent
viene fornito dall'intermediario in un'intestazione HTTP, le parti non autorizzate possono utilizzare browser modificati o personalizzati per fornire qualsiasi valore aws:UserAgent
da essi scelto. Di conseguenza, non aws:UserAgent
deve essere utilizzato per impedire a parti non autorizzate di effettuare AWS richieste dirette. Puoi utilizzarlo per consentire solo applicazioni client specifiche e solo dopo il test della policy.
Altre chiavi di condizione cross-service
AWS STS supporta chiavi di condizione di federazione basate su SAML e chiavi di condizione tra servizi per la federazione OIDC. Queste chiavi sono disponibili quando un utente federato tramite SAML esegue operazioni in altri servizi. AWS