IAM e AWS STS chiavi di contesto delle condizioni

Lavora con operatori ARN.

Specifica l'ARN della risorsa a cui verrà associato questo ruolo al servizio di destinazione. La risorsa in genere appartiene al servizio a cui l'entità sta passando il ruolo. A volte, la risorsa potrebbe appartenere a un terzo servizio. Ad esempio, potresti passare un ruolo a Amazon EC2 Auto Scaling che può essere utilizzato in un'istanza di Amazon EC2. In questo caso, la condizione corrisponderebbe all'ARN dell'istanza Amazon EC2.

Questa chiave di condizione si applica solo all'PassRoleazione in una policy. Non può essere usata per limitare altre operazioni.

Utilizza questa chiave di condizione in una policy basata su identità per consentire a un'entità di passare un ruolo, ma solo se tale ruolo è associato alla risorsa specificata. Ad esempio, è possibile consentire a un utente o a un ruolo IAM di passare qualsiasi ruolo al servizio Amazon EC2 da utilizzare con istanze nell' Account AWS. L'utente o il ruolo IAM non è autorizzato a passare ruoli ad altri servizi.

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "iam:PassedToService": "ec2.amazonaws.com"
        },
        "ArnLike": {
            "iam:AssociatedResourceARN": [
                "arn:aws:ec2:*:111122223333:instance/*"
            ]
        }
    }
}

Lavora con operatori stringa.

Specifica il AWS servizio a cui è associato questo ruolo.

Questa chiave di condizione è supportata dall’operazione API CreateServiceLinkedRole.

In questo esempio, consenti a un’entità di creare un ruolo collegato al servizio utilizzando l’operazione API CreateServiceLinkedRole se il nome del servizio è access-analyzer.amazonaws.com.

Lavora con operatori stringa.

Verifica il livello di certificazione FIDO del dispositivo MFA al momento della registrazione di una chiave di sicurezza FIDO. La certificazione del dispositivo viene recuperata dal FIDO Alliance Metadata Service (MDS). Se lo stato o il livello di certificazione della chiave di sicurezza FIDO cambia, questa non verrà aggiornata a meno che la registrazione del dispositivo non sia stata annullata e poi effettuata nuovamente per recuperare le informazioni di certificazione aggiornate.

Valori possibili di L1, L1plus, L2, L2plus, L3, L3plus

In questo esempio, registri una chiave di sicurezza e recuperi la certificazione FIDO Level 1 plus per il tuo dispositivo.

Lavora con operatori stringa.

Verifica il livello di certificazione di FIPS-140-2 convalida del dispositivo MFA al momento della registrazione di una chiave di sicurezza FIDO. La certificazione del dispositivo viene recuperata dal FIDO Alliance Metadata Service (MDS). Se lo stato o il livello di certificazione della chiave di sicurezza FIDO cambia, questa non verrà aggiornata a meno che la registrazione del dispositivo non sia stata annullata e poi effettuata nuovamente per recuperare le informazioni di certificazione aggiornate.

Valori possibili di L1, L2, L3, L4

In questo esempio, registri una chiave di sicurezza e recuperi la certificazione di FIPS-140-2 livello 2 per il tuo dispositivo.

Lavora con operatori stringa.

Verifica il livello di certificazione di FIPS-140-3 convalida del dispositivo MFA al momento della registrazione di una chiave di sicurezza FIDO. La certificazione del dispositivo viene recuperata dal FIDO Alliance Metadata Service (MDS). Se lo stato o il livello di certificazione della chiave di sicurezza FIDO cambia, questa non verrà aggiornata a meno che la registrazione del dispositivo non sia stata annullata e poi effettuata nuovamente per recuperare le informazioni di certificazione aggiornate.

Valori possibili di L1, L2, L3, L4

In questo esempio, registri una chiave di sicurezza e recuperi la certificazione di FIPS-140-3 livello 3 per il tuo dispositivo.

Lavora con operatori stringa.

Verifica che la policy con l' AWS Organizations ID specificato corrisponda alla policy utilizzata nella richiesta. Per visualizzare una policy IAM di esempio che utilizza la chiave di condizione, consulta IAM: visualizza le informazioni sull'ultimo accesso al servizio per una AWS Organizations policy.

Lavora con operatori stringa.

Specifica il principale del servizio a cui un ruolo può essere passato. Questa chiave di condizione si applica solo all'PassRoleazione in una policy. Non può essere usata per limitare altre operazioni.

Quando si utilizza questa chiave di condizione in una policy, specificare il servizio utilizzando un principale del servizio. Il principale di un servizio è il nome di un servizio che può essere specificato nell'elemento Principal di una policy. Il formato tipico è SERVICE_NAME_URL.amazonaws.com.

Puoi utilizzare iam:PassedToService per limitare gli utenti in modo che possano passare ruoli solo a servizi specifici. Ad esempio, un utente potrebbe creare un ruolo di servizio che si fidi di CloudWatch scrivere dati di log in un bucket Amazon S3 per suo conto. L'utente deve quindi collegare una policy di autorizzazione e una policy di affidabilità al nuovo ruolo di servizio. In questo caso, la policy di affidabilità deve specificare cloudwatch.amazonaws.com nell'elemento Principal. Per visualizzare una policy che consente all'utente di passare il ruolo a CloudWatch, consulta. IAM: passa un ruolo IAM a un AWS servizio specifico

Utilizzando questa chiave di condizione, puoi assicurarti che gli utenti creino ruoli di servizio solo per i servizi specificati. Ad esempio, se un utente con la policy precedente tenta di creare un ruolo di servizio per Amazon EC2, l'operazione avrà esito negativo. L'errore si verifica perché l'utente non dispone dell'autorizzazione per trasferire il ruolo ad Amazon EC2.

A volte si passa un ruolo a un servizio che poi a sua volta lo passa a un servizio diverso. iam:PassedToService include solo il servizio finale che assume il ruolo, non il servizio intermedio che lo passa.

Lavora con operatori ARN.

Verifica che la policy specificata è collegata come limite delle autorizzazioni sulla risorsa del principale IAM. Per ulteriori informazioni, consulta la sezione Limiti delle autorizzazioni per le entità IAM

Lavora con operatori ARN.

Controlla l'Amazon Resource Name (ARN) di una policy gestita nelle richieste che implicano una policy gestita. Per ulteriori informazioni, consulta Controllo dell'accesso alle policy.

Lavora con operatori stringa.

Verifica lo stato corrente dell'abilitazione dei dispositivi MFA.

Valori possibili di Create o Activate.

In questo esempio, registri una chiave di sicurezza e recuperi la certificazione di FIPS-140-3 livello 1 per il tuo dispositivo.

Lavora con operatori stringa.

Controlla che il tag collegato alla risorsa dell'identità (utente o ruolo) corrisponda al nome e al valore della chiave specificata.

Puoi aggiungere attributi personalizzati alle risorse IAM sotto forma di coppia chiave-valore. Per ulteriori informazioni sui tag per le risorse IAM, consulta Tag per AWS Identity and Access Management le risorse. Puoi utilizzare ResourceTag per controllare l'accesso alle risorse AWS , incluse le risorse IAM. Tuttavia, poiché IAM non supporta i tag per i gruppi, non puoi utilizzare i tag per controllare l'accesso ai gruppi.

Questo esempio mostra come creare una policy basata sull'identità che consenta di eliminare gli utenti con il tag status=terminated. Per utilizzare questa policy, sostituisci la italicized placeholder text policy di esempio con le tue informazioni. Quindi, segui le indicazioni fornite in Creazione di una policy o Modifica di una policy.

Lavora con operatori numerici.

Questa chiave di condizione limita la creazione di credenziali specifiche del servizio in base alle relative impostazioni di scadenza. Consente di controllare l’età massima, in giorni, delle credenziali specifiche del servizio che possono essere create.

L’intervallo valido per i giorni è compreso tra 1 e 36600 (minimo 1 giorno, massimo 36600 giorni).

Questa chiave di condizione è supportata dall’operazione API CreateServiceSpecificCredential.

In questo esempio, consenti a un utente di creare credenziali specifiche per il servizio Amazon Bedrock solo se scadono entro 90 giorni.

Lavora con operatori stringa.

Specifica quali AWS servizi possono essere utilizzati per la gestione delle credenziali specifiche del servizio. Questa chiave di condizione consente di limitare i AWS servizi consentiti durante la gestione delle credenziali specifiche del servizio.

Questa chiave di condizione è supportata dalle seguenti operazioni API:

I seguenti servizi sono supportati per le credenziali specifiche del servizio con la formattazione esatta dei valori:

In questo esempio, consenti a un utente di creare credenziali specifiche del servizio utilizzando l’operazione API CreateServiceSpecificCredential solo per il servizio Amazon Bedrock.

Lavora con operatori numerici.

Filtra l'accesso in base alla durata dell'accesso temporaneo richiesto in una richiesta di delega.

I fornitori di prodotti possono utilizzare questa chiave condizionale per controllare la durata massima consentita nelle richieste di delega inviate ai clienti. La durata è specificata in secondi e determina per quanto tempo le credenziali temporanee rimangono valide dopo che il cliente ha rilasciato il token di scambio. Questo aiuta i fornitori di prodotti ad applicare politiche interne sui limiti di durata dell'accesso in base al loro caso d'uso.

Questa chiave di condizione è supportata dall’operazione API CreateDelegationRequest.

In questo esempio, è possibile creare richieste di delega solo se la durata richiesta è pari o inferiore a 7200 secondi (2 ore).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "NumericLessThanEquals": {
                    "iam:DelegationDuration": "7200"
                }
            }
        }
    ]
}

Lavora con operatori ARN.

Filtra l'accesso in base all'argomento ARN di Amazon SNS specificato per la ricezione delle notifiche di richiesta di delega.

I fornitori di prodotti possono utilizzare questa chiave di condizione per limitare gli argomenti SNS che possono essere utilizzati per le notifiche di richieste di delega nella chiamata API. CreateDelegationRequest I fornitori di prodotti devono specificare un argomento SNS per ricevere notifiche di modifica dello stato e scambiare token. Ciò garantisce che le notifiche vengano inviate solo ai canali approvati all'interno dell'organizzazione del fornitore del prodotto.

Questa chiave di condizione è supportata dall’operazione API CreateDelegationRequest.

In questo esempio, consentite la creazione di richieste di delega solo se utilizzano un argomento SNS specifico per le notifiche.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "iam:NotificationChannel": "arn:aws:sns:us-east-1:123456789012:delegation-notifications"
                }
            }
        }
    ]
}

Lavora con operatori ARN.

Filtra l'accesso in base al modello di policy ARN utilizzato per definire le autorizzazioni in una richiesta di delega.

I fornitori di prodotti possono utilizzare questa chiave di condizione per controllare quali modelli di policy possono essere utilizzati nella CreateDelegationRequest chiamata API. I modelli di policy definiscono le autorizzazioni temporanee richieste dai fornitori di prodotti negli account dei clienti. Ciò consente ai fornitori di prodotti di limitare i modelli di policy registrati che possono essere utilizzati durante la creazione di richieste di delega.

Questa chiave di condizione è supportata dall’operazione API CreateDelegationRequest.

In questo esempio, è possibile creare richieste di delega solo se utilizzano un modello di policy di un dominio partner specifico.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateDelegationRequest",
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "iam:TemplateArn": "arn:aws:iam::*:delegation-template/partner_*"
                }
            }
        }
    ]
}

Lavora con operatori ARN.

Filtra l'accesso in base all' AWS identità o al principale proprietario della richiesta di delega.

I clienti possono utilizzare questa chiave condizionale per controllare chi può eseguire azioni sulle richieste di delega in base alla proprietà. Il proprietario di una richiesta di delega è l' AWS identità o il titolare dell'account cliente che ha avviato o ricevuto la richiesta di delega.

Questa chiave di condizione è supportata dalle seguenti operazioni API:

In questo esempio, si consente agli utenti di gestire solo le richieste di delega di loro proprietà.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetDelegationRequest",
                "iam:AcceptDelegationRequest",
                "iam:RejectDelegationRequest",
                "iam:SendDelegatedToken",
                "iam:UpdateDelegationRequest",
                "iam:ListDelegationRequests"
            ],
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "iam:DelegationRequestOwner": "${aws:PrincipalArn}"
                }
            }
        }
    ]
}

Lavora con operatori stringa.

L'URL di un endpoint a cui vengono presentate le asserzioni SAML. Il valore di questa chiave proviene dal campo SAML Recipient dell'asserzione, non dal campo Audience.

Lavora con operatori stringa.

Questo è un attributo commonName.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Rappresenta il principale utilizzato per assumere il ruolo. Il formato èaccount-ID/provider-friendly-name, ad esempio123456789012/SAMLProviderName. Il valore ID account si riferisce all'account proprietario del provider SAML.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduPerson.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Questo è un attributo eduOrg.

Lavora con operatori stringa.

Questo è un attributo givenName.

Lavora con operatori stringa.

L'approvatore, che è rappresentato da un URN.

Lavora con operatori stringa.

Questo è un attributo mail.

Lavora con operatori stringa.

Questo è un attributo name.

Lavora con operatori stringa.

Un valore hash basato sul nome descrittivo del provider SAML. Il valore è la concatenazione dei seguenti valori, in ordine e separati da un carattere '/':

La concatenazione dell'ID account e del nome descrittivo del provider SAML è disponibile per le policy IAM sotto forma di chiave saml:doc. Per ulteriori informazioni, consulta Identificazione univoca degli SAML-based utenti nella federazione.

Lavora con operatori stringa.

Questo è un attributo organizationStatus.

Lavora con operatori stringa.

Questo è un attributo primaryGroupSID.

Lavora con operatori stringa.

Questo è l'oggetto della richiesta, che include un valore che identifica in modo univoco un singolo utente in un'organizzazione (ad esempio, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Lavora con operatori stringa.

Questa chiave può avere il valore persistent o transient oppure consistere dell'URI Format completo, tratto dagli elementi Subject e NameID utilizzati nell'asserzione SAML. Il valore persistent indica che il valore in saml:sub è lo stesso per un utente da una sessione all'altra. Se il valore è transient, l'utente dispone di un valore saml:sub diverso per ogni sessione. Per ulteriori informazioni sull'attributo Format dell'elemento NameID, consulta Configurare le asserzioni SAML per la risposta di autenticazione.

Lavora con operatori stringa.

Questo è un attributo surnameuid.

Lavora con operatori stringa.

Questo è un attributo uid.

Lavora con operatori stringa.

Questo è un attributo x500UniqueIdentifier.

Lavora con operatori stringa.

Questo è l'oggetto della richiesta, che include un valore che identifica in modo univoco un singolo utente in un'organizzazione (ad esempio, _cbb88bf52c2510eabe00c1642d4643f41430fe25e3).

Lavora con operatori stringa.

Utilizzare questa chiave per specificare il servizio in cui è possibile utilizzare un token al portatore. Quando si utilizza questa chiave di condizione in una policy, specificare il servizio utilizzando un principale del servizio. Il principale di un servizio è il nome di un servizio che può essere specificato nell'elemento Principal di una policy. Ad esempio, codeartifact.amazonaws.com è il principale del AWS CodeArtifact servizio.

Disponibilità: questa chiave è presente nelle richieste che ottengono un token di connessione. Non è possibile effettuare una chiamata diretta per AWS STS ottenere un token al portatore. Quando si eseguono alcune operazioni in altri servizi, il servizio richiede il token del portatore per conto dell'utente.

Alcuni AWS servizi richiedono l'autorizzazione per ottenere un AWS STS service bearer token prima di poter accedere alle loro risorse a livello di codice. Ad esempio, AWS CodeArtifact richiede che le entità utilizzino token portatori per eseguire alcune operazioni. Il comando aws codeartifact get-authorization-token restituisce un token di connessione. È quindi possibile utilizzare il token al portatore per eseguire operazioni. AWS CodeArtifact Per ulteriori informazioni sui token del portatore, vedere Token di connessione al servizio.

È possibile utilizzare questa chiave di condizione per consentire ai principal di ottenere un token di portatore da utilizzare con un servizio specifico.

Lavora con operatori numerici.

Usa questa chiave per specificare la durata (in secondi) che un principale può utilizzare per ottenere un token al AWS AWS STS portatore o un token Web JSON dall'GetWebIdentityTokenAPI.

Disponibilità: questa chiave è presente nelle richieste che ottengono un token al portatore o un token Web JSON dall'API. GetWebIdentityToken Non è possibile effettuare una chiamata diretta a per ottenere un AWS STS token al portatore. Quando si eseguono alcune operazioni in altri servizi, il servizio richiede il token del portatore per conto dell'utente. La chiave non è applicabile alle operazioni che prevedono AWS STS un ruolo.

Alcuni AWS servizi richiedono l'autorizzazione per ottenere un AWS STS service bearer token prima di poter accedere alle relative risorse a livello di programmazione. Ad esempio, AWS CodeArtifact richiede che le entità utilizzino token portatori per eseguire alcune operazioni. Il comando aws codeartifact get-authorization-token restituisce un token di connessione. È quindi possibile utilizzare il token al portatore per eseguire operazioni. AWS CodeArtifact Per ulteriori informazioni sui token del portatore, vedere Token di connessione al servizio.

Lavora con operatori stringa.

Usa questa chiave per specificare il pubblico per il quale un principal IAM può richiedere JSON Web Tokens (JWT) utilizzando l'API. GetWebIdentityToken Quando questa chiave di condizione è presente in una policy IAM, i principali IAM possono richiedere token solo per i segmenti di pubblico specificati nella policy. I servizi esterni convalidano l'attestazione relativa all'audience («aud») contenuta nel JSON Web Token per garantire che il token sia destinato a loro.

Disponibilità: questa chiave è presente nelle richieste all' GetWebIdentityToken API utilizzata per ottenere JSON Web Tokens (JWT) per l'autenticazione con servizi esterni.

Quando utilizzi questa chiave condizionale in una policy, specifica il valore del pubblico che corrisponde all'identificatore del destinatario previsto (ad esempio,). https://api.example.com

La seguente policy di esempio consente a un principale di richiedere token per i servizi esterni specificati:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "https://api2.example.com",
                        "https://api1.example.com"
                    ]
                }
            }
        }
    ]
}

Lavora con operatori stringa.

Usa questa chiave per specificare l'algoritmo crittografico AWS AWS STS utilizzato per firmare i JSON Web Tokens (JWT) generati dall'API. GetWebIdentityToken Quando utilizzate questa chiave di condizione in una policy, specificate ES384 (ECDSA con P-384 curva e) o RS256 (RSA con). SHA-384 SHA-256

Disponibilità: questa chiave è presente nelle richieste all' GetWebIdentityToken API utilizzata per ottenere JSON Web Tokens (JWT) per l'autenticazione con servizi esterni.

Puoi utilizzare questa chiave condizionale per far sì che i principali IAM richiedano i token utilizzando algoritmi di firma compatibili con i tuoi requisiti di sicurezza o con i servizi esterni con cui ti integri. L'ES384 offre sicurezza e prestazioni ottimali, mentre RS256 offre una più ampia compatibilità con i sistemi che non supportano l'ECDSA.

La seguente politica di esempio richiede che i principali utilizzino l'algoritmo di firma ES384:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sts:SigningAlgorithm": "ES384"
                }
            }
        }
    ]
}

Lavora con operatori stringa.

Utilizza questa chiave per richiedere che un'entità principale fornisca un identificatore specifico quando assume un ruolo IAM.

Disponibilità: questa chiave è presente nella richiesta quando il principale fornisce un ID esterno mentre assume un ruolo utilizzando l' AWS API AWS CLI or.

Un identificatore univoco che può essere richiesto quando assumi un ruolo in un altro account. Se l'amministratore dell'account a cui appartiene il ruolo ha fornito un ID esterno, specifica questo valore nel parametro ExternalId. Questo valore può essere qualsiasi stringa, ad esempio una passphrase o un numero di account. La funzione principale dell'ID esterno è quella di risolvere e prevenire il problema del "confused deputy" (delegato confuso). Per ulteriori informazioni sull'ID esterno e il problema del "confused deputy", consulta Accesso a Account AWS di proprietà di terzi.

Il valore ExternalId deve avere un minimo di 2 caratteri e un massimo di 1.224 caratteri. Il valore deve essere alfanumerico senza spazi. Può anche includere i seguenti simboli: più (+), uguale (=), virgola (,), punto (.), chiocciola (@), due punti (:), barra (/) e trattino (-).

Lavora con operatori stringa.

Utilizza questa chiave per confrontare le coppie chiave-valore del contesto di sessione incorporate nell'asserzione di contesto firmata dall'emittente del token affidabile passata nella richiesta con i valori chiave-valore del contesto specificati nella policy di attendibilità del ruolo.

Disponibilità: questa chiave è presente nella richiesta quando viene fornita un'asserzione di contesto nel parametro di ProvidedContexts richiesta mentre si assume un ruolo utilizzando l'operazione API. AWS STS AssumeRole

Questa chiave di contesto è formattata come "sts:RequestContext/context-key":"context-value" dove context-key e context-value rappresentano una coppia chiave-valore di contesto. Quando più chiavi di contesto sono incorporate nell'asserzione di contesto firmata passata nella richiesta, è presente una chiave di contesto per ogni coppia chiave-valore. È necessario concedere l'autorizzazione per l'azione sts:SetContext nella policy di attendibilità del ruolo per consentire a un principale di impostare le chiavi di contesto all'interno del token di sessione risultante. Per ulteriori informazioni sulle chiavi di contesto del Centro identità IAM supportate che possono essere utilizzate con questa chiave, consulta Chiavi di condizione AWS STS per il Centro identità IAM nella Guida per l'utente di Centro identità AWS IAM .

È possibile utilizzare questa chiave in una policy di attendibilità del ruolo per applicare un controllo di accesso granulare in base all'utente o ai suoi attributi quando assume un ruolo. Dopo l'assunzione del ruolo, l'attività viene visualizzata nei AWS CloudTrail log all'interno dell'AdditionalEventDataattributo, contenenti le coppie chiave-valore del contesto di sessione impostate dal provider di contesto nella richiesta di assunzione del ruolo. Ciò consente agli amministratori di distinguere tra le sessioni di ruolo quando un ruolo viene utilizzato da principali diversi. Le coppie chiave-valore vengono impostate dal provider di contesto specificato, non da o. AWS CloudTrail AWS STS Ciò consente al provider di contesto di controllare quale contesto è incluso nei CloudTrail log e nelle informazioni sulla sessione.

Lavora con operatori ARN.

Utilizza questa chiave per confrontare l'ARN del provider di contesto nella richiesta con l'ARN del provider di contesto specificato nella policy di attendibilità del ruolo.

Disponibilità: questa chiave è presente nella richiesta quando viene fornita un'asserzione di contesto nel parametro di ProvidedContexts richiesta mentre si assume un ruolo utilizzando l'operazione AWS STS AssumeRole API.

La condizione di esempio seguente verifica che l'ARN del provider di contesto passato nella richiesta corrisponda all'ARN specificato nella condizione della policy di attendibilità del ruolo. Ti consigliamo di aggiungere un controllo di valore null con ForAllValues per evitare che le chiavi di contesto mancanti o con valori vuoti vengano valutate come True. Per informazioni dettagliate, vedi Operatore di condizione per verificare la presenza di chiavi di condizione.

Lavora con operatori booleani.

Utilizza questa chiave per verificare che il provider di identità (IdP) abbia autorizzato esplicitamente il ruolo richiesto tramite l'https://aws.amazon.com/rolesattestazione nel token OIDC. L'attestazione dei ruoli contiene gli ARN del ruolo IAM che il token può assumere. AWS STS supporta due formati per il valore del claim:

Array JSON (consigliato):

"https://aws.amazon.com/roles": [
  "arn:aws:iam::111122223333:role/RoleA",
  "arn:aws:iam::111122223333:role/RoleB"
]

Semicolon-delimited stringa:

"https://aws.amazon.com/roles": "arn:aws:iam::111122223333:role/RoleA;arn:aws:iam::111122223333:role/RoleB"

Disponibilità: questa chiave è presente nelle richieste che utilizzano l'AssumeRoleWithWebIdentityoperazione. Il valore è true quando il token include il https://aws.amazon.com/roles claim e il ruolo richiesto ARN corrisponde a un valore nel claim. Il valore è false quando il token non include il claim. Poiché la chiave è sempre presente nelle AssumeRoleWithWebIdentity richieste, utilizza l'operatore di Bool condizione anzichéBoolIfExists.

Quando il token include il claim ma il ruolo richiesto ARN non corrisponde a un valore del claim, la AssumeRoleWithWebIdentity chiamata restituisce un InvalidIdentityToken errore.

È possibile utilizzare questa chiave condizionale nelle politiche di fiducia dei ruoli, nelle politiche di controllo delle risorse (RCP) e nelle politiche degli endpoint VPC per richiedere che un IdP autorizzi il ruolo prima che possa essere assunto.

La seguente politica di fiducia dei ruoli è consentita AssumeRoleWithWebIdentity solo quando l'IdP ha autorizzato il ruolo richiesto nel token.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/idp.example.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": { "idp.example.com:aud": "my-app-id" },
                "Bool": { "sts:RoleAuthorizedByIdp": "true" }
            }
        }
    ]
}

Lavora con operatori stringa.

Utilizzare questa chiave per confrontare il nome di sessione specificato da un'entità principale quando si assume un ruolo con il valore specificato nella policy.

Disponibilità: questa chiave è presente nella richiesta quando il principale assume il ruolo utilizzando qualsiasi comando CLI Console di gestione AWS assume-role o qualsiasi operazione API. AWS STS AssumeRole

È possibile utilizzare questa chiave in una policy di attendibilità del ruolo per richiedere che gli utenti forniscano un nome di sessione specifico quando assumono un ruolo. Ad esempio, è possibile richiedere che gli utenti IAM specifichino il proprio nome utente come nome di sessione. Dopo che l'utente IAM assume il ruolo, l'attività viene visualizzata nei log AWS CloudTrail con il nome della sessione corrispondente al nome utente. Ciò consente agli amministratori di distinguere tra le sessioni di ruolo quando un ruolo viene utilizzato da principali diversi.

La seguente policy di attendibilità del ruolo richiede che gli utenti IAM nell'account 111122223333 forniscano il nome utente IAM come nome di sessione quando assumono il ruolo. Questo requisito viene applicato utilizzando la variabile di condizione aws:username nella chiave di condizione. Questa policy consente agli utenti IAM di assumere il ruolo a cui è collegata la policy. Questa policy non consente a chiunque utilizzi credenziali temporanee di assumere il ruolo perché la variabile username è presente solo per gli utenti IAM.

Quando un amministratore visualizza il AWS CloudTrail registro di un'azione, può confrontare il nome della sessione con i nomi utente nel proprio account. Nell'esempio seguente, l'utente denominato matjac ha eseguito l'operazione utilizzando il ruolo denominato MateoRole. L'amministratore può quindi contattare Mateo Jackson, che ha il nome dell'utente matjac.

    "assumedRoleUser": {
        "assumedRoleId": "AROACQRSTUVWRAOEXAMPLE:matjac",
        "arn": "arn:aws:sts::111122223333:assumed-role/MateoRole/matjac"
    }

Se si consente l'accesso tra account mediante i ruoli, gli utenti di un account possono assumere un ruolo in un altro account. L'ARN dell'utente del ruolo assunto elencato in CloudTrail include l'account in cui esiste il ruolo. Non include l'account dell'utente che ha assunto il ruolo. Gli utenti sono univoci solo all'interno di un account. Pertanto, si consiglia di utilizzare questo metodo per controllare CloudTrail i registri solo per i ruoli assunti dagli utenti negli account che amministri. Gli utenti potrebbero utilizzare lo stesso nome utente in più account.

Lavora con operatori stringa.

Utilizza questa chiave per confrontare l'identità di origine che un principale specifica quando si assume un ruolo con il valore specificato nella policy.

Disponibilità: questa chiave è presente nella richiesta quando il principale fornisce un'identità di origine assumendo un ruolo utilizzando qualsiasi comando CLI AWS STS assume-role o operazione API. AWS STS AssumeRole

È possibile utilizzare questa chiave in una policy di attendibilità del ruolo per richiedere che gli utenti forniscano un nome di sessione specifico quando assumono un ruolo. Ad esempio, è possibile richiedere alla forza lavoro o alle identità federate di specificare un valore per l'identità di origine. Puoi configurare il provider di identità (IdP) per utilizzare uno degli attributi associati agli utenti, ad esempio un nome utente o un messaggio di posta elettronica come identità di origine. L'IdP passa quindi l'identità di origine come attributo nelle asserzioni o nei claim a cui invia. AWS Il valore dell'attributo di identità di origine identifica l'utente o l'applicazione che assume il ruolo.

Dopo che l'utente assume il ruolo, l'attività viene visualizzata in Log di AWS CloudTrail con il valore dell'identità di origine impostato. In questo modo è più facile per gli amministratori determinare chi o cosa ha eseguito le azioni aventi un ruolo. AWS Per consentire a un'identità di impostare un'identità di origine, è necessario concedere le autorizzazioni per l'operazione sts:SetSourceIdentity.

A differenza di sts:RoleSessionName, dopo aver impostato l'identità di origine, il valore non può essere modificato. È presente nel contesto della richiesta di tutte le operazioni intraprese con il ruolo dall'identità di origine. Il valore persiste nelle sessioni di ruolo successive quando si utilizzano le credenziali di sessione per assumere un altro ruolo. L'assunzione di un ruolo partendo da un altro si chiama concatenamento del ruolo.

È possibile utilizzare la chiave di condizione aws:SourceIdentity globale per controllare ulteriormente l'accesso alle AWS risorse in base al valore dell'identità di origine nelle richieste successive.

La seguente policy di attendibilità del ruolo consente all'utente IAM AdminUser di assumere un ruolo nell'account 111122223333. Inoltre, concede l'autorizzazione all'AdminUser per impostare un'identità di origine, purché il set di identità di origine sia DiegoRamirez.

Per ulteriori informazioni sull'utilizzo dell'identità di origine, consulta Monitoraggio e controllo delle operazioni intraprese con i ruoli assunti.

Lavora con operatori ARN.

Usa questa chiave per confrontare l'ARN della policy in una AssumeRoot richiesta sts: con l'ARN della policy specificato nella policy.

Disponibilità: questa chiave è presente nella richiesta quando si effettua una richiesta utilizzando sts:. AssumeRoot

Gli amministratori possono utilizzare questa chiave di condizione nelle policy IAM per impedire a ruoli o utenti specifici all’interno dell’account di gestione o dell’account amministratore delegato di eseguire determinate operazioni quando assumono le credenziali root. Per ulteriori informazioni, consulta Esegui un'attività privilegiata su un AWS Organizations account membro.

Lavora con operatori stringa.

Utilizzare questa chiave per confrontare le chiavi dei tag di sessione transitivi nella richiesta con quelle specificate nella policy.

Disponibilità: questa chiave è presente nella richiesta quando si effettua una richiesta utilizzando credenziali di sicurezza temporanee. Queste includono le credenziali create utilizzando qualsiasi operazione di assume-role o l'operazione GetFederationToken.

Quando si effettua una richiesta utilizzando credenziali di sicurezza temporanee, il contesto della richiesta include la chiave di contesto aws:PrincipalTag. Questa chiave include un elenco di tag di sessione, tag di sessione transitivi e tag di ruolo. I tag di sessione transitivi sono tag che persistono in tutte le sessioni successive quando si utilizzano le credenziali di sessione per assumere un altro ruolo. L'assunzione di un ruolo partendo da un altro si chiama concatenamento del ruolo.

È possibile utilizzare questa chiave di condizione in una policy per richiedere l'impostazione di specifici tag di sessione come transitivi quando si assume un ruolo o si federa un utente.