Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di condizioni IAM politiche per un controllo granulare degli accessi

In Route 53, è possibile specificare le condizioni per la concessione delle autorizzazioni utilizzando una IAM politica (vedi). Controllo accessi Ad esempio, puoi:

Puoi anche creare autorizzazioni che combinano tutte le autorizzazioni granulari.

Normalizzazione dei valori chiave della condizione Route 53

I valori inseriti per le condizioni della policy devono essere formattati o normalizzati come segue:

Per route53:ChangeResourceRecordSetsNormalizedRecordNames:

Per route53:ChangeResourceRecordSetsActions, il valore può essere uno dei seguenti e deve essere in maiuscolo:

Per route53:ChangeResourceRecordSetsRecordTypes:

Per route53:VPCs:

È possibile utilizzare Access Analyzer o Policy Simulator nella Guida per l'IAMutente per verificare che la politica conceda o limiti le autorizzazioni come previsto. Puoi anche convalidare le autorizzazioni applicando una IAM policy a un utente o un ruolo di prova per eseguire le operazioni Route 53.

Specifica delle condizioni: uso delle chiavi di condizione

AWS fornisce un set di chiavi di condizione predefinite (AWS-wide condition keys) per tutti i AWS servizi che supportano IAM il controllo degli accessi. Ad esempio, puoi utilizzare la chiave di condizione aws:SourceIp per controllare l'indirizzo IP del richiedente prima che un'operazione venga effettuata. Per ulteriori informazioni e un elenco delle chiavi AWS-wide, consulta Available Keys for Conditions nella Guida per l'IAMutente.

La tabella seguente mostra le chiavi delle condizioni specifiche del servizio Route 53 che si applicano a Route 53.

Policy di esempio: utilizzo di condizioni per l'accesso granulare

Ognuno degli esempi presenti in questa sezione imposta la clausola Effect su Allow (Consenti) e specifica solo le operazioni, le risorse e i parametri permessi. L'accesso è consentito solo a ciò che è esplicitamente elencato nella IAM politica.

In alcuni casi è possibile riscrivere queste policy in modo che si basino sul rifiuto (vale a dire impostare la clausola Effect su Deny e invertire tutta la logica nella policy). Tuttavia, ti consigliamo di evitare di utilizzare le policy basate sul rifiuto poiché sono difficili da scrivere correttamente in confronto alle policy basate sul permesso. Ciò è particolarmente vero per Route 53 a causa della normalizzazione del testo che è richiesta.

Concedi autorizzazioni che limitano l'accesso ai DNS record con nomi specifici

La seguente policy di autorizzazione concede le autorizzazioni che consentono operazioni ChangeResourceRecordSets sulla zona ospitata Z12345 per example.com e marketing.example.com. Utilizza la chiave di condizione route53:ChangeResourceRecordSetsNormalizedRecordNames per limitare le azioni dell'utente solo sui record che corrispondono ai nomi specificati.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                    "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["example.com", "marketing.example.com"]
                }
            }
          }
        ]
}

ForAllValues:StringEqualsè un operatore di IAM condizione che si applica alle chiavi multivalore. La condizione riportata nella politica precedente consentirà l'operazione solo quando tutte le modifiche ChangeResourceRecordSets avranno il DNS nome di example.com. Per ulteriori informazioni, consulta gli operatori IAM delle condizioni e IAMle condizioni con più chiavi o valori nella Guida per l'IAMutente.

Per implementare l'autorizzazione che corrisponde ai nomi con determinati suffissi, puoi utilizzare il carattere IAM jolly (*) nella politica con l'operatore di condizione o. StringLike StringNotLike La seguente politica consentirà l'operazione quando tutte le modifiche all'ChangeResourceRecordSetsoperazione hanno DNS nomi che terminano con «-beta.example.com».

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringLike":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["*-beta.example.com"]
                }
            }
          }
        ]
}

Concedi autorizzazioni che limitano l'accesso ai DNS record che corrispondono a un nome di dominio contenente un carattere jolly

La seguente policy di autorizzazione concede le autorizzazioni che consentono operazioni ChangeResourceRecordSets sulla zona ospitata Z12345 per esempio.com. Utilizza la chiave di condizione route53:ChangeResourceRecordSetsNormalizedRecordNames per limitare le azioni dell'utente solo ai record che corrispondono a *.esempio.com.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["\\052.example.com"]
                }
            }
          }
        ]
}

\052 è il codice ottale per il carattere * nel DNS nome, e \ in \052 viene escluso per seguire la sintassi. \\ JSON

Concedi autorizzazioni che limitano l'accesso a record specifici DNS

La seguente policy di autorizzazione concede le autorizzazioni che consentono operazioni ChangeResourceRecordSets sulla zona ospitata Z12345 per esempio.com. Utilizza la combinazione di tre tasti di condizione per limitare le azioni dell'utente e consentire solo la creazione o la modifica di DNS record con determinati DNS nomi e tipi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsNormalizedRecordNames": ["example.com"],
                     "route53:ChangeResourceRecordSetsRecordTypes": ["MX"],
                     "route53:ChangeResourceRecordSetsActions": ["CREATE", "UPSERT"]
                }
            }
          }
        ]
}

Concedi autorizzazioni che limitano l'accesso alla creazione e alla modifica solo dei tipi di DNS record specificati

La seguente policy di autorizzazione concede le autorizzazioni che consentono operazioni ChangeResourceRecordSets sulla zona ospitata Z12345 per esempio.com. Utilizza la chiave route53:ChangeResourceRecordSetsRecordTypes condition per limitare le azioni dell'utente solo sui record che corrispondono ai tipi specificati (A eAAAA).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "route53:ChangeResourceRecordSets",
            "Resource": "arn:aws:route53:::hostedzone/Z11111112222222333333",
            "Condition": {
                "ForAllValues:StringEquals":{
                     "route53:ChangeResourceRecordSetsRecordTypes": ["A", "AAAA"]
                }
            }
          }
        ]
}

Concedi autorizzazioni che specificano in VPC che modo il IAM principale può operare

La seguente politica di autorizzazioni concede autorizzazioni che consentonoAssociateVPCWithHostedZone,, DisassociateVPCFromHostedZone ListHostedZonesByVPC CreateHostedZoneCreateVPCAssociationAuthorization, e DeleteVPCAssociationAuthorization azioni su quanto specificato da vpc-id. VPC

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "route53:*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "ForAllValues:StringLike": {
                    "route53:VPCs": [
                        "VPCId=<vpc-id>,VPCRegion=<region>"
                    ]
                }
            }
        },
        {
            "Sid": "Statement2",
            "Effect": "Allow",
            "Action": "ec2:DescribeVpcs",
            "Resource": "*"
        }
    ]
}