Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Politiche IAM di Amazon SWF

Una policy IAM contiene uno o più Statement elementi, ognuno dei quali contiene un set di elementi che definiscono la policy. Per un elenco completo degli elementi e una discussione generale su come costruire le politiche, vedi The Access Policy Language. Il controllo degli accessi di Amazon SWF si basa sui seguenti elementi:

La sezione seguente fornisce esempi di come creare policy di Amazon SWF. Per informazioni dettagliate, consulta la sezione relativa alle condizioni di stringa.

Scrittura di politiche per Amazon SWF

Un flusso di lavoro è composto da più attori: attività, decisori e così via. Puoi controllare l'accesso per ogni attore allegando una policy IAM appropriata.

Con la seguente azione, all'attore verrà concesso l'accesso completo all'account in tutte le regioni:

Puoi utilizzare i caratteri jolly per rappresentare più risorse, operazioni o regioni con un singolo valore.

Per informazioni dettagliate su come utilizzare i caratteri jolly, consulta la sezione relativa alle descrizioni degli elementi.

Autorizzazioni di dominio

Per limitare i flussi di lavoro di un reparto a un determinato dominio, puoi concedere un'autorizzazione che consenta a un attore di eseguire qualsiasi azione, ma solo per un reparto specifico.

Per concedere a un attore l'accesso a più di un dominio, esprimi l'autorizzazione per ogni dominio sotto forma di un elenco di dichiarazioni:

Puoi consentire a un attore di utilizzare qualsiasi azione Amazon SWF nei domini department1 anddepartment2. A volte, puoi anche utilizzare i caratteri jolly per rappresentare più domini.

Vincoli e autorizzazioni dell'API

Puoi controllare le azioni che un attore può utilizzare specificando l'azione nell'elemento. Action

Con l'azione seguente, un attore può chiamare solo StartWorkflowExecution per avviare flussi di lavoro. Non può utilizzare altre azioni.

Condizioni

Facoltativamente, puoi limitare i valori dei parametri consentiti dell'azione utilizzando un elemento. Condition

Per limitare i flussi di lavoro che un attore può avviare, vincola uno o più valori dei StartWorkflowExecution parametri nel modo seguente:

"Condition" : {
   "StringEquals" : { 
      "swf:workflowType.name" : "workflow1",
      "swf:workflowType.version" : "version2" 
    }
}

Un attore con i vincoli precedenti può eseguire solo version2 di workflow1 ed entrambi i parametri devono essere inclusi nella richiesta.

Puoi applicare un vincolo a un parametro senza che questo sia incluso in una richiesta utilizzando un operatore StringEqualsIfExists, come illustrato di seguito:

"Condition" : {
   "StringEqualsIfExists" : { "swf:taskList.name" : "task_list_name" }
}

Un attore con la politica precedente può facoltativamente specificare un elenco di attività quando avvia l'esecuzione di un flusso di lavoro.

Puoi applicare un vincolo a un elenco di tag per alcune operazioni. Ogni tag ha una chiave separata, che puoi usare swf:tagList.member.0 per vincolare il primo tag dell'elenco, swf:tagList.member.1 per vincolare il secondo tag dell'elenco e così via, fino a un massimo di 5.

Devi stare attento a come vincoli gli elenchi di tag. Ad esempio, la seguente condizione non è consigliata.

La seguente condizione non è consigliata perché consente di specificare facoltativamente una delle due some_ok_tag oanother_ok_tag. Tuttavia, la Condizione limita solo il primo elemento dell'elenco dei tag. L'elenco potrebbe contenere elementi aggiuntivi con valori arbitrari, tutti consentiti perché la condizione non applica alcuna condizione a swf:tagList.member.1swf:tagList.member.2, e così via.

// Example to illustrate an insecure Condition
"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
   }
}

Un modo per risolvere il problema precedente consiste nel non consentire l'uso di elenchi di tag.

La policy seguente autorizza soltanto some_ok_tag o another_ok_tag in quanto impone la presenza di un solo elemento nell'elenco.

"Condition" : {
   "StringEqualsIfExists" : {
      "swf:tagList.member.0" : "some_ok_tag", "another_ok_tag"
    },
    "Null" : { "swf:tagList.member.1" : "true" }
}          

Vincoli e autorizzazioni della pseudo API

Per limitare le decisioni disponibiliRespondDecisionTaskCompleted, devi prima consentire all'attore di chiamareRespondDecisionTaskCompleted. Quindi esprimete le autorizzazioni per i membri della pseudo API appropriati utilizzando la stessa sintassi dell'API normale, come segue:

La prima Statement consente all'attore di chiamareRespondDecisionTaskCompleted. La seconda dichiarazione consente all'attore di utilizzare la ScheduleActivityTask decisione di indirizzare Amazon SWF a pianificare un'attività. Per consentire tutte le decisioni, sostituisci «swf:ScheduleActivityTask" con «swf: *».

Per applicare un vincolo ai parametri, puoi utilizzare gli operatori di condizione, esattamente come con l'API classica. L'StringEqualsoperatore dell'esempio precedente Condition consente di RespondDecisionTaskCompleted pianificare un'attività per l'SomeActivityTypeattività e deve pianificare tale attività. Se intendi consentire a RespondDecisionTaskCompleted di utilizzare facoltativamente un valore di parametro, puoi invece utilizzare l'operatore StringEqualsIfExists.

AWS politica gestita: SimpleWorkflowFullAccess

È possibile allegare la policy SimpleWorkflowFullAccess alle identità IAM.

Questa policy fornisce l'accesso completo al servizio di configurazione Amazon SWF.

Limitazioni del modello di servizio sulle politiche IAM

È necessario considerare i vincoli del modello di servizio durante la creazione delle policy IAM. È possibile creare una policy IAM sintatticamente valida che rappresenti una richiesta Amazon SWF non valida; una richiesta consentita in termini di controllo degli accessi può comunque fallire perché non è valida.

Ad esempio, il modello di servizio Amazon SWF non consente l'utilizzo tagFilter dei parametri typeFilter and nella stessa ListOpenWorkflowExecutions richiesta. La condizione seguente consentirebbe le chiamate che il servizio rifiuterà, ValidationException lanciandole, come richieste non valide:

"Condition" : {
   "StringEquals" : { 
      "swf:typeFilter.name" : "workflow_name",
      "swf:typeFilter.version" : "workflow_version",
      "swf:tagFilter.tag" : "some_tag" 
    }
}