Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di attributi per il controllo degli accessi

Attributes for access control è l'implementazione dei pool di identità di Amazon Cognito del controllo degli accessi basato sugli attributi (). ABAC Puoi utilizzare IAM le policy per controllare l'accesso alle AWS risorse tramite i pool di identità di Amazon Cognito in base agli attributi degli utenti. Questi attributi possono essere ricavati da provider di identità social e aziendali. Puoi mappare gli attributi all'interno dei token o delle SAML asserzioni di accesso e ID dei provider su tag a cui è possibile fare riferimento nelle politiche di autorizzazione. IAM

Puoi scegliere le mappature predefinite oppure creare le tue mappature personalizzate nei pool di identità di Amazon Cognito. Le mappature predefinite consentono di scrivere IAM politiche basate su un set fisso di attributi utente. Le mappature personalizzate consentono di selezionare un set personalizzato di attributi utente a cui si fa riferimento nelle politiche di autorizzazione. IAM I nomi degli attributi nella console Amazon Cognito sono mappati alla chiave Tag for principal, che sono i tag a cui si fa riferimento nella politica delle autorizzazioni. IAM

Ad esempio, supponiamo che tu sia proprietario di un servizio di streaming multimediale con un abbonamento gratuito e uno pagamento. Puoi archiviare i file multimediali in Amazon S3 e taggarli con tag gratuiti o premium. Puoi utilizzare gli attributi per il controllo dell'accesso per consentire l'accesso a contenuti gratuiti e a pagamento in base al livello di appartenenza dell'utente, che è parte del profilo dell'utente. Puoi mappare l'attributo membership a una chiave di tag per principal da trasmettere alla politica delle autorizzazioni. IAM In questo modo puoi creare una singola policy di autorizzazioni e consentire in modo condizionale l'accesso al contenuto premium in base al valore del livello di appartenenza e del tag nei file di contenuto.

L'uso degli attributi per controllare l'accesso offre molti vantaggi:

Utilizzo degli attributi per il controllo dell'accesso con i pool di identità di Amazon Cognito

Prima di utilizzare gli attributi per il controllo degli accessi, assicurati di soddisfare i seguenti prerequisiti:

Per utilizzare attributi per il controllo degli accessi, la richiesta impostata come origine del set di dati imposta il valore della Chiave tag scelta. Amazon Cognito applica la chiave e il valore del tag alla sessione dell'utente. IAMLe tue politiche possono valutare l'accesso dell'utente in base alla ${aws:PrincipalTag/tagkey} condizione. IAMvaluta il valore del tag dell'utente rispetto alla policy.

È necessario preparare IAM i ruoli di cui si desidera trasmettere le credenziali agli utenti. La policy di attendibilità di questi ruoli deve consentire ad Amazon Cognito di assumere il ruolo per l'utente. Per quanto riguarda gli attributi per il controllo degli accessi, devi inoltre consentire ad Amazon Cognito di applicare i tag principali alla sessione temporanea dell'utente. Concedi il permesso di assumere il ruolo con l'azione AssumeRoleWithWebIdentity. Concedi l'autorizzazione per applicare tag alle sessioni degli utenti con l'azione basata solo sull'autorizzazione sts:TagSession. Per ulteriori informazioni, consulta Passare i tag di sessione in  AWS Security Token Service nella Guida per l'utente di AWS Identity and Access Management . Per una policy di attendibilità che concede le autorizzazioni sts:AssumeRoleWithWebIdentity e sts:TagSession al principale del servizio Amazon Cognitocognito-identity.amazonaws.com, consulta Esempio di utilizzo di attributi per la policy di controllo degli accessi.

Esempio di utilizzo di attributi per la policy di controllo degli accessi

Consideriamo uno scenario in cui un dipendente dell'ufficio legale di un'azienda deve riportare nei bucket tutti i file che appartengono al suo reparto e classificarli con il loro livello di sicurezza. Si supponga che il token che questo dipendente ottiene dal provider di identità contenga le seguenti attestazioni.

Attestazioni

            { .
              .
            "sub" : "57e7b692-4f66-480d-98b8-45a6729b4c88",
            "department" : "legal",
            "clearance" : "confidential",
             .
             .
            }
        

Questi attributi possono essere mappati ai tag e referenziati nelle politiche di IAM autorizzazione come tag principali. Adesso puoi possibile gestire l'accesso modificando il profilo utente sul provider di identità. In alternativa, puoi modificare gli attributi sul lato risorsa utilizzando nomi o tag senza modificare la policy stessa.

La seguente policy di autorizzazioni esegue due operazioni:

Policy delle autorizzazioni

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:List*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}"
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}/*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/clearance": "${aws:PrincipalTag/clearance}"
                }
            }
        }
    ]
}

La policy di attendibilità determina chi può assumere questo ruolo. La policy di relazione di attendibilità consente l'utilizzo di sts:AssumeRoleWithWebIdentity e sts:TagSession per consentire l'accesso. Aggiunge condizioni per limitare la policy al pool di identità creato e garantisce che sia per un ruolo autenticato.

Policy di trust

            
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRoleWithWebIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "IDENTITY-POOL-ID"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}
            

Disattivazione di attributi per il controllo degli accessi (console)

Segui questa procedura per disattivare gli attributi per il controllo degli accessi.

Mappature di provider predefinite

Nella tabella seguente sono riportate le informazioni di mappatura predefinite per i provider di autenticazione supportati da Amazon Cognito.