Autorizzazione di utenti e servizi cloud all'utilizzo di AWS IoT Jobs

La tabella seguente mostra un elenco di azioni IAM politiche e autorizzazioni per utilizzare le API azioni. Per informazioni sui tipi di risorse, vedere Tipi di risorse definiti da AWS IoT. Per ulteriori informazioni sulle AWS IoT azioni, vedere Azioni definite da AWS IoT.

L'esempio seguente mostra una IAM policy che consente l'autorizzazione dell'utente a eseguire le seguenti azioni per l'oggetto e il gruppo di oggetti IoT.

Nell'esempio, sostituisci:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob",
                ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thinggroup/thing-group-name"
        },
        {
            "Action": [
                "iot:DescribeJob",
                "iot:CancelJob",
                "iot:DeleteJob",
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:job/*"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]
}

È possibile impedire ai responsabili di effettuare API chiamate verso l'endpoint del piano di controllo da indirizzi IP specifici. Per specificare gli indirizzi IP che possono essere consentiti, nell'elemento Condizione della IAM politica, utilizza la chiave di condizione aws:SourceIpglobale.

L'utilizzo di questa chiave condizionale può anche impedire ad altri Servizio AWS utenti di effettuare queste API chiamate per conto dell'utente, ad esempio AWS CloudFormation. Per consentire l'accesso a questi servizi, usa la chiave aws:ViaAWSServiceglobal condition con la SourceIp chiave aws:. In questo modo garantisci che la restrizione di accesso all'indirizzo IP di origine si applichi solo alle richieste effettuate direttamente da un principale. Per maggiori informazioni, vedi AWS: Nega l'accesso a in AWS base all'IP di origine.

L'esempio seguente mostra come consentire solo un indirizzo IP specifico in grado di effettuare API chiamate all'endpoint del piano di controllo. La aws:ViaAWSService chiave è impostata sutrue, il che consente ad altri servizi di effettuare API chiamate per conto dell'utente.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob"
             ],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "true"}
        }
    ],
}           

Le API operazioni che devono essere autorizzate vengono in genere eseguite digitando CLI i comandi. Di seguito viene riportato l'esempio di un utente che esegue un'operazione DescribeJobExecution.

Nell'esempio, sostituisci:

aws iot-jobs-data describe-job-execution \ 
    --endpoint-url "https://account-id.jobs.iot.region.amazonaws.com" \ 
    --job-id jobID --thing-name thing-name
            

Di seguito viene illustrato un esempio di IAM politica che autorizza questa azione:

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": ["iotjobsdata:DescribeJobExecution"],
        "Effect": "Allow",
        "Resource": "arn:aws:iot:region:account-id:thing/thing-name",
    }
   }

È possibile impedire ai principali destinatari di effettuare API chiamate verso l'endpoint del piano dati da indirizzi IP specifici. Per specificare gli indirizzi IP che possono essere consentiti, nell'elemento Condition della IAM policy, utilizza la chiave aws:SourceIpglobal condition.

L'utilizzo di questa chiave condizionale può anche impedire ad altri Servizio AWS utenti di effettuare queste API chiamate per conto dell'utente, ad esempio AWS CloudFormation. Per consentire l'accesso a questi servizi, utilizza la chiave di condizione globale aws:ViaAWSService con la chiave di condizione aws:SourceIp. In questo modo garantisci che la restrizione di accesso all'indirizzo IP di origine si applichi solo alle richieste effettuate direttamente dal principale. Per ulteriori informazioni, vedere AWS: Nega l'accesso a in AWS base all'IP di origine.

L'esempio seguente mostra come consentire solo un indirizzo IP specifico in grado di effettuare API chiamate all'endpoint del piano dati.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": ["iotjobsdata:*"],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "false"}
        }
    ],
}           

L'esempio seguente mostra come limitare l'effettuazione di API chiamate all'endpoint del piano dati da parte di indirizzi IP o intervalli di indirizzi specifici.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Deny",
            "Action": ["iotjobsdata:*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "123.45.167.89",
                        "192.0.2.0/24", 
                        "203.0.113.0/24"                        
                    ]
                }
            },
            "Resource": ["*"],
        }
    ],
}

Se si esegue un'APIoperazione sia sul piano di controllo che sul piano dati, l'azione politica del piano di controllo deve utilizzare il iot: prefisso e l'azione politica del piano dati deve utilizzare il iotjobsdata: prefisso.

Ad esempio, DescribeJobExecution API può essere utilizzato sia nel piano di controllo che nel piano dati. Sul piano di controllo, DescribeJobExecutionAPIviene utilizzato per descrivere l'esecuzione di un lavoro. Sul piano dati, DescribeJobExecutionAPIviene utilizzato per ottenere dettagli sull'esecuzione di un lavoro.

La seguente IAM politica autorizza l'autorizzazione dell'utente a utilizzare il sia DescribeJobExecution API sul piano di controllo che sul piano dati.

Nell'esempio, sostituisci:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": ["iotjobsdata:DescribeJobExecution"],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thing/thing-name"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]            
}

Fate riferimento ai seguenti esempi di IAM policy per la concessione delle autorizzazioni di etichettatura:

Esempio 1

Un utente che esegue il comando seguente per creare un processo e contrassegnarlo a un ambiente specifico.

In questo esempio, sostituisci:

aws iot create-job 
    --job-id test_job 
    --targets "arn:aws:iot:region:account-id:thing/thingOne"
    --document-source "https://s3.amazonaws.com/amzn-s3-demo-bucket/job-document.json"
    --description "test job description" 
    --tags Key=environment,Value=beta

Per questo esempio, è necessario utilizzare la seguente IAM politica:

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": [ "iot:CreateJob", "iot:CreateJobTemplate", "iot:TagResource" ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:iot:aws-region:account-id:job/*",
            "arn:aws:iot:aws-region:account-id:jobtemplate/*"
        ]
    }
}