Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Esempi di politiche basate sull'identità della crittografia dei pagamenti

Per impostazione predefinita, gli utenti e i ruoli IAM non sono autorizzati a creare o modificare AWS risorse di crittografia dei pagamenti. Inoltre, non possono eseguire attività utilizzando l' AWS API AWS Management Console AWS CLI, o. Un amministratore IAM deve creare policy IAM che concedono a utenti e ruoli l'autorizzazione per eseguire operazioni API specifiche sulle risorse specificate di cui hanno bisogno. L'amministratore deve quindi allegare queste policy a utenti o IAM che richiedono tali autorizzazioni.

Per informazioni su come creare una policy basata su identità IAM utilizzando questi documenti di policy JSON di esempio, consulta Creazione di policy nella scheda JSON nella Guida per l'utente IAM.

Best practice delle policy

Le politiche basate sull'identità determinano se qualcuno può creare, accedere o eliminare le risorse di crittografia dei AWS pagamenti nel tuo account. Queste operazioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per maggiori informazioni sulle best practice in IAM, consulta Best practice di sicurezza in IAM nella Guida per l'utente di IAM.

Utilizzo della console Payment Cryptography AWS

Per accedere alla console AWS Payment Cryptography, devi disporre di un set minimo di autorizzazioni. Queste autorizzazioni devono consentirti di elencare e visualizzare i dettagli sulle risorse di crittografia dei AWS pagamenti presenti nel tuo account. AWS Se crei una policy basata su identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti e ruoli IAM) associate a tale policy.

Per garantire che tali entità possano ancora utilizzare la console AWS di crittografia dei pagamenti, allega anche la seguente politica AWS gestita alle entità. Per ulteriori informazioni, consulta Aggiunta di autorizzazioni a un utente nella Guida per l'utente IAM.

Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso AWS CLI o l' AWS API. Al contrario, è possibile accedere solo alle operazioni che soddisfano l'operazione API che stai cercando di eseguire.

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra in che modo è possibile creare una policy che consente agli utenti IAM di visualizzare le policy inline e gestite che sono cpllegate alla relativa identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando l'API o a livello di codice. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Capacità di accedere a tutti gli aspetti della crittografia dei pagamenti AWS

In questo esempio, vuoi concedere a un utente IAM del tuo AWS account l'accesso a tutte le tue chiavi di crittografia dei AWS pagamenti e la possibilità di chiamare tutte le API di crittografia dei AWS pagamenti, comprese entrambe le operazioni. ControlPlane DataPlane

   {
      "Version": "2012-10-17",
      "Statement": [
            {
               "Effect": "Allow",
               "Action": [
                  "payment-cryptography:*"
               ],
               "Resource": [
                  "*"
               ]
            }   
      ]
   }

Possibilità di chiamare utilizzando i tasti APIs specificati

In questo esempio, vuoi concedere a un utente IAM del tuo AWS account l'accesso a una delle tue chiavi di crittografia dei AWS pagamenti, arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h quindi utilizzare questa risorsa in due APIs, GenerateCardData eVerifyCardData. Al contrario, l'utente IAM non avrà accesso all'uso di questa chiave per altre operazioni come o DeleteKey ExportKey

Le risorse possono essere chiavi con prefisso key o alias con prefisso. alias

   {
      "Version": "2012-10-17",
      "Statement": [
            {
               "Effect": "Allow",
               "Action": [
                  "payment-cryptography:VerifyCardData",
                  "payment-cryptography:GenerateCardData"
               ],
               "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
               ]
            }   
      ]
   }

Capacità di negare specificamente una risorsa

In questo esempio, desideri consentire a un utente IAM del tuo AWS account di accedere a una qualsiasi delle tue chiavi di crittografia dei AWS pagamenti, ma desideri negare le autorizzazioni a una chiave specifica. L'utente avrà accesso a VerifyCardData e GenerateCardData con tutte le chiavi ad eccezione di quella specificata nella dichiarazione di negazione.

   {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "payment-cryptography:VerifyCardData",
                  "payment-cryptography:GenerateCardData"
              ],
              "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/*"
              ]
          },
          {
              "Effect": "Deny",
              "Action": [
                  "payment-cryptography:GenerateCardData"
              ],
              "Resource": [
                  "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
              ]
          }
      ]
  }