Limitazione dell'accesso a ruoli IAM

Per identificare gli utenti del database specifici con accesso a un ruolo IAM

1. Identifica l'Amazon Resource Name (ARN) per gli utenti del database nel cluster Amazon Redshift. L'ARN per un utente del database ha il formato: arn:aws:redshift:region:account-id:dbuser:cluster-name/user-name.

   Per Amazon Redshift serverless utilizza il seguente formato ARN. arn:aws:redshift:region:account-id:dbuser:serverless-account-id-workgroup-id/user-name

2. Aprire la console IAM.

3. Nel pannello di navigazione, selezionare Ruoli.

4. Scegli il ruolo IAM per limitare a utenti del database Amazon Redshift specifici.

5. Selezionare la scheda Trust Relationships (Relazioni di trust) e quindi scegliere Edit Trust Relationship (Modifica relazione di trust). Un nuovo ruolo IAM che consente ad Amazon Redshift di accedere ad altri AWS servizi per tuo conto ha una relazione di fiducia come segue:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "redshift.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }               

6. Aggiungere una condizione nella sezione dell'operazione sts:AssumeRole della relazione di trust che limita il campo sts:ExternalId ai valori specificati. Includere un ARN per ogni utente del database a cui si vuole concedere l'accesso al ruolo. L'ID esterno può essere qualsiasi stringa univoca.

   Ad esempio, la relazione di trust seguente specifica che solo gli utenti del database user1 e user2 nel cluster my-cluster nella regione us-west-2 hanno l'autorizzazione per usare questo ruolo IAM.

   {
     "Version": "2012-10-17",
     "Statement": [
     {
       "Effect": "Allow",
       "Principal": { 
         "Service": "redshift.amazonaws.com" 
       },
       "Action": "sts:AssumeRole",
       "Condition": {
         "StringEquals": {
           "sts:ExternalId": [
             "arn:aws:redshift:us-west-2:123456789012:dbuser:my-cluster/user1",
             "arn:aws:redshift:us-west-2:123456789012:dbuser:my-cluster/user2"
           ]
         }
       }
     }]
   }      

7. Scegli Update Trust Policy (Aggiorna policy di trust).