Utilizzo di politiche basate sull'identità con Amazon SNS

In questo esempio, a Bob si applicano sia una IAM SNS policy che una policy Amazon. La IAM politica gli concede l'autorizzazione per Subscribe qualsiasi argomento, mentre la Account AWS SNS politica di Amazon gli concede il permesso di utilizzare Publish su un argomento specifico (topic_xyz). Il diagramma seguente illustra questo concetto.

Se Bob dovesse inviare una richiesta di sottoscrizione a qualsiasi argomento dell' AWS account, la IAM politica consentirebbe l'azione. Se Bob dovesse inviare una richiesta per pubblicare un messaggio su topic_xyz, la SNS policy di Amazon consentirebbe l'azione.

In questo esempio, facciamo riferimento all'esempio 1 (dove due policy si applicano a Bob). Supponiamo che Bob pubblichi dei messaggi in topic_xyz quando non dovrebbe farlo e che di conseguenza tu intenda negargli completamente la possibilità di pubblicare negli argomenti. La cosa più semplice da fare è aggiungere una IAM politica che gli neghi l'accesso all'azione su tutti gli argomenti. Publish Questa terza politica ha la precedenza sulla politica di Amazon che originariamente gli aveva dato il permesso di pubblicare su topic_xyz, perché un rifiuto esplicito ha sempre la precedenza sull'autorizzazione (per ulteriori informazioni sulla logica di valutazione delle SNS politiche, consulta). Logica della valutazione Il diagramma seguente illustra questo concetto.

Quanto segue è un ARN argomento denominato MyTopic nella regione us-east-2, appartenente a 123456789012. Account AWS

arn:aws:sns:us-east-2:123456789012:MyTopic

Se disponi di un argomento denominato MyTopic in ciascuna delle diverse regioni SNS supportate da Amazon, puoi specificare gli argomenti con quanto segueARN.

arn:aws:sns:*:123456789012:MyTopic

In questo esempio, creiamo una policy che autorizza l'accesso a CreateTopic, ListTopics, SetTopicAttributes e DeleteTopic.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:CreateTopic", "sns:ListTopics", "sns:SetTopicAttributes", "sns:DeleteTopic"],
    "Resource": "*"
  }]
}

In questo esempio, creiamo un gruppo per il reparto IT e assegniamo una policy che autorizza l'accesso a Publish per l'argomento desiderato.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

In questo esempio, creiamo una policy che consente di accedere all'operazione Subscribe, con condizioni di corrispondenza di stringa per le chiavi di policy sns:Protocol e sns:Endpoint.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:Subscribe"],
    "Resource": "*",
    "Condition": {
      "StringLike": {
        "SNS:Endpoint": "*@example.com"
      },
      "StringEquals": {
        "sns:Protocol": "email"
      }
    }
  }]
}

Puoi utilizzare una SNS policy di Amazon o una IAM policy per consentire a un partner di pubblicare su un argomento specifico. Se il tuo partner ha una polizza Amazon Account AWS, potrebbe essere più semplice utilizzare una SNS politica Amazon. Tuttavia, chiunque nell'azienda del partner possieda le credenziali AWS di sicurezza può pubblicare messaggi sull'argomento. Questo esempio presuppone che tu voglia limitare l'accesso a una determinata persona (o applicazione). Per fare ciò devi trattare il partner come un utente all'interno della tua azienda e utilizzare una IAM politica anziché una SNS politica Amazon.

Per questo esempio, creiamo un gruppo chiamato WidgetCo che rappresenta l'azienda partner; creiamo un utente per la persona (o applicazione) specifica presso l'azienda partner che deve accedere; quindi inseriamo l'utente nel gruppo.

Quindi alleghiamo una politica che concede al gruppo l'Publishaccesso all'argomento specifico denominato WidgetPartnerTopic.

Vogliamo anche impedire al WidgetCo gruppo di fare altro con gli argomenti, quindi aggiungiamo una dichiarazione che nega l'autorizzazione a qualsiasi SNS azione di Amazon diversa da quella Publish su argomenti diversi WidgetPartnerTopic da. Ciò è necessario solo se esiste un'ampia politica altrove nel sistema che garantisce agli utenti un ampio accesso ad AmazonSNS.

{
  "Statement": [{
      "Effect": "Allow",
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    },
    {
      "Effect": "Deny",
      "NotAction": "sns:Publish",
      "NotResource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    }
  ]
}