を使用した Kinesis Video Streams リソースへのアクセスの制御 IAM

アカウントで作成されたストリームリソースに対してオペレーションを実行するアクセス許可を付与するアカウントの 12 桁のアカウント ID を取得します。

例： 次のステップでは、アクセス許可を付与するアカウントのアカウント ID として 111111111111、Kinesis Video Streams の ID として 999999999999 を使用します。

付与するアクセスレベルを許可する ストリーム (999999999999) を所有する アカウントに IAM マネージドポリシーを作成します。

サンプルポリシー:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia"
            ],
            "Resource": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
        }
    ]
}

Kinesis Video Streams リソースの他のポリシーの例については、次のセクションポリシーの例の「」を参照してください。

ストリーム (999999999999) を所有する アカウントにロールを作成し、(111111111111) のアクセス許可を付与する アカウントを指定します。これにより、信頼されたエンティティがロールに追加されます。

信頼されたポリシーの例:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:root"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

前のステップで作成したポリシーをこのロールにアタッチします。

これで、アカウント 999999999999 でロールが作成されました。このロールにはDescribeStream、 、GetDataEndpoint、 などのオペレーションに対するアクセス許可が マネージドポリシーARNのストリームリソースPutMediaに付与されています。この新しいロールは、他のアカウントである 111111111111 も信頼してこのロールを引き受けます。

前のステップでアカウント 111111111111 で作成したロールに対するAssumeRoleアクションを許可するマネージドポリシーを他のアカウント 999999999999 に作成します。前のステップARNのロールについて言及する必要があります。

サンプルポリシー:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::999999999999:role/CustomRoleName"
    }
}

前のステップで作成したポリシーを、アカウント 111111111111 のロールやユーザーなどのIAMエンティティにアタッチします。このユーザーは、アカウント 999999999999 CustomRoleNameでロールを引き受けるアクセス許可を持つようになりました。

このユーザーの認証情報は を呼び出し AWS STS AssumeRoleAPIてセッション認証情報を取得し、その後、アカウント 999999999999 で作成されたストリームAPIsで Kinesis Video Streams を呼び出すために使用されます。

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

環境内の前のセットに基づいて、アクセスキー、シークレットキー、およびセッション認証情報を設定します。

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

Kinesis Video Streams を実行してAPIs、アカウント 999999999999 のストリームのデータエンドポイントを記述して取得します。

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}