Amazon でのアイデンティティベースのポリシーの使用 SNS

この例では、IAMポリシーと Amazon SNSポリシーの両方が Bob に適用されます。このIAMポリシーは AWS アカウント、 のトピックのいずれかSubscribeに対する のアクセス許可をユーザーに付与しますが、Amazon SNSポリシーは特定のトピック (topic_xyz) Publish で使用するアクセス許可をユーザーに付与します。以下の図に、そのコンセプトを示します。

Bob が AWS アカウントの任意のトピックにサブスクライブするリクエストを送信する場合、IAMポリシーは アクションを許可します。Bob が topic_xyz にメッセージを発行するリクエストを送信する場合、Amazon SNSポリシーは アクションを許可します。

この例は、例 1 で示した、ボブに 2 つのポリシーが適用されている状態に基づいています。ボブは、必要のない topic_xyz にメッセージを発行しているため、トピックに発行する機能を完全に削除するとします。最も簡単なのは、すべてのトピックのPublishアクションへのアクセスを拒否するIAMポリシーを追加することです。この 3 番目のポリシーは、もともと topic_xyz に発行するアクセス許可を付与した Amazon SNSポリシーを上書きします。明示的な拒否は常に許可を上書きするためです (ポリシー評価ロジックの詳細については、「」を参照してください評価論理）。以下の図に、そのコンセプトを示します。

AWS アカウント 123456789012 に属する us-east-2 リージョン MyTopic で という名前のトピックARNの を次に示します。

arn:aws:sns:us-east-2:123456789012:MyTopic

Amazon がSNSサポートする各リージョン MyTopic に という名前のトピックがある場合は、次の を使用してトピックを指定できますARN。

arn:aws:sns:*:123456789012:MyTopic

この例では、CreateTopic、ListTopics、SetTopicAttributes、および DeleteTopic へのアクセスを付与するポリシーを作成します。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:CreateTopic", "sns:ListTopics", "sns:SetTopicAttributes", "sns:DeleteTopic"],
    "Resource": "*"
  }]
}

この例では、IT のグループを作成し、対象の特定のトピックで Publish へのアクセスを付与するポリシーを割り当てます。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

この例では、sns:Protocol および sns:Endpoint ポリシーキーの文字列一致条件を使って Subscribe アクションにアクセスを付与するポリシーを作成します。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:Subscribe"],
    "Resource": "*",
    "Condition": {
      "StringLike": {
        "SNS:Endpoint": "*@example.com"
      },
      "StringEquals": {
        "sns:Protocol": "email"
      }
    }
  }]
}

Amazon SNSポリシーまたは IAMポリシーを使用して、パートナーが特定のトピックに発行することを許可できます。パートナーに がある場合は AWS アカウント、Amazon SNSポリシーを使用する方が簡単です。ただし、 AWS セキュリティ認証情報を所有するパートナーの会社の誰でも、トピックにメッセージを公開できます。この例では、特定のユーザー (またはアプリケーション) へのアクセスを制限するとします。そのためには、パートナーを社内のユーザーとして扱い、Amazon IAMポリシーの代わりにSNSポリシーを使用する必要があります。

この例では、パートナー会社 WidgetCo を表す というグループを作成し、アクセスが必要なパートナー会社の特定の人物 (またはアプリケーション) のユーザーを作成し、そのユーザーをグループに配置します。

次に、 という名前の特定のトピックに対するグループPublishアクセスを許可するポリシーをアタッチしますWidgetPartnerTopic。

また、 WidgetCo グループがトピックに対して他の操作を実行できないようにしたいため、 以外のトピックPublishに対する以外の Amazon SNSアクションに対するアクセス許可を拒否するステートメントを追加します WidgetPartnerTopic。これは、Amazon への幅広いアクセスをユーザーに許可する広範なポリシーがシステム内の他の場所に存在している場合にのみ必要ですSNS。

{
  "Statement": [{
      "Effect": "Allow",
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    },
    {
      "Effect": "Deny",
      "NotAction": "sns:Publish",
      "NotResource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    }
  ]
}