를 사용하여 Kinesis Video Streams 리소스에 대한 액세스 제어 IAM

계정에 생성된 스트림 리소스에 대한 작업을 수행할 수 있는 권한을 부여하려는 계정의 12자리 계정 ID를 가져옵니다.

예: 다음 단계에서는 권한을 부여하려는 계정의 계정 ID로 111111111111을 사용하고 Kinesis Video Streams의 ID로 999999999999을 사용합니다.

스트림(999999999999)을 소유한 계정에서 부여하려는 액세스 수준을 허용하는 IAM 관리형 정책을 생성합니다.

샘플 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia"
            ],
            "Resource": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
        }
    ]
}

Kinesis Video Streams 리소스에 대한 기타 예제 정책은 다음 섹션정책 예제의 섹션을 참조하세요.

스트림을 소유하는 계정(999999999999)에서 역할을 생성하고 )에 대한 권한을 부여할 계정을 지정합니다(111111111111. 이렇게 하면 신뢰할 수 있는 엔터티가 역할에 추가됩니다.

신뢰할 수 있는 정책 샘플:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:root"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

이전 단계에서 생성한 정책을 이 역할에 연결합니다.

이제 ARN 관리형 정책의 스트림 리소스에서 DescribeStream, GetDataEndpoint및 와 같은 작업에 대한 권한이 있는 역할을 계정 999999999999PutMedia에 생성했습니다. 이 새 역할은 다른 계정인 111111111111도 이 역할을 수임하도록 신뢰합니다.

이전 단계에서 계정 111111111111에서 생성한 역할에 대한 AssumeRole 작업을 허용하는 관리형 정책을 다른 계정 999999999999에서 생성합니다. ARN 이전 단계에서 역할을 언급해야 합니다.

샘플 정책:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::999999999999:role/CustomRoleName"
    }
}

이전 단계에서 생성된 정책을 계정 111111111111의 역할 또는 사용자와 같은 IAM엔터티에 연결합니다. 이제 이 사용자는 계정 999999999999CustomRoleName에서 역할을 수임할 수 있는 권한이 있습니다.

이 사용자의 보안 인증은 세션 보안 인증을 얻기 API 위해 호출 AWS STS AssumeRole하며, 이후 계정 999999999999에서 생성된 스트림APIs에서 Kinesis Video Streams를 호출하는 데 사용됩니다.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

환경의 이전 세트를 기반으로 액세스 키, 보안 키 및 세션 보안 인증을 설정합니다.

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

Kinesis Video Streams를 실행APIs하여 계정 999999999999의 스트림에 대한 데이터 엔드포인트를 설명하고 가져옵니다.

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}