기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon Verified Permissions 정책 예제

여기에 포함된 정책 예제 중 일부는 기본 Cedar 정책 예제이고 일부는 Verified Permissions에 따라 다릅니다. 기본 항목은 Cedar 정책 언어 참조 가이드에 연결되며 여기에 포함되어 있습니다. Cedar 정책 구문에 대한 자세한 내용은 Cedar 정책 언어 참조 가이드의 Cedar 기본 정책 구성을 참조하세요.

정책 예제

브래킷 표기법을 사용하여 토큰 속성 참조

다음 예제는 브래킷 표기법을 사용하여 토큰 속성을 참조하는 정책을 생성하는 방법을 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit (
    principal in MyCorp::UserGroup::"us-west-2_EXAMPLE|MyUserGroup",
    action,
    resource
) when {
    principal["cognito:username"] == "alice" &&
    principal["custom:employmentStoreCode"] == "petstore-dallas" &&
    principal has email && principal.email == "alice@example.com" &&
    context["ip-address"] like "192.0.2.*"
};

점 표기법을 사용하여 속성 참조

다음 예제에서는 점 표기법을 사용하여 속성을 참조하는 정책을 생성하는 방법을 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit(principal, action, resource)
when {
    principal.cognito.username == "alice" &&
    principal.custom.employmentStoreCode == "petstore-dallas" &&
    principal.tenant == "x11app-tenant-1" &&
    principal has email && principal.email == "alice@example.com"
};

Amazon Cognito ID 토큰 속성을 반영합니다.

다음 예제는 Amazon Cognito 에서 정책 참조 ID 토큰 속성을 생성하는 방법을 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit (
    principal in MyCorp::UserGroup::"us-west-2_EXAMPLE|MyUserGroup",
    action,
    resource
) when {
    principal["cognito:username"] == "alice" &&
    principal["custom:employmentStoreCode"] == "petstore-dallas" &&
    principal.tenant == "x11app-tenant-1" &&
    principal has email && principal.email == "alice@example.com"
};

OIDC ID 토큰 속성을 반영합니다.

다음 예제는 정책 참조 ID 토큰 속성을 OIDC 공급자로부터 생성하는 방법을 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit (
    principal in MyCorp::UserGroup::"MyOIDCProvider|MyUserGroup",
    action,
    resource
) when {
    principal.email_verified == true && principal.email == "alice@example.com" &&
    principal.phone_number_verified == true && principal.phone_number like "+1206*"
};

Amazon Cognito 액세스 토큰 속성을 반영합니다.

다음 예제는 Amazon Cognito 에서 정책 참조 액세스 토큰 속성을 생성하는 방법을 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit(principal, action in [MyApplication::Action::"Read", MyApplication::Action::"GetStoreInventory"], resource)
when { 
    context.token.client_id == "52n97d5afhfiu1c4di1k5m8f60" &&
    context.token.scope.contains("MyAPI/mydata.write")
};

OIDC 액세스 토큰 속성을 반영합니다.

다음 예제는 정책 참조를 생성하는 방법을 OIDC 보여줍니다.

Verified Permissions의 정책에서 토큰 속성을 사용하는 방법에 대한 자세한 내용은 섹션을 참조하세요. 스키마에 자격 증명 공급자 토큰 매핑

permit(
    principal, 
    action in [MyApplication::Action::"Read", MyApplication::Action::"GetStoreInventory"],
    resource
)
when { 
    context.token.client_id == "52n97d5afhfiu1c4di1k5m8f60" &&
    context.token.scope.contains("MyAPI-read")
};