As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Exemplos de políticas baseadas em identidade do App Runner

Por padrão, IAM usuários e funções não têm permissão para criar ou modificar AWS App Runner recursos. Eles também não podem realizar tarefas usando o AWS Management Console, AWS CLI, ou AWS API. Um IAM administrador deve criar IAM políticas que concedam aos usuários e funções permissão para realizar API operações específicas nos recursos especificados de que precisam. O administrador deve anexar essas políticas aos IAM usuários ou grupos do que exigem essas permissões.

Para saber como criar uma política IAM baseada em identidade usando esses exemplos de documentos JSON de política, consulte Criação de políticas na JSON guia do IAMusuário.

Para outros tópicos de segurança do App Runner, consulteSegurança no App Runner.

Melhores práticas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do App Runner em sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as práticas recomendadas no IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Políticas de usuário

Para acessar o console do App Runner, IAM os usuários devem ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os recursos do App Runner em seu Conta da AWS. Se você criar uma política baseada em identidade que seja mais restritiva do que as permissões mínimas exigidas, o console não funcionará conforme planejado para os usuários com essa política.

O App Runner fornece duas políticas gerenciadas que você pode anexar aos seus usuários.

Para garantir que os usuários possam usar o console do App Runner, anexe, no mínimo, a política AWSAppRunnerReadOnlyAccess gerenciada aos usuários. Em vez disso, você pode anexar a política AWSAppRunnerFullAccess gerenciada ou adicionar permissões adicionais específicas para permitir que os usuários criem, modifiquem e excluam recursos. Para obter mais informações, consulte Adicionar permissões a um usuário no Guia do IAM usuário.

Você não precisa permitir permissões mínimas do console para usuários que estão fazendo chamadas somente para AWS CLI o. ou AWS API o. Em vez disso, permita o acesso somente às ações que correspondam à API operação que você deseja permitir que os usuários realizem.

Os exemplos a seguir demonstram políticas de usuário personalizadas. Você pode usá-los como pontos de partida para definir suas próprias políticas de usuário personalizadas. Copie o exemplo e/ou remova ações, defina o escopo dos recursos e adicione condições.

Exemplo: política de usuário de gerenciamento de console e conexão

Este exemplo de política permite o acesso ao console e permite a criação e o gerenciamento de conexões. Ele não permite a criação e o gerenciamento do serviço App Runner. Ele pode ser anexado a um usuário cuja função é gerenciar o acesso do serviço App Runner aos ativos do código-fonte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apprunner:List*",
        "apprunner:Describe*",
        "apprunner:CreateConnection",
        "apprunner:DeleteConnection"
      ],
      "Resource": "*"
    }
  ]
}

Exemplo: políticas de usuário que usam chaves de condição

Os exemplos nesta seção demonstram permissões condicionais que dependem de algumas propriedades de recursos ou parâmetros de ação.

Este exemplo de política permite criar um serviço App Runner, mas nega o uso de uma conexão chamada. prod

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCreateAppRunnerServiceWithNonProdConnections",
      "Effect": "Allow",
      "Action": "apprunner:CreateService",
      "Resource": "*",
      "Condition": {
        "ArnNotLike": {
          "apprunner:ConnectionArn": "arn:aws:apprunner:*:*:connection/prod/*"
        }
      }
    }
  ]
}

Este exemplo de política permite atualizar um serviço do App Runner nomeado preprod somente com uma configuração de escalonamento automático chamada. preprod

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUpdatePreProdAppRunnerServiceWithPreProdASConfig",
      "Effect": "Allow",
      "Action": "apprunner:UpdateService",
      "Resource": "arn:aws:apprunner:*:*:service/preprod/*",
      "Condition": {
        "ArnLike": {
          "apprunner:AutoScalingConfigurationArn": "arn:aws:apprunner:*:*:autoscalingconfiguration/preprod/*"
        }
      }
    }
  ]
}

Controle do acesso aos serviços do App Runner com base em tags

Você pode usar condições em sua política baseada em identidade para controlar o acesso aos recursos do App Runner com base em tags. Este exemplo mostra como você pode criar uma política que permita excluir um serviço do App Runner. No entanto, a permissão será concedida somente se a tag Owner tiver o valor do nome desse usuário. Essa política também concede as permissões necessárias concluir essa ação no console.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListServicesInConsole",
      "Effect": "Allow",
      "Action": "apprunner:ListServices",
      "Resource": "*"
    },
    {
      "Sid": "DeleteServiceIfOwner",
      "Effect": "Allow",
      "Action": "apprunner:DeleteService",
      "Resource": "arn:aws:apprunner:*:*:service/*",
      "Condition": {
        "StringEquals": {"apprunner:ResourceTag/Owner": "${aws:username}"}
      }
    }
  ]
}

Você pode anexar essa política aos usuários do IAM na sua conta. Se um usuário chamado richard-roe tentar excluir um serviço do App Runner, o serviço deverá ser marcado como Owner=richard-roe ouowner=richard-roe. Caso contrário, ele terá o acesso negado. A chave da tag de condição Owner corresponde a Owner e a owner porque os nomes das chaves de condição não fazem distinção entre maiúsculas e minúsculas. Para obter mais informações, consulte Elementos da IAM JSON política: condição no Guia IAM do usuário.