As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Usar atributos para controle de acesso

Os atributos para controle de acesso são a implementação do controle de acesso baseado em atributos () nos grupos de identidade do Amazon Cognito. ABAC Você pode usar IAM políticas para controlar o acesso aos AWS recursos por meio dos grupos de identidade do Amazon Cognito com base nos atributos do usuário. Esses atributos podem ser extraídos de provedores de identidade social e corporativa. Você pode mapear atributos nos tokens ou SAML declarações de acesso e ID dos provedores para tags que podem ser referenciadas nas políticas de permissões. IAM

Você pode escolher mapeamentos padrão ou criar seus próprios mapeamentos personalizados nos conjuntos de identidades do Amazon Cognito. Os mapeamentos padrão permitem que você escreva IAM políticas com base em um conjunto fixo de atributos do usuário. Os mapeamentos personalizados permitem que você selecione um conjunto personalizado de atributos do usuário que são referenciados nas IAM políticas de permissões. Os nomes dos atributos no console do Amazon Cognito são mapeados para a chave de tag principal, que são as tags referenciadas na política de permissões. IAM

Por exemplo, vamos supor que você tenha um serviço de transmissão de mídia com uma assinatura gratuita e paga. Você armazena os arquivos de mídia no Amazon S3 e os marca com tags gratuitas ou premium. Você pode usar atributos para controle de acesso a fim de permitir acesso a conteúdo gratuito e pago com base no nível de associação do usuário, que faz parte do perfil do usuário. Você pode mapear o atributo de associação para uma chave de tag para que o principal seja passado para a política de IAM permissões. Dessa forma, você pode criar uma única política de permissões e permitir condicionalmente o acesso a conteúdo premium com base no valor do nível de associação e na tag dos arquivos de conteúdo.

Usar atributos para controlar o acesso traz vários benefícios:

Uso de atributos para controle de acesso com conjuntos de identidades do Amazon Cognito

Antes de usar atributos para controle de acesso, verifique se você atende aos seguintes pré-requisitos:

Para usar atributos para controle de acesso, a Declaração que você define como fonte de dados define o valor da Chave de tag selecionada. O Amazon Cognito aplica a chave e o valor da tag à sessão do usuário. Suas IAM políticas podem avaliar o acesso do seu usuário a partir da ${aws:PrincipalTag/tagkey} condição. IAMavalia o valor da tag do seu usuário em relação à política.

Você deve preparar IAM funções cujas credenciais você deseja passar para seus usuários. A política de confiança desses perfis deve permitir que o Amazon Cognito assuma o perfil para o usuário. Quanto a atributos de controle de acesso, você também deve permitir que o Amazon Cognito aplique tags de entidade principal à sessão temporária do usuário. Conceda permissão para assumir a função com a ação AssumeRoleWithWebIdentity. Conceda permissão para marcar as sessões dos usuários com a ação somente com permissão sts:TagSession. Para receber mais informações, consulte Passar tags de sessão no AWS Security Token Service no Guia do usuário do AWS Identity and Access Management . Por ver um exemplo de política de confiança que concede as permissões sts:AssumeRoleWithWebIdentity e sts:TagSession à entidade principal do serviço Amazon Cognito cognito-identity.amazonaws.com, consulte Usar atributos para exemplo de política de controle de acesso.

Usar atributos para exemplo de política de controle de acesso

Considere uma situação em que um funcionário do departamento jurídico de uma empresa precisa listar todos os arquivos em buckets que pertencem ao departamento e são classificados com seu nível de segurança. Suponha que o token que esse funcionário recebe do provedor de identidade contenha as seguintes solicitações.

Reivindicações

            { .
              .
            "sub" : "57e7b692-4f66-480d-98b8-45a6729b4c88",
            "department" : "legal",
            "clearance" : "confidential",
             .
             .
            }
        

Esses atributos podem ser mapeados para tags e referenciados nas políticas de IAM permissões como tags principais. Agora, você pode gerenciar o acesso alterando o perfil do usuário no lado do provedor de identidade. Como alternativa, você pode alterar atributos no lado do recurso usando nomes ou tags sem alterar a própria política.

A política de permissões a seguir faz duas coisas:

Política de permissões

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:List*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}"
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*-${aws:PrincipalTag/department}/*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/clearance": "${aws:PrincipalTag/clearance}"
                }
            }
        }
    ]
}

A política de confiança determina quem pode assumir essa função. A política de relacionamento de confiança permite o uso de sts:AssumeRoleWithWebIdentity e sts:TagSession para permitir o acesso. Ela adiciona condições para restringir a política ao banco de identidades que você criou e garante que ela seja para uma função autenticada.

Política de confiança

            
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRoleWithWebIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "IDENTITY-POOL-ID"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}
            

Desativar atributos para controle de acesso (console)

Siga este procedimento para desativar atributos para controle de acesso.

Mapeamentos padrão do provedor

A tabela a seguir possui as informações de mapeamento padrão para os provedores de autenticação que são compatíveis com o Amazon Cognito.