As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Exemplos de políticas em nível de recursos do Connect Customer

O Connect Customer oferece suporte a permissões em nível de recurso para usuários, para que você possa especificar ações para eles em uma instância, conforme mostrado nas políticas a seguir.

Negar todas as ações em uma instância do Connect Customer

Uma instância do Connect Customer é o recurso de nível superior do Connect Customer. Todos os outros sub-recursos são criados dentro do escopo dela. Para negar todas as ações em todos os recursos em uma instância do Connect Customer, você pode usar um dos seguintes métodos:

O exemplo de política a seguir nega todas as ações de conexão para a instância com instanceId 00fbeee1-123e-111e-93e3-11111bfbfcc1.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "connect:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "connect:instanceId": "00fbeee1-123e-111e-93e3-11111bfbfcc1"
                }
            }
        }
    ]
}

Você também pode negar todas as ações especificando o ARN da instância seguido por um caractere curinga (*). O exemplo de política a seguir nega todas as ações de conexão para a instância com o ARN de instância arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1.

JSON

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "connect:*"
            ],
            "Resource": "arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1*"
        }
    ]
}

Negar as ações “Excluir” e “Atualizar”

O exemplo de política a seguir nega as ações de “excluir” e “atualizar” para usuários em uma instância do Connect Customer. Ele usa um curinga no final do ARN do usuário Connect Customer para que “excluir usuário” e “atualizar usuário” sejam negados no ARN completo do usuário (ou seja, todos os usuários do Connect Customer na instância fornecida, como arn:aws:connect:us-east- 1:123456789012: -123e-111e-93e3- /00dtcddd1-123e-111e-93e3- /00dtcddd1-123e-111e-93e3- /00dtcddd1-123e-111e-93e3- /00dtcddd1-123e-111e-93e3- /00dtcddd1-123e-111e-93e3- /00dtcddd1-123e-111e-93e3-11111bfbfcc1). instance/00fbeee1 11111bfbfcc1/agent

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "connect:DeleteUser",
                "connect:UpdateUser*"
            ],
            "Resource": "arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/agent/*"
        }
    ]
}            

Permitir ações para integrações com nomes específicos

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllAppIntegrationsActions",
            "Effect": "Allow",
            "Action": [
                "app-integrations:ListEventIntegrations",
                "app-integrations:CreateEventIntegration",
                "app-integrations:GetEventIntegration",
                "app-integrations:UpdateEventIntegration",
                "app-integrations:DeleteEventIntegration"
            ],
            "Resource":"arn:aws:app-integrations:*:*:event-integration/MyNamePrefix-*"
	}
    ]
}            

Permitir “Criar usuários”, mas negar se você for atribuído a um perfil de segurança específico

O exemplo de política a seguir permite “criar usuários”, mas nega explicitamente o uso de arn:aws:connect:us-west- 2:123456789012: -123e-111e-93e3- - -123e-111e-93e3-11111bfbfcc17 como parâmetro para o perfil de segurança solicitado. instance/00fbeee1 11111bfbfcc1/security profile/11dtcggg1 CreateUser

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect:CreateUser"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "connect:CreateUser"
            ],
            "Resource": "arn:aws:connect:us-west-2:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc17/security-profile/11dtcggg1-123e-111e-93e3-11111bfbfcc17"
        }
    ]
}

Permitir ações de gravação em um contato

O exemplo de política a seguir permite “iniciar a gravação de contato” em um contato em uma instância específica. Como o ContactID é dinâmico, usa-se *.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "connect:StartContactRecording"
            ],
            "Resource": "arn:aws:connect:us-west-2:111122223333:instance/instanceId/contact/*",
            "Effect": "Allow"
        }
    ]
}

Configurar um relacionamento confiável com accountID.

As seguintes ações de política são definidas para as APIs de gravação:

Permitir mais ações de contato na mesma função

Se a mesma função for usada para chamar outras APIs de contato, você poderá listar as seguintes ações de contato:

Ou use um curinga para permitir todas as ações de contato; por exemplo, "connect:*".

Permita mais recursos

Você também pode usar um caractere curinga para permitir mais recursos. Por exemplo, veja como permitir todas as ações de conexão em todos os recursos de contato:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "connect:*"
            ],
            "Resource": "arn:aws:connect:us-west-2:111122223333:instance/*/contact/*",
            "Effect": "Allow"
        }
    ]
}

Permitir ou negar ações de fila da API para números de telefone em uma região de réplica

As UpdateQueueOutboundCallerConfig APIs CreateQueue e contêm um campo de entrada chamadoOutboundCallerIdNumberId. Esse campo representa um recurso de número de telefone que pode ser solicitado para um grupo de distribuição de tráfego. Ele suporta o formato ARN do número de telefone V1 que é retornado por ListPhoneNumbers e o formato ARN V2 que é retornado por. ListPhoneNumbersV2

Veja o seguintes formatos de ARN V1 e V2 compatíveis com OutboundCallerIdNumberId:

Fornecer os dois formatos de ARN para recursos de número de telefone na região da réplica

Se o número de telefone for reivindicado para um grupo de distribuição de tráfego, para allow/deny acessar corretamente as ações da API de fila para recursos de número de telefone enquanto opera na região de réplica, você deve fornecer o recurso de número de telefone nos formatos ARN V1 e V2. Se você fornecer o recurso de número de telefone em apenas um formato ARN, isso não resultará no allow/deny comportamento correto ao operar na região da réplica.

Exemplo 1: Negar acesso a CreateQueue

Por exemplo, você está operando da região de réplica us-west-2 com a conta 123456789012 e a instância aaaaaaaa-bbbb-cccc-dddd-0123456789012. Você deseja negar acesso à CreateQueue API quando o OutboundCallerIdNumberId valor é um número de telefone reivindicado para um grupo de distribuição de tráfego com ID de recursoaaaaaaaa-eeee-ffff-gggg-0123456789012. Nesse cenário, você deve usar a seguinte política de bucket:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCreateQueueForSpecificNumber",
            "Effect": "Deny",
            "Action": "connect:CreateQueue",
            "Resource": [
                "arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
                "arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
            ]
        }
    ]
}

us-west-2 é a região em que a solicitação está sendo feita.

Exemplo 2: Permitir acesso somente a UpdateQueueOutboundCallerConfig

Por exemplo, você está operando da região de réplica us-west-2 com a conta 123456789012 e a instância aaaaaaaa-bbbb-cccc-dddd-0123456789012. Você só quer permitir o acesso à UpdateQueueOutboundCallerConfig API quando o OutboundCallerIdNumberId valor for um número de telefone reivindicado para um grupo de distribuição de tráfego com ID de recursoaaaaaaaa-eeee-ffff-gggg-0123456789012. Nesse cenário, você deve usar a seguinte política de bucket:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "OnlyAllowUpdateQueueOutboundCallerConfigForSpecificNumber",
            "Effect": "Allow",
            "Action": "connect:UpdateQueueOutboundCallerConfig",
            "Resource": [
                "arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
                "arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
            ]
        }
    ]
}

Veja AppIntegrations recursos específicos da Amazon

O exemplo de política a seguir permite buscar integrações de eventos.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "app-integrations:GetEventIntegration"
            ],
            "Resource": "arn:aws:app-integrations:us-west-2:111122223333:event-integration/Name"
        }
    ]
}

Conceder acesso aos perfis de clientes do Connect Customer

Os perfis de clientes do Connect Customer usam profile como prefixo para ações em vez deconnect. A política a seguir concede acesso total a um domínio específico nos perfis de clientes do Connect Customer.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "profile:*"
            ],
            "Resource": "arn:aws:profile:us-west-2:111122223333:domains/domainName",
            "Effect": "Allow"
        }
    ]
}

Configure um relacionamento confiável entre accountID e o domínio domainName.

Conceder acesso somente leitura aos dados do Customer Profiles

Veja a seguir um exemplo de como conceder acesso de leitura aos dados nos perfis de clientes do Connect Customer.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "profile:SearchProfiles"
            ],
            "Resource": "arn:aws:profile:us-east-1:111122223333:domains/domainName",
            "Effect": "Allow"
        }
    ]
}

Assistência de agente ao cliente do Query Connect somente para um assistente específico

O exemplo de política a seguir permite consultar somente um assistente específico.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "wisdom:QueryAssistant"
            ],
            "Resource": "arn:aws:wisdom:us-east-1:111122223333:assistant/assistantID"
        }
    ]
}

Conceder acesso total ao Connect Customer Voice ID

O Connect Customer Voice ID usa voiceid como prefixo para ações em vez de conectar. A política a seguir concede acesso total a um domínio específico no Connect Customer Voice ID:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "voiceid:*"
            ],
            "Resource": "arn:aws:voiceid:us-west-2:111122223333:domain/domainName",
            "Effect": "Allow"
        }
    ]
}

Configure um relacionamento confiável entre accountID e o domínio domainName.

Conceda acesso aos recursos de campanhas externas do Connect Customer

As campanhas externas usam connect-campaign como prefixo para ações em vez de connect. A política a seguir concede acesso completo a uma campanha externa específica.

{
    "Sid": "AllowConnectCampaignsOperations",
    "Effect": "Allow",
    "Action": [
        "connect-campaigns:DeleteCampaign",
        "connect-campaigns:DescribeCampaign",
        "connect-campaigns:UpdateCampaignName",
        "connect-campaigns:GetCampaignState"
        "connect-campaigns:UpdateOutboundCallConfig",
        "connect-campaigns:UpdateDialerConfig",
        "connect-campaigns:PauseCampaign",
        "connect-campaigns:ResumeCampaign",
        "connect-campaigns:StopCampaign"
    ],
    "Resource": "arn:aws:connect-campaigns:us-west-2:accountID:campaign/campaignId",
    }

Restrinja a capacidade de pesquisar transcrições analisadas pela análise conversacional do Connect Customer

A política a seguir permite pesquisar e descrever contatos, mas nega pesquisar um contato usando transcrições analisadas pela análise conversacional do Connect Customer.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "connect:DescribeContact"
            ],
            "Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id/contact/*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "connect:SearchContacts"
            ],
            "Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id"
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Deny",
            "Action": [
                "connect:SearchContacts"
            ],
            "Resource": "arn:aws:connect:us-east-1:111122223333:instance/instance-id",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "connect:SearchContactsByContactAnalysis": [
                        "Transcript"
                    ]
                }
            }
        }
    ]
}