As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Identity-based exemplos de políticas para Amazon GameLift Streams

Por padrão, usuários e funções não têm permissão para criar ou modificar recursos do Amazon GameLift Streams. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.

Para aprender a criar uma política baseada em identidade do IAM ao usar esses documentos de política em JSON de exemplo, consulte Criar políticas do IAM (console) no Guia do usuário do IAM.

Para obter detalhes sobre ações e tipos de recursos definidos pelo Amazon GameLift Streams, incluindo o formato dos ARNs para cada um dos tipos de recursos, consulte Ações, recursos e chaves de condição para o Amazon GameLift Streams na Referência de Autorização de Serviço.

Práticas recomendadas de política

Identity-based as políticas determinam se alguém pode criar, acessar ou excluir recursos do Amazon GameLift Streams em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para saber mais sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Usando o console do Amazon GameLift Streams

Para acessar o console do Amazon GameLift Streams, você deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os recursos do Amazon GameLift Streams em seu Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política.

Você não precisa permitir permissões mínimas de console para usuários que estão fazendo chamadas somente para a API AWS CLI ou para a AWS API. Em vez disso, permita o acesso somente a ações que correspondam à operação de API que estiverem tentando executar.

Permitir que os usuários visualizem suas próprias permissões

Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou usando programaticamente a API AWS CLI ou AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Crie e gerencie URLs de stream

Esse exemplo concede o menor privilégio necessário para criar, monitorar e revogar URLs de stream. CreateStreamUrl,GetStreamUrl, e RevokeStreamUrl são autorizados em relação a um grupo de streams, então você os define para transmitir ARNs de recursos do grupo. Um diretor que concedeu essas permissões em um grupo de streams pode atuar em cada URL de stream nesse grupo de streams. Você não pode definir o escopo dessas permissões para um URL de stream individual. ListStreamUrlstem o escopo da conta e retorna URLs de stream em seus grupos de stream, então é necessário definir como. Resource "*" Além disso, CreateStreamUrl requer gameliftstreams:StartStreamSession permissão para o aplicativo para o qual o URL do stream aponta, porque a ativação do URL do stream inicia uma sessão de stream que executa esse aplicativo. Defina o escopo dessa permissão para o ARN do recurso do aplicativo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageStreamUrls",
      "Effect": "Allow",
      "Action": [
        "gameliftstreams:CreateStreamUrl",
        "gameliftstreams:GetStreamUrl",
        "gameliftstreams:RevokeStreamUrl"
      ],
      "Resource": "arn:aws:gameliftstreams:*:111122223333:streamgroup/*"
    },
    {
      "Sid": "StartSessionsForStreamUrls",
      "Effect": "Allow",
      "Action": "gameliftstreams:StartStreamSession",
      "Resource": "arn:aws:gameliftstreams:*:111122223333:application/*"
    },
    {
      "Sid": "ListStreamUrlsInAccount",
      "Effect": "Allow",
      "Action": "gameliftstreams:ListStreamUrls",
      "Resource": "*"
    }
  ]
}

Se você passar uma função do IAM RoleArn ao criar uma URL de stream, conceda também essa função, com escopo iam:PassRole para o Amazon GameLift Streams:

{
  "Sid": "PassRoleToStreamUrlSessions",
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::111122223333:role/GameLiftStreams-MyStreamRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "gameliftstreams.amazonaws.com"
    }
  }
}