Como autorizar usuários e serviços em nuvem a usar trabalhos de AWS IoT

A tabela a seguir mostra uma lista de ações de IAM políticas e permissões para usar as API ações. Para obter informações sobre tipos de recursos, consulte Tipos de recursos definidos por AWS IoT. Para obter mais informações sobre AWS IoT ações, consulte Ações definidas por AWS IoT.

O exemplo a seguir mostra uma IAM política que permite ao usuário realizar as seguintes ações para suas coisas e grupos de coisas de IoT.

No exemplo, substitua:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob",
                ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thinggroup/thing-group-name"
        },
        {
            "Action": [
                "iot:DescribeJob",
                "iot:CancelJob",
                "iot:DeleteJob",
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:job/*"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]
}

Você pode impedir que os principais façam API chamadas para o endpoint do plano de controle a partir de endereços IP específicos. Para especificar os endereços IP que podem ser permitidos, no elemento Condição da sua IAM política, use a chave de condição aws:SourceIpglobal.

O uso dessa chave de condição também pode impedir que outras AWS service (Serviço da AWS) pessoas façam essas API chamadas em seu nome, tal como AWS CloudFormation. Para permitir o acesso a esses serviços, use a chave de condição aws:ViaAWSServiceglobal com a SourceIp chave aws:. Isso garante que a restrição de acesso ao endereço IP de origem se aplique somente a solicitações feitas diretamente por uma entidade principal. Para obter mais informações, consulte AWS: Nega acesso AWS com base no IP de origem.

O exemplo a seguir mostra como permitir somente um endereço IP específico que possa fazer API chamadas para o endpoint do plano de controle. A aws:ViaAWSService chave está definida comotrue, o que permite que outros serviços façam API chamadas em seu nome.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob"
             ],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "true"}
        }
    ],
}           

As API operações que devem ser autorizadas geralmente são executadas por você digitando CLI comandos. Veja a seguir um exemplo de um usuário realizando uma operação DescribeJobExecution.

No exemplo, substitua:

aws iot-jobs-data describe-job-execution \ 
    --endpoint-url "https://account-id.jobs.iot.region.amazonaws.com" \ 
    --job-id jobID --thing-name thing-name
            

Veja a seguir um exemplo de IAM política que autoriza essa ação:

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": ["iotjobsdata:DescribeJobExecution"],
        "Effect": "Allow",
        "Resource": "arn:aws:iot:region:account-id:thing/thing-name",
    }
   }

Você pode impedir que os principais façam API chamadas para o endpoint do seu plano de dados a partir de endereços IP específicos. Para especificar os endereços IP que podem ser permitidos, no elemento Condição da sua IAM política, use a chave de condição aws:SourceIpglobal.

O uso dessa chave de condição também pode impedir que outras AWS service (Serviço da AWS) pessoas façam essas API chamadas em seu nome, tal como AWS CloudFormation. Para permitir o acesso a esses serviços, use a chave de condição global aws:ViaAWSService com a chave de condição aws:SourceIp. Isso garante que a restrição de acesso ao endereço IP se aplique somente a solicitações feitas diretamente pela entidade principal. Para obter mais informações, consulte AWS: Nega acesso AWS com base no IP de origem.

O exemplo a seguir mostra como permitir somente um endereço IP específico que possa fazer API chamadas para o endpoint do plano de dados.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": ["iotjobsdata:*"],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "false"}
        }
    ],
}           

O exemplo a seguir mostra como impedir que endereços IP ou intervalos de endereços específicos façam API chamadas para o endpoint do plano de dados.

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Deny",
            "Action": ["iotjobsdata:*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "123.45.167.89",
                        "192.0.2.0/24", 
                        "203.0.113.0/24"                        
                    ]
                }
            },
            "Resource": ["*"],
        }
    ],
}

Se você executar uma API operação no plano de controle e no plano de dados, a ação da política do plano de controle deverá usar o iot: prefixo e a ação da política do plano de dados deverá usar o iotjobsdata: prefixo.

Por exemplo, o DescribeJobExecution API pode ser usado tanto no plano de controle quanto no plano de dados. No plano de controle, o DescribeJobExecutionAPIé usado para descrever a execução de um trabalho. No plano de dados, o DescribeJobExecutionAPIé usado para obter detalhes da execução de um trabalho.

A IAM política a seguir autoriza o usuário a usar o DescribeJobExecution API no plano de controle e no plano de dados.

No exemplo, substitua:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": ["iotjobsdata:DescribeJobExecution"],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thing/thing-name"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]            
}

Consulte os seguintes exemplos de IAM políticas que concedem permissões de marcação:

Exemplo 1

Um usuário que executa o comando a seguir para criar um trabalho e marcá-lo em um ambiente específico.

Neste exemplo, substitua:

aws iot create-job 
    --job-id test_job 
    --targets "arn:aws:iot:region:account-id:thing/thingOne"
    --document-source "https://s3.amazonaws.com/amzn-s3-demo-bucket/job-document.json"
    --description "test job description" 
    --tags Key=environment,Value=beta

Neste exemplo, você deve usar a seguinte IAM política:

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": [ "iot:CreateJob", "iot:CreateJobTemplate", "iot:TagResource" ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:iot:aws-region:account-id:job/*",
            "arn:aws:iot:aws-region:account-id:jobtemplate/*"
        ]
    }
}