Crie uma função do IAM para o Test Workbench - Recursos avançados

Configuração de permissão para a função IAM do Test Workbench

Esta seção mostra vários exemplos de políticas baseadas em AWS identidade do Identity and Access Management (IAM) para implementar controles de acesso com privilégios mínimos para permissões do Test Workbench.

1. Política para que o Test Workbench leia arquivos de áudio no S3 — Essa política permite que o Test Workbench leia arquivos de áudio que estão sendo usados nos conjuntos de teste. A política abaixo deve ser modificada adequadamente para atualizá-las S3BucketName e S3Path direcioná-las para uma localização dos arquivos de áudio no Amazon S3 em um conjunto de teste.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "TestWorkbenchS3AudioFilesReadOnly",
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion"
         ],
         "Resource": [
           "arn:aws:s3:::S3BucketName/S3Path/*"
         ]
       }
     ]
   }

2. Política para que o Test Workbench leia e grave conjuntos de testes e resultados em um bucket do Amazon S3 — Essa política permite que o Test Workbench armazene as entradas e os resultados do conjunto de testes. A política abaixo deve ser modificada para ser atualizada S3BucketName para o Amazon S3 Bucket, onde os dados do conjunto de teste serão armazenados. O Test Workbench armazena esses dados exclusivamente em seu bucket do Amazon S3 e não na infraestrutura do Lex Service. Portanto, por esse motivo, o Test Workbench exige acesso ao seu bucket do Amazon S3 para funcionar corretamente.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "TestSetDataUploadWithEncryptionOnly",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject"
         ],
         "Resource": [
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_set/*",
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_execution/*",
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_set_discrepancy_report/*"
         ],
         "Condition": {
           "StringEquals": {
             "s3:x-amz-server-side-encryption": "aws:kms"
           }
         }
       },
       {
         "Sid": "TestSetDataGetObject",
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion"
         ],
         "Resource": [
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_set/*",
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_execution/*",
           "arn:aws:s3:::S3BucketName/*/lex_testworkbench/test_set_discrepancy_report/*"
         ]
       },
       {
         "Sid": "TestSetListS3Objects",
         "Effect": "Allow",
         "Action": [
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::S3BucketName"
         ]
       }
     ]
   }

3. Política para que o Test Workbench leia CloudWatch registros — Essa política permite que o Test Workbench gere conjuntos de testes a partir de registros de texto de conversação do Lex armazenados no Amazon Logs. CloudWatch A política abaixo deve ser modificada para atualizarRegion,AwsAccountId,LogGroupName.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
          "Sid": "TestWorkbenchLogsReadOnly",
         "Effect": "Allow",
         "Action": [
           "logs:FilterLogEvents"
         ],
         "Resource": [
           "arn:aws:logs:Region:AwsAccountId:log-group:LogGroupName:*"
         ]
       }
     ]
   }

4. Política para que o Test Workbench chame o Lex Runtime — Essa política permite que o Test Workbench execute um conjunto de testes contra bots Lex. A política abaixo deve ser modificada para atualizarRegion,AwsAccountId,BotId. Como o Test Workbench pode testar qualquer bot em seu ambiente Lex, você pode substituir o recurso por “arn:aws:lex: Region ::bot-alias/*” AwsAccountId para permitir que o Test Workbench acesse todos os bots do Amazon Lex V2 em uma conta.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "TestWorkbenchLexRuntime",
         "Effect": "Allow",
         "Action": [
           "lex:RecognizeText",
           "lex:RecognizeUtterance",
           "lex:StartConversation"
         ],
         "Resource": [
           "arn:aws:lex:Region:AwsAccountId:bot-alias/BotId/*"
         ]
       }
     ]
   }

5. (Opcional) Política do Test Workbench para criptografar e descriptografar dados do conjunto de teste — Se o Test Workbench estiver configurado para armazenar entradas e resultados do conjunto de testes nos buckets do Amazon S3 usando uma chave KMS gerenciada pelo cliente, o Test Workbench precisará de permissão de criptografia e descriptografia para a chave KMS. A política abaixo deve ser modificada para ser atualizada RegionAwsAccountId, e KmsKeyId onde KmsKeyId está o ID da chave KMS gerenciada pelo cliente.

   {
     "Version": "2012-10-17",
     "Statement": [
         {
             "Sid": "TestWorkbenchKmsEncryption",
             "Effect": "Allow",
             "Action": [
                 "kms:GenerateDataKey",
                 "kms:Decrypt"
             ],
             "Resource": [
                 "arn:aws:kms:Region:AwsAccountId:key/KmsKeyId"
             ],
              "Condition": {
                  "StringLike": {
                      "kms:ViaService": [
                          "s3.*.amazonaws.com"
                      ]
                  }
              }
         }
     ]
   }

6. (Opcional) Política do Test Workbench para descriptografar arquivos de áudio — Se os arquivos de áudio forem armazenados no bucket do S3 usando a chave KMS gerenciada pelo cliente, o Test Workbench precisará da permissão de descriptografia para as chaves KMS. A política abaixo deve ser modificada para ser atualizada RegionAwsAccountId, e KmsKeyId onde KmsKeyId está o ID da chave KMS gerenciada pelo cliente usada para criptografar os arquivos de áudio.

   {
     "Version": "2012-10-17",
     "Statement": [
         {
             "Sid": "TestWorkbenchKmsDecryption",
             "Effect": "Allow",
             "Action": [
                 "kms:Decrypt"
             ],
             "Resource": [
                 "arn:aws:kms:Region:AwsAccountId:key/KmsKeyId"
             ],
              "Condition": {
                  "StringLike": {
                      "kms:ViaService": [
                          "s3.*.amazonaws.com"
                      ]
                  }
              }
         }
     ]
   }