As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Amazon Transcribe exemplos de políticas baseadas em identidade

Por padrão, usuários e perfis não têm permissão para criar ou modificar recursos do Amazon Transcribe . Eles também não podem realizar tarefas usando a AWS API AWS Management Console, AWS Command Line Interface (AWS CLI) ou. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM. O administrador pode então adicionar as políticas do IAM aos perfis e os usuários podem assumir os perfis.

Para aprender a criar uma política baseada em identidade do IAM ao usar esses documentos de política em JSON de exemplo, consulte Criar políticas do IAM (console) no Guia do usuário do IAM.

Para obter detalhes sobre ações e tipos de recursos definidos pelo Amazon Transcribe, incluindo o formato de cada um ARNs dos tipos de recursos, consulte Ações, recursos e chaves de condição para o Amazon Transcribe na Referência de autorização de serviço.

Práticas recomendadas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir Amazon Transcribe recursos em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as práticas recomendadas do IAM, consulte Práticas recomendadas de segurança no IAM no Guia do usuário do IAM.

Usando o AWS Management Console

Para acessar o console do Amazon Transcribe, você deve ter um conjunto mínimo de permissões. Essas permissões devem permitir que você liste e visualize detalhes sobre os Amazon Transcribe recursos em seu Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política.

Você não precisa permitir permissões mínimas do console para usuários que estão fazendo chamadas somente para a API AWS CLI ou para a AWS API. Em vez disso, permita o acesso somente a ações que correspondam à operação de API que estiverem tentando executar.

Para garantir que uma entidade (usuários e funções) possa usar o AWS Management Console, anexe uma das seguintes políticas AWS gerenciadas a ela.

Você também pode criar suas próprias IAM políticas personalizadas para permitir permissões para ações de Amazon Transcribe API. Você pode anexar essas políticas personalizadas às entidades que exigem essas permissões.

Permissões necessárias para IAM funções

Se você criar uma IAM função para chamar Amazon Transcribe, ela deverá ter permissão para acessar o Amazon S3 bucket. Se aplicável, a KMS key também deve ser usada para criptografar o conteúdo do bucket. Consulte as seções a seguir para ver exemplos de políticas.

Políticas de confiança

A IAM entidade que você usa para fazer sua solicitação de transcrição deve ter uma política de confiança que Amazon Transcribe permita assumir essa função. Use a seguinte política de Amazon Transcribe confiança. Observe que, se estiver fazendo uma solicitação de análise de chamadas em tempo real com a análise pós-chamada habilitada, você deverá usar a “Política de confiança para análise de chamadas em tempo real”.

Política de confiança para Amazon Transcribe

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "transcribe.amazonaws.com"
        ]
      },
      "Action": [
        "sts:AssumeRole"
      ],      
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Política de confiança para análise de chamadas em tempo real

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "transcribe.streaming.amazonaws.com"
        ]
      },
      "Action": [
        "sts:AssumeRole"
      ],      
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Amazon S3 política de repositório de entrada

A política a seguir dá a uma IAM função permissão para acessar arquivos do bucket de entrada especificado.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET",
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET/*"
        ]
    }
}

Amazon S3 política de bucket de saída

A política a seguir dá a uma IAM função permissão para gravar arquivos no bucket de saída especificado.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:PutObject"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-OUTPUT-BUCKET/*"
        ]
    }
}

Permissões necessárias para chaves Amazon S3 de criptografia

Se você estiver usando KMS key a para criptografar um Amazon S3 bucket, inclua o seguinte na KMS key política. Isso dá Amazon Transcribe acesso ao conteúdo do bucket. Para obter mais informações sobre como permitir o acesso a KMS keys, consulte Permitir Contas da AWS que externos KMS key acessem um no Guia do AWS KMS desenvolvedor.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId"
    }
  ]
}

Permitir que os usuários visualizem suas próprias permissões

Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou programaticamente usando a API AWS CLI ou AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

AWS KMS política de contexto de criptografia

A política a seguir concede à IAM função “ExampleRole” permissão para usar as operações AWS KMS Decrypt e Encrypt para esse caso específico. KMS key Essa política funciona somente para solicitações com pelo menos um par de contexto de criptografia; neste caso “color:indigoBlue”. Para obter mais informações sobre o contexto de AWS KMS criptografia, consulteAWS KMS contexto de criptografia.

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey",
              "kms:Encrypt",
              "kms:GenerateDataKey*",
              "kms:ReEncrypt*"
          ],
          "Resource": "*",
          "Condition": {
              "StringEquals": {
                  "kms:EncryptionContext:color":"indigoBlue"
              }
           }
        }
   ]
}

Política de prevenção contra representantes confusos

Aqui está um exemplo de uma política de assumir funções que mostra como você pode usar aws:SourceArn e aws:SourceAccount usar Amazon Transcribe para evitar um problema confuso de deputados. Para obter mais informações sobre a prevenção de vice confuso, consulte Prevenção do problema do substituto confuso entre serviços.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "transcribe.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:transcribe:us-west-2:111122223333:*"
        }
      }
    }
  ]
}

Visualizar trabalhos de transcrição com base em tags

É possível utilizar condições na política baseada em identidade para controlar o acesso aos recursos do Amazon Transcribe com base em tags. Este exemplo mostra como você pode criar uma política que permite a visualização de um trabalho de transcrição. No entanto, a permissão é concedida somente se a tag de trabalho de transcrição Owner tiver o valor do nome de usuário desse usuário. Essa política também concede as permissões necessárias para concluir essa ação usando o AWS Management Console.

Você pode anexar essa política às IAM entidades em sua conta. Se uma função chamada test-role tentar visualizar um trabalho de transcrição, o trabalho de transcrição deverá receber a tag Owner=test-role ou owner=test-role (os nomes das chaves de condição não diferenciam maiúsculas de minúsculas); caso contrário, o acesso será negado. Para obter mais informações, consulte Elementos de política JSON do IAM : condição no Guia do usuário do IAM .

Para obter mais informações sobre como se inscrever Amazon Transcribe, consulteMarcando atributos .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListTranscriptionJobsInConsole",
            "Effect": "Allow",
            "Action": "transcribe:ListTranscriptionJobs",
            "Resource": "*"
        },
        {
            "Sid": "ViewTranscriptionJobsIfOwner",
            "Effect": "Allow",
            "Action": "transcribe:GetTranscriptionJobs",
            "Resource": "arn:aws:transcribe:*:*:transcription-job/*",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
            }
        }
    ]
}