As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Políticas baseadas em identidade para o Amazon Lattice VPC

Por padrão, usuários e funções não têm permissão para criar ou modificar recursos do VPC Lattice. Eles também não podem realizar tarefas usando o AWS Management Console, AWS Command Line Interface (AWS CLI) ou AWS API. Para conceder permissão aos usuários para realizar ações nos recursos de que precisam, um IAM administrador pode criar IAM políticas. O administrador pode então adicionar as IAM políticas às funções e os usuários podem assumir as funções.

Para saber como criar uma política IAM baseada em identidade usando esses exemplos de documentos de JSON política, consulte Criar IAM políticas (console) no Guia do IAMusuário.

Para obter detalhes sobre ações e tipos de recursos definidos pelo VPC Lattice, incluindo o formato do ARNs para cada um dos tipos de recursos, consulte Ações, recursos e chaves de condição do Amazon VPC Lattice na Referência de autorização de serviço.

Melhores práticas de política

As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do VPC Lattice em sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:

Para obter mais informações sobre as melhores práticas emIAM, consulte as melhores práticas de segurança IAM no Guia IAM do usuário.

Permissões adicionais necessárias para acesso total

Para usar outros AWS serviços com os quais o VPC Lattice está integrado e todo o conjunto de recursos do VPC Lattice, você deve ter permissões adicionais específicas. Essas permissões não estão incluídas na política gerenciada pela VPCLatticeFullAccess devido ao risco de escalonamento de privilégios conhecido por “confused deputy”.

Você deverá anexar a política a seguir ao seu perfil e usá-la junto com a política gerenciada pela VPCLatticeFullAccess.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:TagDeliveryStream",
                "lambda:AddPermission",
                "s3:PutBucketPolicy"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutResourcePolicy"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": [
                        "vpc-lattice.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/delivery.logs.amazonaws.com/AWSServiceRoleForLogDelivery*"
        }
    ]
}         

Essa política fornece as seguintes permissões adicionais:

Exemplos de políticas baseadas em identidade para Lattice VPC

Exemplo de política: gerenciar VPC associações a uma rede de serviços

O exemplo a seguir demonstra uma política que dá aos usuários dessa política a permissão para criar, atualizar e excluir as VPC associações a uma rede de serviços, mas somente para a VPC rede de serviços especificada na condição. Para obter mais informações sobre como especificar chaves de condição, consulte Chaves de condição de política para VPC Lattice.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "vpc-lattice:CreateServiceNetworkVpcAssociation",
            "vpc-lattice:UpdateServiceNetworkVpcAssociation",
            "vpc-lattice:DeleteServiceNetworkVpcAssociation"
         ],
         "Resource": [
            "*"
         ],
         "Condition": {
            "StringEquals": { 
               "vpc-lattice:ServiceNetworkArn": "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example",
               "vpc-lattice:VpcId": "vpc-1a2b3c4d"
            }
         }
      }
   ]
}

Exemplo de política: criar associações de serviços a uma rede de serviços

Se você não estiver usando chaves de condição para controlar o acesso aos recursos do VPC Lattice, você pode especificar o número ARNs de recursos no Resource elemento para controlar o acesso em vez disso.

O exemplo a seguir demonstra uma política que limita as associações de serviços a uma rede de serviços que os usuários com essa política podem criar especificando o serviço e a rede ARNs de serviços que podem ser usados com a CreateServiceNetworkServiceAssociation API ação. Para obter mais informações sobre como especificar os ARN valores, consulteRecursos políticos para VPC Lattice.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "vpc-lattice:CreateServiceNetworkServiceAssociation"
         ],
         "Resource": [
            "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetworkserviceassociation/*",
            "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-04d5cc9b88example",
            "arn:aws:vpc-lattice:us-west-2:123456789012:servicenetwork/sn-903004f88example"
         ]
      }
   ]
}

Exemplo de política: adicionar tags aos recursos

O exemplo a seguir demonstra uma política que dá aos usuários com essa política permissão para criar tags nos recursos do VPC Lattice.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "vpc-lattice:TagResource"
         ],
         "Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:*/*"
      }
   ]
}

Exemplo de política: criar uma função vinculada ao serviço

VPCO Lattice exige permissões para criar uma função vinculada ao serviço na primeira vez em que qualquer usuário Conta da AWS cria VPC recursos do Lattice. Se a função vinculada ao serviço ainda não existir, o VPC Lattice a cria em sua conta. A função vinculada ao serviço concede permissões à VPC Lattice para que ela possa ligar para outras pessoas Serviços da AWS em seu nome. Para obter mais informações, consulte Usando funções vinculadas a serviços para o Amazon Lattice VPC.

Para que a criação automática da função seja bem-sucedida, os usuários devem ter permissões para a ação iam:CreateServiceLinkedRole.

"Action": "iam:CreateServiceLinkedRole"

O exemplo a seguir demonstra uma política que dá aos usuários com essa política permissão para criar uma função vinculada ao serviço para o Lattice. VPC

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Action": "iam:CreateServiceLinkedRole",
         "Resource": "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice",
         "Condition": {
            "StringLike": {
               "iam:AWSServiceName":"vpc-lattice.amazonaws.com"
            }
         }
      }
   ]
}

Para obter mais informações, consulte Permissões de funções vinculadas ao serviço no Guia do IAMusuário.