本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Identity-based 亚马逊 GameLift 直播的政策示例

默认情况下，用户和角色无权创建或修改 Amazon GameLift Streams 资源。要授予用户对所需资源执行操作的权限，IAM 管理员可以创建 IAM 策略。

要了解如何使用这些示例 JSON 策略文档创建基于 IAM 身份的策略，请参阅《IAM 用户指南》中的创建 IAM 策略（控制台）。

有关 Amazon GameLift Streams 定义的操作和资源类型的详细信息，包括每种资源类型的 ARN 格式，请参阅服务授权参考中的 Amazon GameLift Streams 操作、资源和条件密钥。

策略最佳实践

Identity-based 政策决定是否有人可以在您的账户中创建、访问或删除 Amazon GameLift Streams 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议：

有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》中的 IAM 中的安全最佳实践。

使用 Amazon GameLift Streams 控制台

要访问 Amazon GameLift Streams 控制台，您必须拥有一组最低权限。这些权限必须允许您在中列出和查看有关 Amazon GameLift Streams 资源的详细信息 AWS 账户。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。

您无需为仅调用 AWS CLI 或 AWS API 的用户提供最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。

允许用户查看他们自己的权限

该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管式策略。此策略包括在控制台上完成此操作的权限，或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

创建和管理直播网址

此示例授予创建、监控和撤消直播网址所需的最低权限。CreateStreamUrlGetStreamUrl、和RevokeStreamUrl已获得流组的授权，因此您可以将它们的范围限定为流组资源 ARN。授予直播组这些权限的主体可以对该直播组中的每个直播网址进行操作。您不能将这些权限范围限定为单个直播网址。ListStreamUrls是账号范围的，会返回所有直播群组的直播网址，因此需要Resource设置为。"*"此外，还CreateStreamUrl需要gameliftstreams:StartStreamSession获得直播网址指向的应用程序的权限，因为激活直播网址会启动运行该应用程序的直播会话。将此权限范围限定为应用程序资源 ARN。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageStreamUrls",
      "Effect": "Allow",
      "Action": [
        "gameliftstreams:CreateStreamUrl",
        "gameliftstreams:GetStreamUrl",
        "gameliftstreams:RevokeStreamUrl"
      ],
      "Resource": "arn:aws:gameliftstreams:*:111122223333:streamgroup/*"
    },
    {
      "Sid": "StartSessionsForStreamUrls",
      "Effect": "Allow",
      "Action": "gameliftstreams:StartStreamSession",
      "Resource": "arn:aws:gameliftstreams:*:111122223333:application/*"
    },
    {
      "Sid": "ListStreamUrlsInAccount",
      "Effect": "Allow",
      "Action": "gameliftstreams:ListStreamUrls",
      "Resource": "*"
    }
  ]
}

如果您在创建直播网址RoleArn时传递了 IAM 角色，则还要iam:PassRole为该角色授予权限，范围仅限于 Amazon GameLift Streams：

{
  "Sid": "PassRoleToStreamUrlSessions",
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::111122223333:role/GameLiftStreams-MyStreamRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "gameliftstreams.amazonaws.com"
    }
  }
}