IVS 中的身份和访问管理

AWS Identity and Access Management（IAM）是一项 AWS 服务，可以帮助账户管理员安全地控制对 AWS 资源的访问。每个 AWS 资源都归某个 AWS 账户所有，创建和访问资源的权限由权限策略进行管理。IAM 账户管理员控制可以通过身份验证（登录）和授权（具有权限）使用 Amazon IVS 资源的用户。IAM 是为您的 AWS 账户提供的一项功能，不会额外收费。

重要提示：有关完整信息，请参阅 AWS IAM 产品页面、IAM 用户指南 以及 签署 AWS API 请求。在本节中，我们还提供了指向《IAM 用户指南》中特定章节的链接。您应在熟悉本材料后再继续使用。

受众

如何使用 IAM 因您可以在 Amazon IVS 中执行的操作而异。

Amazon IVS 如何与 IAM 配合使用

在您发出 Amazon IVS API 请求之前，您必须创建一个或多个 IAM身份（用户、组和角色）和 IAM策略，然后向身份附加策略。传播权限最多需要几分钟时间；在此之前，API 请求会被拒绝。

要简要了解 Amazon IVS 如何与 IAM 结合使用，请参阅《IAM 用户指南》中的 与 IAM 配合使用的 AWS 服务。

身份

您可以创建 IAM 身份，以便为向您的 AWS 账户中的人员和进程提供身份验证。IAM 组是 IAM 用户的集合，可以将其作为一个单位进行管理。请参阅《IAM 用户指南》中的身份（用户、组和角色）。

策略

请参阅《IAM 用户指南》中的以下章节：

默认情况下，IAM 用户和角色没有创建或修改 Amazon IVS 资源（甚至更改自己的密码）的权限。他们也不能使用 AWS 控制台、AWS CLI 或 AWS API 执行任务。IAM 管理员必须创建 IAM 策略，以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。

IAM 策略定义操作的权限，无关乎您使用哪种方法执行操作。例如，假设您有一个允许 iam:GetRole 操作的策略。具有该策略的用户可以从 AWS 管理控制台、AWS CLI 或 AWS API 获取角色信息。

策略是由元素组成的 JSON 权限策略文档。Amazon IVS 支持三个元素：

在策略中，您可以使用变量作为占位符。例如，只有在使用用户的 IAM 用户名标记 IAM 用户时，您才能为其授予访问资源的权限。请参阅 IAM 用户指南中的变量和标签。

Amazon IVS 提供 AWS 托管式策略，可用于向身份授予一组预配置的权限（只读或完全访问权限）。您可以选择使用托管式策略，而不是下面所示的基于身份的策略。有关详细信息，请参阅 Managed Policies for Amazon IVS。

基于 Amazon IVS 标签的授权

您可以将标签附加到 Amazon IVS 资源，或者在请求中将标签传递给 Amazon IVS。要基于标签控制访问，您需要使用 aws:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键在策略的条件元素中提供标签信息。有关标记 Amazon IVS 资源的更多信息，请参阅 IVS Low-Latency Streaming API Reference 中的“Tagging”、IVS Real-Time Streaming API Reference，以及 IVS Chat API Reference。

有关示例，请参阅基于标签查看 Amazon IVS 通道。

角色

请参阅《IAM 用户指南》中的 IAM 角色和临时安全凭证。

IAM 角色是 AWS 账户中具有特定权限的实体。

Amazon IVS 支持使用临时安全凭证。您可以使用临时凭证进行联合身份登录，担任 IAM 角色或担任跨账户角色。您可以调用 AWS Security Token Service API 操作（如 AssumeRole 或 GetFederationToken）以获取临时安全凭证。

特权访问和非特权访问

API 资源具有特权访问权限。非特权播放访问权限可以通过专有通道进行设置；请参阅 设置私有频道。

使用策略的最佳实践

请参阅 IAM 用户指南中的 IAM 最佳实践。

基于身份的策略非常强大。它们确定某个人是否可以创建、访问或删除您账户中的 Amazon IVS 资源。这些操作可能会使 AWS 账户产生成本。请遵循以下建议：

基于身份的策略示例

使用 Amazon IVS 控制台

要访问 Amazon IVS 控制台，您必须具有一组最小权限，以允许您列出和查看有关 AWS 账户中 Amazon IVS 资源的详细信息。如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体，控制台将无法按预期正常运行。为确保对 Amazon IVS 控制台的访问权限，请将以下策略附加到身份（参阅《IAM 用户指南》中的添加和删除 IAM 权限）。

以下策略的各个部分提供了对以下内容的访问权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "ivs:*",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "servicequotas:ListServiceQuotas"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucketPolicy",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:PutBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "iam:AttachRolePolicy",
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/aws-service-role/ivs.amazonaws.com/AWSServiceRoleForIVSRecordToS3*"
    },
    {
      "Action": [
        "cloudwatch:GetMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "lambda:AddPermission",
        "lambda:ListFunctions"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

允许用户查看他们自己的权限

该示例显示了一项策略，该策略允许 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包含在 AWS 控制台上或者使用 AWS CLI 或 AWS API 以编程方式完成此操作所需的权限。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ViewOwnUserInfo",
         "Effect": "Allow",
         "Action": [
            "iam:GetUserPolicy",
            "iam:ListGroupsForUser",
            "iam:ListAttachedUserPolicies",
            "iam:ListUserPolicies",
            "iam:GetUser"
         ],
         "Resource": [
            "arn:aws:iam:*:*:user/${aws:username}"
         ]
      },
      {
         "Sid": "NavigateInConsole",
         "Effect": "Allow",
         "Action": [
            "iam:GetGroupPolicy",
            "iam:GetPolicyVersion",
            "iam:GetPolicy",
            "iam:ListAttachedGroupPolicies",
            "iam:ListGroupPolicies",
            "iam:ListPolicyVersions",
            "iam:ListPolicies",
            "iam:ListUsers"
         ],
         "Resource": "*"
      }
   ]
}

访问 Amazon IVS 通道

在本示例中，您想要为您 AWS 账户中的 IAM 用户授予访问其中一个 Amazon IVS 通道 VgNkEJgOVX9N 的权限。您还希望允许用户停止流（ivs:StopStream）、添加元数据（ivs:PutMetadata）和更新通道（ivs:UpdateChannel）。策略还授予了 Amazon IVS 控制台所需的权限：ivs:ListChannels、ivs:ListStreams、ivs:GetChannel 和 ivs:GetStream。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ListChannelsInConsole",
         "Effect":"Allow",
         "Action":[
            "ivs:ListChannels",
            "ivs:ListStreams"

         ],
         "Resource":"arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid":"ViewSpecificChannelInfo",
         "Effect":"Allow",
         "Action":[
            "ivs:GetChannel",
            "ivs:GetStream"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N"
      },
      {
         "Sid":"ManageChannel",
         "Effect":"Allow",
         "Action":[
            "ivs:StopStream",
            "ivs:PutMetadata",
            "ivs:UpdateChannel"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N" 
      }
   ]
}

基于标签查看 Amazon IVS 通道

您可以在基于身份的策略中使用条件，以便基于标签控制对 Amazon IVS 资源的访问。此示例显示一项允许查看通道的策略。此策略还授予在 Amazon IVS 控制台上完成此操作的必要权限。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ListWidgetsInConsole",
         "Effect": "Allow",
         "Action": "ivs:ListChannels",
         "Resource": "arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid": "ViewChannelIfOwner",
         "Effect": "Allow",
         "Action": "ivs:GetChannel",
         "Resource": "arn:aws:ivs:*:*:channel/*",
         "Condition": {
            "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
         }
      }
   ]
}

您可以将该策略附加到您账户中的 IAM 用户。但是，仅当通道使用用户的用户名作为拥有者进行标记时，才授予此权限。如果用户 richard-roe 尝试查看 Amazon IVS 通道，则该通道必须标记为 Owner=richard-roe 或 owner=richard-roe；否则他会被拒绝访问。（条件标签键 Owner 匹配 Owner 和 owner，因为条件键名称不区分大小写。）

问题排查

可以使用以下信息，以帮助您诊断和修复在使用 Amazon IVS 和 IAM 时可能遇到的常见问题。