本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon Pinpoint 基于身份的策略示例
默认情况下,用户和角色没有创建或修改 Amazon Pinpoint 资源的权限,他们也无法使用 AWS Management Console AWS CLI、或执行任务 AWS API。IAM管理员必须创建IAM策略,授予用户和角色对其所需资源执行特定API操作的权限。然后,管理员必须将这些策略附加到需要这些权限的用户或组。
要了解如何使用这些示例JSON策略文档创建IAM基于身份的策略,请参阅《IAM用户指南》中JSON选项卡上的 “创建策略”。
主题
策略最佳实践
基于身份的策略确定某个人能否在您的账户中创建、访问或删除 Amazon Pinpoint 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时,请遵循以下指南和建议:
-
开始使用 AWS 托管策略并转向最低权限权限 — 要开始向用户和工作负载授予权限,请使用为许多常见用例授予权限的AWS 托管策略。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息,请参阅《IAM用户指南》中的AWS 托AWS 管策略或工作职能托管策略。
-
应用最低权限权限-使用IAM策略设置权限时,仅授予执行任务所需的权限。为此,您可以定义在特定条件下可以对特定资源执行的操作,也称为最低权限许可。有关使用应用权限IAM的更多信息,请参阅IAM用户指南IAM中的策略和权限。
-
使用IAM策略中的条件进一步限制访问权限-您可以在策略中添加条件以限制对操作和资源的访问权限。例如,您可以编写一个策略条件来指定所有请求都必须使用发送SSL。如果服务操作是通过特定的方式使用的,则也可以使用条件来授予对服务操作的访问权限 AWS 服务,例如 AWS CloudFormation。有关更多信息,请参阅《IAM用户指南》中的IAMJSON策略元素:条件。
-
使用 A IAM ccess Analyzer 验证您的IAM策略以确保权限的安全性和功能性 — A IAM ccess Analyzer 会验证新的和现有的策略,以便策略符合IAM策略语言 (JSON) 和IAM最佳实践。IAMAccess Analyzer 提供了 100 多项策略检查和可行的建议,可帮助您制定安全和实用的策略。有关更多信息,请参阅《IAM用户指南》中的使用 A IAM ccess Analyzer 验证策略。
-
需要多重身份验证 (MFA)-如果您的场景需要IAM用户或 root 用户 AWS 账户,请打开MFA以提高安全性。要要求MFA何时调用API操作,请在策略中添加MFA条件。有关更多信息,请参阅《IAM用户指南》MFA中的使用进行安全API访问。
有关中最佳做法的更多信息IAM,请参阅《IAM用户指南》IAM中的安全最佳实践。
使用 Amazon Pinpoint 控制台
要访问 Amazon Pinpoint 控制台,您必须具有一组最低权限许可。这些权限必须允许您列出和查看有关您 AWS 账户中的 Amazon Pinpoint 资源的详细信息。如果您创建的基于身份的策略所应用的许可比最低要求许可严格,则对于附加了该策略的实体(用户或角色),控制台将不能提供预期功能。为确保这些实体可以使用 Amazon Pinpoint 控制台,可为其附加另外的策略。有关更多信息,请参阅《用户指南》中的向IAM用户添加权限。
以下示例策略提供对特定 AWS 地区的 Amazon Pinpoint 控制台的只读访问权限。它包括对亚马逊 Pinpoint 控制台所依赖的其他服务的只读访问权限,例如亚马逊简单电子邮件服务(亚马逊SES)和亚马逊 Kinesis。IAM
{ "Version": "2012-10-17", "Statement": [ { "Sid": "UseConsole", "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*" ], "Resource": "arn:aws:mobiletargeting:
region
:accountId
:*" }, { "Effect": "Allow", "Action": [ "firehose:ListDeliveryStreams", "iam:ListRoles", "kinesis:ListStreams", "s3:List*", "ses:Describe*", "ses:Get*", "ses:List*", "sns:ListTopics" ], "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "accountId
" } } } ] }
在前面的策略示例中,替换 region
使用 AWS 区域名称,然后替换 accountId
使用您的 AWS 账户 ID。
您无需为仅拨打 AWS CLI 或的用户设置最低控制台权限 AWS API。相反,只允许访问与他们尝试执行的API操作相匹配的操作。
示例:访问单个 Amazon Pinpoint 项目
您还可以创建仅为特定项目提供访问权限的只读策略。以下示例策略允许用户登录到控制台并查看项目列表。它还允许用户查看有关亚马逊 Pinpoint 控制台所依赖的其他 AWS 服务的相关资源的信息,例如亚马逊和亚马逊 K SES inesis。IAM但是,该策略只允许用户查看策略中指定的项目的信息。您可以修改此政策以允许访问其他项目或 AWS 区域。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewProject", "Effect": "Allow", "Action": "mobiletargeting:GetApps", "Resource": "arn:aws:mobiletargeting:
region
:accountId
:*" }, { "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*" ], "Resource": [ "arn:aws:mobiletargeting:region
:accountId
:apps/projectId
", "arn:aws:mobiletargeting:region
:accountId
:apps/projectId
/*", "arn:aws:mobiletargeting:region
:accountId
:reports" ] }, { "Effect": "Allow", "Action": [ "ses:Get*", "kinesis:ListStreams", "firehose:ListDeliveryStreams", "iam:ListRoles", "ses:List*", "sns:ListTopics", "ses:Describe*", "s3:List*" ], "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "accountId
" } } } ] }
在前面的示例中,替换 region
使用 AWS 区域名称,替换 accountId
使用您的 AWS 账户 ID,然后替换 projectId
上面写着你想提供访问权限的 Amazon Pinpoint 项目的编号。
同样,您可以创建策略,向 AWS 账户中的用户授予对您的一个 Amazon Pinpoint 项目(例如具有项目 ID 的项目)的有限写入权限。810c7aab86d42fb2b56c8c966example
在此案例中,您希望允许用户查看、添加和更新项目组件,例如分段和活动,但不允许删除任何组件。
除了授予关于 mobiletargeting:Get
和 mobiletargeting:List
操作的权限,您还可以创建一个策略,来授予关于以下操作的权限:mobiletargeting:Create
、mobiletargeting:Update
和 mobiletargeting:Put
。这些是创建和管理大多数项目组件所需的额外权限。例如:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "LimitedWriteProject", "Effect": "Allow", "Action": "mobiletargeting:GetApps", "Resource": "arn:aws:mobiletargeting:
region
:accountId
:*" }, { "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*", "mobiletargeting:Create*", "mobiletargeting:Update*", "mobiletargeting:Put*" ], "Resource": [ "arn:aws:mobiletargeting:region
:accountId
:apps/810c7aab86d42fb2b56c8c966example", "arn:aws:mobiletargeting:region
:accountId
:apps/810c7aab86d42fb2b56c8c966example/*", "arn:aws:mobiletargeting:region
:accountId
:reports" ] }, { "Effect": "Allow", "Action": [ "ses:Get*", "kinesis:ListStreams", "firehose:ListDeliveryStreams", "iam:ListRoles", "ses:List*", "sns:ListTopics", "ses:Describe*", "s3:List*" ], "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "accountId
" } } } ] }
示例:基于标签查看 Amazon Pinpoint 资源
您可以在基于身份的策略中使用条件,以基于标签控制对于 Amazon Pinpoint 资源的访问。此示例策略展示了如何创建此类策略,以允许查看 Amazon Pinpoint 资源。不过,仅当 Owner
资源标签具有该用户的用户名的值时,才会授予权限。此策略还授予在控制台上完成此操作的必要权限。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ListResources", "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*" ], "Resource": "*" }, { "Sid": "ViewResourceIfOwner", "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*" ], "Resource": "arn:aws:mobiletargeting:*:*:*", "Condition": { "StringEquals": { "aws:ResourceTag/Owner": "
userName
" }, "StringEquals": { "aws:SourceAccount": "accountId
" }, "ArnLike": { "aws:SourceArn": "arn:aws:mobiletargeting:region
:accountId
:*" } } } ] }
您可以将此策略附加到您的账户中的用户。如果名为 richard-roe
的用户想要查看某个 Amazon Pinpoint 资源,该资源必须标记为 Owner=richard-roe
或 owner=richard-roe
。否则,将拒绝其访问。条件标签键 Owner
匹配 Owner
和 owner
,因为条件键名称不区分大小写。有关更多信息,请参阅《IAM用户指南》中的IAMJSON策略元素:条件。
示例:允许用户查看他们自己的权限
此示例说明如何创建允许IAM用户查看附加到其用户身份的内联和托管策略的策略。此策略包括在控制台上或使用或以编程方式完成此操作的 AWS CLI 权限。 AWS API
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }
示例:提供对亚马逊 Pinpoint 操作API的访问权限
本节提供了允许访问亚马逊 Pinpoint 提供的功能的示例政策,亚马逊 Pinpoint API 是亚马逊 Pinpoint 的主要API功能。要了解更多相关信息API,请参阅亚马逊 Pinpoint API 参考文档。
只读访问权限
以下示例策略允许以只读方式访问您在特定 AWS 地区的 Amazon Pinpoint 账户中的所有资源。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewAllResources", "Effect": "Allow", "Action": [ "mobiletargeting:Get*", "mobiletargeting:List*" ], "Resource": "arn:aws:mobiletargeting:
region
:accountId
:*" } ] }
在前面的示例中,替换 region
使用 AWS 区域名称,然后替换 accountId
使用您的 AWS
账户 ID。
管理员访问权限
以下示例策略允许对您的 Amazon Pinpoint 账户中的所有 Amazon Pinpoint 操作和资源进行完全访问:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "FullAccess", "Effect": "Allow", "Action": [ "mobiletargeting:*" ], "Resource": "arn:aws:mobiletargeting:
region
:accountId
:*" } ] }
在前面的示例中,替换 accountId
使用您的 AWS 账户 ID。
示例:提供对亚马逊 Pinpoint SMS 和语音操作的访问权限 API
本节提供了允许访问亚马逊 Pinpoint SMS 和 Voice 中提供的功能的策略示例。API这是一份补充内容API,提供了在 Amazon Pinpoint 中使用SMS和管理语音频道的高级选项。要了解更多相关信息API,请参阅亚马逊 Pinpoint SMS 和语音API参考。
只读访问权限
以下示例策略允许对您账户中的所有 Amazon Pinpoint SMS 和语音API操作和资源进行只读访问: AWS
{ "Version": "2012-10-17", "Statement": [ { "Sid": "SMSVoiceReadOnly", "Effect": "Allow", "Action": [ "sms-voice:Get*", "sms-voice:List*" ], "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "
accountId
" }, "ArnLike": { "aws:SourceArn": "arn:aws:sms-voice:region
:accountId
:*" } } } ] }
管理员访问权限
以下示例策略允许完全访问您 AWS 账户中的所有 Amazon Pinpoint SMS 和语音API操作和资源:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "SMSVoiceFullAccess", "Effect": "Allow", "Action": [ "sms-voice:*", ], "Resource": "*", "Condition": { "StringEquals": { "aws:SourceAccount": "
accountId
" }, "ArnLike": { "aws:SourceArn": "arn:aws:sms-voice:region
:accountId
:*" } } } ] }
示例:将 Amazon Pinpoint 项目的访问权限限制为特定 IP 地址
以下示例策略向任何用户授予对指定项目执行任何 Amazon Pinpoint 操作的权限 (projectId
)。 但是,请求必须来自条件中指定的 IP 地址范围。
此语句中的条件确定了允许的 Internet 协议版本 4 (IPv4) 地址的54.240.143.*
范围,但有一个例外:54.240.143.188
。该Condition
块使用IpAddress
和NotIpAddress
条件和aws:SourceIp
条件键,后者是一个 AWS宽范围的条件键。有关这些条件键的更多信息,请参阅策略IAM用户指南中的指定条件。这些aws:SourceIp
IPv4值使用标准CIDR表示法。有关更多信息,请参阅《IAM用户指南》中的 IP 地址条件运算符。
{ "Version":"2012-10-17", "Id":"AMZPinpointPolicyId1", "Statement":[ { "Sid":"IPAllow", "Effect":"Allow", "Principal":"*", "Action":"mobiletargeting:*", "Resource":[ "arn:aws:mobiletargeting:
region
:accountId
:apps/projectId
", "arn:aws:mobiletargeting:region
:accountId
:apps/projectId
/*" ], "Condition":{ "IpAddress":{ "aws:SourceIp":"54.240.143.0/24" }, "NotIpAddress":{ "aws:SourceIp":"54.240.143.188/32" } } } ] }
示例:基于标签限制 Amazon Pinpoint 的访问权限
以下示例策略授予对指定项目执行任何 Amazon Pinpoint 操作的权限 (projectId
)。 但是,只有当请求来自用户名为项目Owner
资源标签中的值(如条件中所指定)时,才会授予权限。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ModifyResourceIfOwner", "Effect": "Allow", "Action": "mobiletargeting:*", "Resource": [ "arn:aws:mobiletargeting:
region
:accountId
:apps/projectId
", "arn:aws:mobiletargeting:region
:accountId
:apps/projectId
/*" ], "Condition": { "StringEquals": { "aws:ResourceTag/Owner": "userName
" } } } ] }
示例:允许 Amazon Pinpoint 使用在亚马逊验证的身份发送电子邮件 SES
当您通过 Amazon Pinpoint 控制台验证电子邮件身份(例如电子邮件地址或域名)时,系统会自动配置该身份,以便亚马逊 Pinpoint 和亚马逊都可以使用该身份。SES但是,如果您通过亚马逊验证电子邮件身份SES,并且想在 Amazon Pinpoint 中使用该身份,则必须对该身份应用策略。
以下示例策略授予 Amazon Pinpoint 使用已通过亚马逊验证的电子邮件身份发送电子邮件的权限。SES
{ "Version":"2008-10-17", "Statement":[ { "Sid":"PinpointEmail", "Effect":"Allow", "Principal":{ "Service":"pinpoint.amazonaws.com" }, "Action":"ses:*", "Resource":"arn:aws:ses:
region
:accountId
:identity/emailId
", "Condition":{ "StringEquals":{ "aws:SourceAccount":"accountId
" }, "StringLike":{ "aws:SourceArn":"arn:aws:mobiletargeting:region
:accountId
:apps/*
" } } } ] }
如果您在 AWS GovCloud (美国西部)地区使用 Amazon Pinpoint,请改用以下政策示例:
{ "Version":"2008-10-17", "Statement":[ { "Sid":"PinpointEmail", "Effect":"Allow", "Principal":{ "Service":"pinpoint.amazonaws.com" }, "Action":"ses:*", "Resource":"arn:aws-us-gov:ses:us-gov-west-1:
accountId
:identity/emailId
", "Condition":{ "StringEquals":{ "aws:SourceAccount":"accountId
" }, "StringLike":{ "aws:SourceArn":"arn:aws-us-gov:mobiletargeting:us-gov-west-1:accountId
:apps/*
" } } } ] }