在 Amazon 上使用基于身份的政策 SNS

在此示例中，IAM政策和 Amazon SNS 政策都适用于 Bob。该IAM政策授予他Subscribe关于任何主题 AWS 账户的权限，而亚马逊SNS政策则授予他在特定主题Publish上使用的权限 (topic_xyz)。下图阐明了这一概念。

如果 Bob 发送订阅 AWS 账户中任何主题的请求，则IAM策略将允许该操作。如果 Bob 向 topic_xyz 发送发布消息的请求，则亚马逊的SNS政策将允许该操作。

在本示例中，我们基于示例 1（其中，Bob 拥有两个适用于他的策略）来进行描述。让我们看看 Bob 无法向 topic_xyz 发布消息的情况，因此您要将其发布主题的功能全部删除。最简单的方法是添加一个IAM策略，拒绝他访问所有主题的Publish操作。第三项政策取代了最初允许他向 topic_xyz 发布内容的 Amazon SNS 政策，因为明确拒绝总是优先于允许（有关策略评估逻辑的更多信息，请参阅）。评估逻辑下图阐明了这一概念。

以下是在 us-east-2 区域命名的 MyTopic 主题的，属ARN于 123456789012。 AWS 账户

arn:aws:sns:us-east-2:123456789012:MyTopic

如果您 MyTopic 在 Amazon SNS 支持的每个不同地区都有一个名为的主题，则可以通过以下方式指定主题ARN。

arn:aws:sns:*:123456789012:MyTopic

在本示例中，我们创建授权访问 CreateTopic、ListTopics、SetTopicAttributes 和 DeleteTopic 的策略。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:CreateTopic", "sns:ListTopics", "sns:SetTopicAttributes", "sns:DeleteTopic"],
    "Resource": "*"
  }]
}

在本示例中，我们为 IT 创建群组，并将授权访问 Publish 的策略分配至相关特定主题上。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

在示例中，我们创建授予访问 Subscribe 操作的权限的策略，以及针对 sns:Protocol 和 sns:Endpoint 策略密钥的字符串匹配条件。

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:Subscribe"],
    "Resource": "*",
    "Condition": {
      "StringLike": {
        "SNS:Endpoint": "*@example.com"
      },
      "StringEquals": {
        "sns:Protocol": "email"
      }
    }
  }]
}

您可以使用 Amazon SNS 政策或IAM政策来允许合作伙伴针对特定主题发布内容。如果您的合作伙伴有 AWS 账户，则使用Amazon SNS 政策可能会更容易。但是，合作伙伴公司中任何拥有 AWS 安全凭证的人都可以发布有关该主题的消息。本示例假设您想要对特定人员进行访问限制（或应用程序限制）。为此，您需要像对待自己公司的用户一样对待合作伙伴，并使用IAM政策而不是亚马逊SNS政策。

在此示例中，我们创建了一个名 WidgetCo 为代表合作伙伴公司的群组；我们为合作伙伴公司中需要访问权限的特定人员（或应用程序）创建一个用户；然后将该用户放入该群组。

然后，我们附加一个策略，授予该群组对名为的特定主题的Publish访问权限WidgetPartnerTopic。

我们还想阻止该 WidgetCo 小组对主题做任何其他事情，因此我们添加了一份声明，拒绝允许除Publish此之外的任何主题之外的任何亚马逊SNS操作 WidgetPartnerTopic。只有当系统中的其他地方有一项广泛的政策，允许用户广泛访问亚马逊时，才需要这样做SNS。

{
  "Statement": [{
      "Effect": "Allow",
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    },
    {
      "Effect": "Deny",
      "NotAction": "sns:Publish",
      "NotResource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    }
  ]
}