Amazon 的身分型政策範例 CloudFront - Amazon CloudFront
政策最佳實務允許使用者檢視他們自己的許可以 CloudFront 程式設計方式存取 的許可使用 CloudFront 主控台所需的許可客戶受管政策範例

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon 的身分型政策範例 CloudFront

根據預設，使用者和角色沒有建立或修改 CloudFront資源的許可。他們也無法使用 AWS Management Console、 AWS Command Line Interface （AWS CLI） 或 來執行任務 AWS API。若要授予使用者對所需資源執行動作的許可，IAM管理員可以建立IAM政策。然後，管理員可以將IAM政策新增至角色，使用者可以擔任角色。

若要了解如何使用這些範例政策文件來建立IAM身分型JSON政策，請參閱 IAM 使用者指南 中的建立IAM政策 （主控台）。

如需 定義的動作和資源類型的詳細資訊 CloudFront，包括ARNs每種資源類型的 格式，請參閱服務授權參考 中的 Amazon 的動作、資源和條件索引鍵 CloudFront。

政策最佳實務

身分型政策會判斷是否有人可以在您的帳戶中建立、存取或刪除 CloudFront 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

  • 開始使用 AWS 受管政策並邁向最低權限許可 – 若要開始將許可授予您的使用者和工作負載，請使用 AWS 受管政策，將許可授予許多常見使用案例。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需詳細資訊，請參閱 IAM 使用者指南 中的 AWS 受管政策或 AWS 任務功能的受管政策。

  • 套用最低權限許可 – 當您使用IAM政策設定許可時， 只會授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需使用 IAM 套用許可的詳細資訊，請參閱 IAM 使用者指南 中的政策和許可IAM。

  • 使用IAM政策中的條件來進一步限制存取：您可以將條件新增至政策，以限制對動作和資源的存取。例如，您可以撰寫政策條件來指定所有請求都必須使用 傳送SSL。如果透過特定 使用服務動作，例如 AWS 服務，您也可以使用 條件來授予其存取權 AWS CloudFormation。如需詳細資訊，請參閱 IAM 使用者指南 中的IAMJSON政策元素：條件。

  • 使用 IAM Access Analyzer 驗證您的IAM政策，以確保安全且功能許可 – IAM Access Analyzer 會驗證新的和現有的政策，讓政策遵循IAM政策語言 （JSON） 和IAM最佳實務。IAM Access Analyzer 提供超過 100 個政策檢查和可操作的建議，協助您撰寫安全且實用的政策。如需詳細資訊，請參閱 IAM 使用者指南 中的使用 IAM Access Analyzer 驗證政策。

  • 需要多重要素身分驗證 （MFA） – 如果您有需要IAM使用者或 根使用者的案例 AWS 帳戶，請開啟 MFA 以獲得額外的安全性。若要在呼叫API操作MFA時要求 ，請將MFA條件新增至您的政策。如需詳細資訊，請參閱 IAM 使用者指南 中的使用 安全API存取MFA。

如需 中最佳實務的詳細資訊IAM，請參閱 IAM 使用者指南 中的安全最佳實務IAM。

允許使用者檢視他們自己的許可

此範例示範如何建立政策，允許使用者檢視連接至其IAM使用者身分的內嵌和受管政策。此政策包含在主控台上完成此動作或使用 AWS CLI 或 以程式設計方式完成此動作的許可 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

以 CloudFront 程式設計方式存取 的許可

以下說明許可政策。Sid (陳述式 ID) 為選用。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "AllowAllCloudFrontPermissions",
         "Effect": "Allow",
         "Action": ["cloudfront:*"],
         "Resource": "*"
      }
   ]
}

此政策授予許可來執行所有 CloudFront 操作，這足以以 CloudFront 程式設計方式存取 。如果您使用主控台存取 CloudFront，請參閱 使用 CloudFront 主控台所需的許可。

如需動作清單ARN，以及您指定授予或拒絕使用每個動作許可的 ，請參閱服務授權參考 中的 Amazon 的動作、資源和條件索引鍵 CloudFront。

使用 CloudFront 主控台所需的許可

若要授予 CloudFront 主控台的完整存取權，您可以在下列許可政策中授予許可：

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm:ListCertificates", 
            "cloudfront:*", 
            "cloudwatch:DescribeAlarms",
            "cloudwatch:PutMetricAlarm",
            "cloudwatch:GetMetricStatistics",
            "elasticloadbalancing:DescribeLoadBalancers",
            "iam:ListServerCertificates",
            "sns:ListSubscriptionsByTopic",
            "sns:ListTopics",
            "waf:GetWebACL",
            "waf:ListWebACLs"
         ],
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ListAllMyBuckets",
            "s3:PutBucketPolicy"
         ],
         "Resource":"arn:aws:s3:::*"
      }
   ]
}

需要許可的原因如下：

acm:ListCertificates

當您使用 CloudFront 主控台建立和更新分佈時，且您想要將 CloudFront 設定為在檢視器和 HTTPS 之間 CloudFront 或 CloudFront 和原始伺服器之間需要 ， 可讓您檢視ACM憑證清單。

如果您不使用 CloudFront 主控台，則不需要此許可。

cloudfront:*

可讓您執行所有 CloudFront 動作。

cloudwatch:DescribeAlarms 和 cloudwatch:PutMetricAlarm

可讓您在 CloudFront 主控台中建立和檢視 CloudWatch 警示。另請參閱 sns:ListSubscriptionsByTopic 和 sns:ListTopics。

如果您不使用主控台， CloudFront則不需要這些許可。

cloudwatch:GetMetricStatistics

讓我們在 CloudFront 主控台中 CloudFront 呈現 CloudWatch 指標。

如果您不使用 CloudFront 主控台，則不需要此許可。

elasticloadbalancing:DescribeLoadBalancers

在建立和更新分佈時，許可會讓您可在可用的原始伺服器清單中查看 Elastic Load Balancing 負載平衡器清單。

如果您不使用 CloudFront 主控台，則不需要此許可。

iam:ListServerCertificates

當您使用 CloudFront 主控台建立和更新分佈時，且您想要將 CloudFront 設定為在檢視器和 HTTPS 之間 CloudFront 或 CloudFront 和原始伺服器之間需要 ， 可讓您檢視憑證存放區中的IAM憑證清單。

如果您不使用 CloudFront 主控台，則不需要此許可。

s3:ListAllMyBuckets

當您建立和更新分佈，可以執行以下操作：

  • 檢視在可用的原始伺服器清單中的 S3 儲存貯體清單

  • 檢視可以保存存取記錄的 S3 儲存貯體清單

如果您不使用 CloudFront 主控台，則不需要此許可。

S3:PutBucketPolicy

當您建立或更新限制存取 S3 儲存貯體的分佈時， 會讓使用者更新儲存貯體政策，以授予原始伺服器存取身分的 CloudFront存取權。如需詳細資訊，請參閱使用原始存取身分識別 (舊版，不建議使用)。

如果您不使用 CloudFront 主控台，則不需要此許可。

sns:ListSubscriptionsByTopic 和 sns:ListTopics

當您在 CloudFront 主控台中建立 CloudWatch 警示時， 可讓您選擇通知SNS的主題。

如果您不使用主控台， CloudFront則不需要這些許可。

waf:GetWebACL 和 waf:ListWebACLs

可讓您在 CloudFront 主控台ACLs中檢視 AWS WAF Web 清單。

如果您不使用主控台， CloudFront則不需要這些許可。

客戶受管政策範例

您可以建立自己的自訂IAM政策，以允許動作的 CloudFront API許可。您可以將這些自訂政策連接至需要指定許可IAM的使用者或群組。當您使用 CloudFront API、 或 時 AWS SDKs，這些政策會運作 AWS CLI。以下範例示範幾個常用案例的許可。如需授予使用者完整存取權的政策 CloudFront，請參閱 使用 CloudFront 主控台所需的許可。

範例 1：允許讀取存取所有分佈

下列許可政策授予使用者在 CloudFront 主控台中檢視所有分發的許可：

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm:ListCertificates", 
            "cloudfront:GetDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:ListDistributions",
            "cloudfront:ListCloudFrontOriginAccessIdentities",
            "elasticloadbalancing:DescribeLoadBalancers",
            "iam:ListServerCertificates",
            "sns:ListSubscriptionsByTopic",
            "sns:ListTopics",
            "waf:GetWebACL",
            "waf:ListWebACLs"
         ],
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ListAllMyBuckets"
         ],
         "Resource":"arn:aws:s3:::*"
      }
   ]
}

範例 2：允許建立、更新和刪除分佈

下列許可政策允許使用者使用 CloudFront 主控台建立、更新和刪除分佈：

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm:ListCertificates", 
            "cloudfront:CreateDistribution",
            "cloudfront:DeleteDistribution",
            "cloudfront:GetDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:ListDistributions",
            "cloudfront:UpdateDistribution",
            "cloudfront:ListCloudFrontOriginAccessIdentities",
            "elasticloadbalancing:DescribeLoadBalancers",
            "iam:ListServerCertificates",
            "sns:ListSubscriptionsByTopic",
            "sns:ListTopics",
            "waf:GetWebACL",
            "waf:ListWebACLs"
         ],
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ListAllMyBuckets",
            "s3:PutBucketPolicy"
         ],
         "Resource":"arn:aws:s3:::*"
      }
   ]
}

cloudfront:ListCloudFrontOriginAccessIdentities 許可讓使用者可將許可自動授予現有原始存取身分，以存取 Amazon S3 儲存貯體中的物件。如果您還希望使用者能夠建立原始存取身分，則還需要允許 cloudfront:CreateCloudFrontOriginAccessIdentity 許可。

範例 3：允許建立和列出失效

以下許可政策可讓使用者建立和失效清單。它包含 CloudFront 分發的讀取存取權，因為您首先顯示分發的設定來建立和檢視無效：

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "acm:ListCertificates", 
            "cloudfront:GetDistribution",
            "cloudfront:GetStreamingDistribution",
            "cloudfront:GetDistributionConfig",
            "cloudfront:ListDistributions",
            "cloudfront:ListCloudFrontOriginAccessIdentities",
            "cloudfront:CreateInvalidation",
            "cloudfront:GetInvalidation",
            "cloudfront:ListInvalidations",
            "elasticloadbalancing:DescribeLoadBalancers",
            "iam:ListServerCertificates",
            "sns:ListSubscriptionsByTopic",
            "sns:ListTopics",
            "waf:GetWebACL",
            "waf:ListWebACLs"
         ],
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:ListAllMyBuckets"
         ],
         "Resource":"arn:aws:s3:::*"
      }
   ]
}

範例 4：允許建立分佈

下列許可政策授予使用者在 CloudFront 主控台中建立和列出分佈的許可。針對 CreateDistribution動作，請指定 的萬用字元 （*），Resource而不是分佈的萬用字元 ARN（arn:aws:cloudfront::123456789012:distribution/*）。如需 Resource元素的詳細資訊，請參閱 IAM 使用者指南 中的IAMJSON政策元素：資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "cloudfront:CreateDistribution",
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "cloudfront:ListDistributions",
            "Resource": "*"
        }
    ]
}