本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

識別與存取管理

AWS Identity and Access Management (IAM) 是一種 AWS 服務，可協助帳戶管理員安全地控制對 AWS 資源的存取。每項 AWS 資源均由某個 AWS 帳戶所持有，而建立或存取資源的許可則由許可政策管理。IAM 帳戶管理員可以控制經過身分驗證 (已登入) 和得到授權 (具有許可) 來使用 Amazon IVS 資源的人員。IAM 是 AWS 帳戶可享的一項功能，無須額外付費。

重要事項：如需完整資訊，請參閱 AWS IAM 產品頁面、《IAM 使用者指南》和簽署 AWS API 請求。在本節中，我們還會提供 IAM 使用者指南特定章節的連結。在繼續之前，您應該熟悉此材料。

對象

根據您在 Amazon IVS 中所進行的工作而定，IAM 的使用方式會不同。

Amazon IVS 如何與 IAM 搭配運作

在您發出 Amazon IVS API 請求之前，您必須先建立一個或多個 IAM 身分身分 (使用者、群組和角色) 和 IAM 政策，然後將政策連接至身分。傳播許可最多需要幾分鐘的時間；在此之前，API 請求會遭到拒絕。

若要更好地了解 Amazon IVS 如何與 IAM 搭配運作，請參閱 IAM 使用者指南中的與 IAM 搭配運作的 AWS 服務。

身分

您可建立的 IAM 身分，以便為 AWS 帳戶中的人員和程序提供身分驗證。IAM 群組是 IAM 使用者集合，您可將它們視為單位進行管理。請參閱 IAM 使用者指南中的身分身分 (使用者、群組和角色)。

政策

請參閱 IAM 使用者指南中的以下章節：

預設情況下，IAM 使用者和角色沒有建立或修改 Amazon IVS 資源 (甚至變更他們自己的密碼) 的許可。他們也無法使用 AWS 主控台、AWS CLI 或 AWS API 執行任務。IAM 管理員必須建立 IAM 政策，授予使用者和角色在指定資源上執行特定 API 操作的所需許可。

IAM 政策定義該動作的許可，無論使用何種方法來執行操作。例如，假設您有一個允許 iam:GetRole 動作的政策。具備該政策的使用者便可以從 AWS 管理主控台、AWS CLI 或 AWS API 取得角色資訊。

政策是由元素組成的 JSON 許可政策文件。Amazon IVS 支援三種元素：

您可以在政策中使用變數做為預留位置。例如，您可以只在使用者使用其 IAM 使用者名稱標記時，將存取資源的許可授予該 IAM 使用者。請參閱 IAM 使用者指南中的變數和標籤。

Amazon IVS 提供 AWS 受管政策，可用於向身分授予一組預先設定的許可 (唯讀或完整存取權)。您可以選擇使用受管政策，而非下面所示的身分型政策。如需詳細資訊，請參閱 Amazon IVS 的受管政策。

以 Amazon IVS 標籤為基礎的授權

您可以將標籤連接至 Amazon IVS 資源，或是在請求中將標籤傳遞至 Amazon IVS。若要根據標籤控制存取，請使用 aws:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 條件金鑰，在政策的條件元素中，提供標籤資訊。如需標記 Amazon IVS 資源的詳細資訊，請參閱 IVS 低延遲串流 API 參考、IVS 即時串流 API 參考，以及 IVS 聊天功能 API 參考中的「標記」。

如需範例，請參閱 根據標籤檢視 Amazon IVS 頻道。

角色

請參閱 IAM 使用者指南中的 IAM 角色和臨時安全登入資料。

IAM 角色是您 AWS 帳戶中具備特定許可的實體。

Amazon IVS 支援使用臨時安全登入資料。您可以搭配聯合使用暫時登入資料登入、擔任 IAM 角色，或是擔任跨帳戶角色。您取得暫時安全登入資料的方式是透過呼叫 AWS Security Token Service API 操作 (例如 AssumeRole 或 GetFederationToken)。

特權和非特權存取

API 資源擁有特權存取。可以透過私有頻道設定非特權播放存取；請參閱設定私有頻道。

政策的最佳實務

請參閱 IAM 使用者指南中的 IAM 最佳實務。

基於身分的政策相當強大。它們可以判斷您帳戶中的某個人員是否可以建立、存取或刪除 Amazon IVS 資源。這些動作可能會讓您的 AWS 帳戶產生成本。請遵循下列建議：

基於身分的政策範例

使用 Amazon IVS 主控台。

若要存取 Amazon IVS 主控台，您必須有一組符合最低限制的許可，讓您可以列出並檢視您的 AWS 帳戶中 Amazon IVS 資源的詳細資訊。如果您建立比最低必要許可更嚴格的基於身分的政策，則對於具有該政策的身分而言，主控台將無法如預期運作。若要確保存取 Amazon IVS 主控台，請將以下政策連接到身分 (請參閱 IAM 使用者指南中的新增和移除 IAM 許可)。

使用以下政策的各部分可存取：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "ivs:*",
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "servicequotas:ListServiceQuotas"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucketPolicy",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:ListAllMyBuckets",
        "s3:PutBucketPolicy"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "iam:AttachRolePolicy",
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/aws-service-role/ivs.amazonaws.com/AWSServiceRoleForIVSRecordToS3*"
    },
    {
      "Action": [
        "cloudwatch:GetMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "lambda:AddPermission",
        "lambda:ListFunctions"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

允許使用者檢視自己的許可

此範例會示範一個政策，它允許 IAM 使用者檢視連接到其使用者身分的內嵌及受管政策。此政策包含在 AWS 主控台上，或是使用 AWS CLI 或 AWS API 透過編寫程式的方式完成此動作的許可。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ViewOwnUserInfo",
         "Effect": "Allow",
         "Action": [
            "iam:GetUserPolicy",
            "iam:ListGroupsForUser",
            "iam:ListAttachedUserPolicies",
            "iam:ListUserPolicies",
            "iam:GetUser"
         ],
         "Resource": [
            "arn:aws:iam:*:*:user/${aws:username}"
         ]
      },
      {
         "Sid": "NavigateInConsole",
         "Effect": "Allow",
         "Action": [
            "iam:GetGroupPolicy",
            "iam:GetPolicyVersion",
            "iam:GetPolicy",
            "iam:ListAttachedGroupPolicies",
            "iam:ListGroupPolicies",
            "iam:ListPolicyVersions",
            "iam:ListPolicies",
            "iam:ListUsers"
         ],
         "Resource": "*"
      }
   ]
}

存取 Amazon IVS 頻道

在此，您希望授予 AWS 帳戶中的 IAM 使用者存取您的其中一個 Amazon IVS 頻道：VgNkEJgOVX9N。您也希望允許使用者停止串流 (ivs:StopStream)、新增中繼資料 (ivs:PutMetadata)，並更新頻道 (ivs:UpdateChannel)。該政策也授予 Amazon IVS 主控台所需的許可：ivs:ListChannels、ivs:ListStreams、ivs:GetChannel 和 ivs:GetStream。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"ListChannelsInConsole",
         "Effect":"Allow",
         "Action":[
            "ivs:ListChannels",
            "ivs:ListStreams"

         ],
         "Resource":"arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid":"ViewSpecificChannelInfo",
         "Effect":"Allow",
         "Action":[
            "ivs:GetChannel",
            "ivs:GetStream"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N"
      },
      {
         "Sid":"ManageChannel",
         "Effect":"Allow",
         "Action":[
            "ivs:StopStream",
            "ivs:PutMetadata",
            "ivs:UpdateChannel"
         ],
         "Resource":"arn:aws:ivs:*:*:channel/VgNkEJgOVX9N" 
      }
   ]
}

根據標籤檢視 Amazon IVS 頻道

您可以在基於身分的政策中使用條件，根據標籤控制 Amazon IVS 的存取權。此範例會示範允許檢視頻道的政策。此政策也會授予在 Amazon IVS 主控台上完成此動作的必要許可。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "ListWidgetsInConsole",
         "Effect": "Allow",
         "Action": "ivs:ListChannels",
         "Resource": "arn:aws:ivs:*:*:channel/*"
      },
      {
         "Sid": "ViewChannelIfOwner",
         "Effect": "Allow",
         "Action": "ivs:GetChannel",
         "Resource": "arn:aws:ivs:*:*:channel/*",
         "Condition": {
            "StringEquals": {"aws:ResourceTag/Owner": "${aws:username}"}
         }
      }
   ]
}

您可以將此政策連接到您帳戶中的 IAM 使用者。但是，只有在頻道標籤的值是該使用者的使用者名稱時，才會授予許可。如果名為 richard-roe 的使用者嘗試檢視 Amazon IVS 頻道，該頻道必須標記 Owner=richard-roe 或 owner=richard-roe；否則他便會被拒絕存取。(條件標籤金鑰 Owner 符合 Owner 和owner，因為條件金鑰名稱不區分大小寫。)

故障診斷

請使用以下資訊來協助您診斷和修正使用 Amazon IVS 和 IAM 時可能遇到的常見問題。