使用 控制對 Kinesis Video Streams 資源的存取 IAM

取得您想要授予許可以對帳戶中建立的串流資源執行操作之帳戶的 12 位數帳戶 ID。

範例：在下列步驟中，我們將使用 111111111111 作為您要授予許可的帳戶的帳戶 ID，並使用 999999999999 作為 Kinesis Video Streams 的 ID

在擁有串流 (999999999999） 的帳戶中建立受IAM管政策，以允許您想要授予的存取層級。

範例政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:GetDataEndpoint",
                "kinesisvideo:DescribeStream",
                "kinesisvideo:PutMedia"
            ],
            "Resource": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
        }
    ]
}

如需 Kinesis Video Streams 資源的其他範例政策，請參閱下一節範例政策中的 。

在擁有串流 (999999999999 的帳戶中建立角色），並指定您要授予 (111111111111 許可的帳戶）。這會將受信任的實體新增至角色。

信任的政策範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:root"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

將您在上一個步驟中建立的政策連接到此角色。

您現在已在帳戶 999999999999 中建立角色，該帳戶具有 DescribeStream受管政策ARN中GetDataEndpointPutMedia串流資源等操作的許可。此新角色也會信任其他帳戶 111111111111 擔任此角色。

在另一個 帳戶 111111111111 中建立受管政策，允許對您在上一個步驟中在 帳戶 999999999999 中建立的角色AssumeRole執行動作。您需要提及上ARN一個步驟中的角色。

範例政策：

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::999999999999:role/CustomRoleName"
    }
}

將上一個步驟中建立的政策連接到IAM實體，例如 帳戶 111111111111 中的角色或使用者。此使用者現在具有在帳戶 999999999999 CustomRoleName中擔任角色的許可。

此使用者的憑證呼叫 AWS STS AssumeRoleAPI以取得工作階段登入資料，之後會用來呼叫帳戶 999999999999 中建立之串流APIs上的 Kinesis Video Streams。

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/CustomRoleName" --role-session-name "kvs-cross-account-assume-role"
{
    "Credentials": {
        "AccessKeyId": "",
        "SecretAccessKey": "",
        "SessionToken": "",
        "Expiration": ""
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "",
        "Arn": ""
    }
}

根據環境中的上一組設定存取金鑰、私密金鑰和工作階段憑證。

set AWS_ACCESS_KEY_ID=
set AWS_SECRET_ACCESS_KEY=
set AWS_SESSION_TOKEN=

執行 Kinesis Video Streams APIs 來描述和取得帳戶 999999999999 中串流的資料端點。

aws kinesisvideo describe-stream --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179"
{
    "StreamInfo": {
        "StreamName": "custom-stream-name",
        "StreamARN": "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179",
        "KmsKeyId": "arn:aws:kms:us-west-2:999999999999:alias/aws/kinesisvideo",
        "Version": "abcd",
        "Status": "ACTIVE",
        "CreationTime": "2018-02-19T10:56:58.179000+00:00",
        "DataRetentionInHours": 24
    }
}

aws kinesisvideo get-data-endpoint --stream-arn "arn:aws:kinesisvideo:us-west-2:999999999999:stream/custom-stream-name/1613732218179" --api-name "PUT_MEDIA"
{
    "DataEndpoint": "https://s-b12345.kinesisvideo.us-west-2.amazonaws.com"
}