Amazon Lex 的基於身份的政策示例 - Amazon Lex V1
政策最佳實務使用主控台允許使用者檢視他們自己的許可刪除所有 Amazon Lex 機 允許使用者將機器人遷移到 Amazon Lex V2 APIs 使用標籤訪問資源

如果您使用的是 Amazon Lex V2，請參閱 Amazon Lex V2 指南。

 

如果您使用的是 Amazon Lex V1，我們建議您將機器人升級到 Amazon Lex V2。我們不再向 V1 添加新功能，強烈建議所有新的機器人使用 V2。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon Lex 的基於身份的政策示例

依預設，使用者和角色沒有建立或修改 Amazon Lex 資源的權限。他們也無法使用 AWS Management Console、 AWS Command Line Interface (AWS CLI) 或執行工作 AWS API。若要授與使用者對所需資源執行動作的權限，IAM管理員可以建立IAM策略。然後，系統管理員可以將IAM原則新增至角色，使用者可以擔任這些角色。

若要瞭解如何使用這些範例原則文件來建立以IAM身分識別為基礎的JSON策略，請參閱使用指南中的IAM建立IAM策略。

如需 Amazon Lex 定義的動作和資源類型的詳細資訊，包括每種資源類型的格式，請參閱服務授權參考中適用於 Amazon Lex 的動作、資源和條件金鑰。ARNs

政策最佳實務

以身分識別為基礎的政策決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon Lex 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：

  • 開始使用 AWS 受管原則並邁向最低權限權限 — 若要開始授與使用者和工作負載的權限，請使用可授與許多常見使用案例權限的AWS 受管理原則。它們可用在您的 AWS 帳戶. 建議您透過定義特定於您使用案例的 AWS 客戶管理政策，進一步降低使用權限。如需詳細資訊，請參閱AWS 《IAM使用指南》中針對工作職能的AWS 受管理策略或受管理的策略。

  • 套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。

  • 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。您也可以使用條件來授與對服務動作的存取權 (如透過特定) 使用這些動作 AWS 服務，例如 AWS CloudFormation。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

  • 使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。

  • 需要多因素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟以取得額外MFA的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的 ＜ 設定MFA受保護的API存取 ＞。

如需中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 Amazon Lex 控制台

若要存取 Amazon Lex 主控台，您必須擁有最少一組許可。這些許可必須允許您列出和檢視有關 AWS 帳戶. 如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。

您不需要為只對 AWS CLI 或撥打電話的使用者允許最低主控台權限 AWS API。相反地，只允許存取符合他們嘗試執行之API作業的動作。

AWS 透過提供由建立和管理的獨立IAM原則來解決許多常見使用案例 AWS。這些原則稱為AWS受管理的原則。AWS受管理的原則可讓您輕鬆地將適當的權限指派給使用者、群組和角色，而不是必須自行撰寫原則。如需詳細資訊，請參閱IAM使用指南中的AWS受管理的策略。

Amazon Lex 專用的下列 AWS 受管政策 (您可以附加到帳戶中的群組和角色)：

  • AmazonLexReadOnly— 授予對 Amazon Lex 資源的唯讀存取權。

  • AmazonLexRunBotsOnly— 授予執行 Amazon Lex 交談機器人的存取權。

  • AmazonLexFullAccess— 授予建立、讀取、更新、刪除和執行所有 Amazon Lex 資源的完整存取權。此外，還授予將名稱以開頭的 Lambda 函數AmazonLex與 Amazon Lex 意圖建立關聯的能力。

注意

您可以登入IAM主控台並搜尋特定原則，以檢閱這些權限原則。

該AmazonLexFullAccess政策不會授予使用者使用KendraSearchIntent意圖查詢 Amazon Kendra 索引的權限。若要查詢索引，您必須將其他權限新增至策略。如要了解必要的許可，請參閱 Amazon Kendra 搜索的 IAM 政策。

您也可以建立自己的自訂IAM政策，以允許 Amazon Lex API 動作的許可。您可以將這些自訂原則附加到需要這些權限的IAM角色或群組。

如需 Amazon Lex AWS 受管政策的詳細資訊，請參閱AWS亞馬遜萊克斯的受管政策。

允許使用者檢視他們自己的許可

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上或以程式設計方式使用或完成此動作的 AWS CLI 權限 AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

刪除所有 Amazon Lex 機

此範例政策授予您帳戶中的使用者刪除您AWS帳戶中任何機器人的權限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lex:DeleteBot"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

允許使用者將機器人遷移到 Amazon Lex V2 APIs

下列IAM權限政策可讓使用者開始將機器人從 Amazon Lex 遷移到 Amazon Lex V2，APIs並查看移轉清單及其進度。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "startMigration",
            "Effect": "Allow",
            "Action": "lex:StartMigration",
            "Resource": "arn:aws:lex:<Region>:<123456789012>:bot:*"
        },
        {
            "Sid": "passRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::<123456789012>:role/<v2 bot role>"
        },
        {
            "Sid": "allowOperations",
            "Effect": "Allow",
            "Action": [
                "lex:CreateBot",
                "lex:CreateIntent",
                "lex:UpdateSlot",
                "lex:DescribeBotLocale",
                "lex:UpdateBotAlias",
                "lex:CreateSlotType",
                "lex:DeleteBotLocale",
                "lex:DescribeBot",
                "lex:UpdateBotLocale",
                "lex:CreateSlot",
                "lex:DeleteSlot",
                "lex:UpdateBot",
                "lex:DeleteSlotType",
                "lex:DescribeBotAlias",
                "lex:CreateBotLocale",
                "lex:DeleteIntent",
                "lex:StartImport",
                "lex:UpdateSlotType",
                "lex:UpdateIntent",
                "lex:DescribeImport",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomVocabulary",
                "lex:DescribeCustomVocabulary",
                "lex:DescribeCustomVocabularyMetadata"
            ],
            "Resource": [
                "arn:aws:lex:<Region>:<123456789012>:bot/*",
                "arn:aws:lex:<Region>:<123456789012>:bot-alias/*/*"
            ]
        },
        {
            "Sid": "showBots",
            "Effect": "Allow",
            "Action": [
                "lex:CreateUploadUrl",
                "lex:ListBots"
            ],
            "Resource": "*"
        },
        {
            "Sid": "showMigrations",
            "Effect": "Allow",
            "Action": [
                "lex:GetMigration",
                "lex:GetMigrations"
            ],
            "Resource": "*"
        }
    ]
}

使用標籤訪問資源

此範例策略授予 AWS 帳號中的使用者或角色權限，以便將PostText作業與任何標記為索引鍵Department和值的資源搭配使用Support。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "lex:PostText",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "lex:ResourceTag/Department": "Support"
                }
            }
        }
    ]
}