Amazon Lex V2 的基於身份的政策示例 - Amazon Lex
政策最佳實務使用主控台允許使用者將函數新增至機器人允許使用者將頻道新增至機器人允許使用者建立和更新機器人允許使用者使用自動 Chatbot 設計工具允許使用者使用 AWS KMS 用於加密和解密文件的密鑰允許使用者刪除機器人允許使用者與機器人進行對話 允許特定使用者管理以資源為基礎的政策 允許使用者匯出機器人和機器人語言環境 允許使用者匯出自訂字彙 允許使用者匯入機器人和機器人語言環境 允許使用者匯入自訂字彙允許使用者將機器人從 Amazon Lex 遷移到 Amazon Lex V2允許使用者檢視他們自己的許可允許使用者在 Amazon Lex V2 中使用視覺交談建立器繪製對話流程允許使用者建立和檢視機器人複本，但不能刪除它們

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon Lex V2 的基於身份的政策示例

依預設，使用者和角色沒有建立或修改 Amazon Lex V2 資源的權限。他們也無法執行任務使用 AWS Management Console, AWS Command Line Interface (AWS CLI)，或 AWS API。若要授與使用者對所需資源執行動作的權限，IAM管理員可以建立IAM策略。然後，系統管理員可以將IAM原則新增至角色，使用者可以擔任這些角色。

若要瞭解如何使用這些範例原則文件來建立以IAM身分識別為基礎的JSON策略，請參閱使用指南中的IAM建立IAM策略。

如需 Amazon Lex V2 定義的動作和資源類型的詳細資訊，包括各ARNs資源類型的格式，請參閱服務授權參考中適用於 Amazon Lex V2 的動作、資源和條件金鑰。

政策最佳實務

以身分識別為基礎的政策可決定某人是否可以在您的帳戶中建立、存取或刪除 Amazon Lex V2 資源。這些動作可能會為您帶來成本 AWS 帳戶。 建立或編輯以身分識別為基礎的原則時，請遵循下列準則和建議：

  • 開始使用 AWS 受管原則並朝著最低權限權限移轉 — 若要開始授與使用者和工作負載的權限，請使用 AWS 授與許多常見使用案例權限的受管理策略。他們是可用的 AWS 帳戶。 我們建議您透過定義來進一步減少使用權限 AWS 針對您的使用案例特定的客戶管理政策。如需詳細資訊，請參閱 AWS 受管理的策略或 AWS 《使用者指南》中針對工作職能的IAM管理策略。

  • 套用最低權限權限 — 當您使用原則設定權限時，IAM只授與執行工作所需的權限。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為最低權限許可。如需有關使用套用權限IAM的詳細資訊，請參閱《使用指南》IAM中的IAM《策略與權限》。

  • 使用IAM策略中的條件進一步限制存取 — 您可以在策略中新增條件，以限制對動作和資源的存取。例如，您可以撰寫政策條件，以指定必須使用傳送所有要求SSL。如果服務動作是透過特定使用條件，您也可以使用條件來授與對服務動作的存取權 AWS 服務，例如， AWS CloudFormation。 如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

  • 使用 IAM Access Analyzer 驗證您的原IAM則，以確保安全和功能性的權限 — IAM Access Analyzer 會驗證新的和現有的原則，以便原則遵循IAM原則語言 (JSON) 和IAM最佳做法。IAMAccess Analyzer 提供超過 100 項原則檢查和可行的建議，協助您撰寫安全且功能正常的原則。如需詳細資訊，請參閱IAM使IAM用指南中的存取分析器原則驗證。

  • 需要多重要素驗證 (MFA) — 如果您的案例需要使IAM用者或 root 使用者 AWS 帳戶，請開啟MFA以獲得額外的安全性。若要在呼叫API作業MFA時需要，請在原則中新增MFA條件。如需詳細資訊，請參閱《IAM使用指南》中的 ＜ 設定MFA受保護的API存取 ＞。

如需有關中最佳作法的詳細資訊IAM，請參閱《IAM使用指南》IAM中的「安全性最佳作法」。

使用 Amazon Lex V2 控制台

若要存取 Amazon Lex V2 主控台，您必須擁有一組最低限度的許可。這些許可必須允許您列出並檢視有關 Amazon Lex V2 資源的詳細資料 AWS 帳戶。 如果您建立的以身分識別為基礎的原則比所需的最低權限更嚴格，則控制台將無法如預期用於具有該原則的實體 (使用者或角色) 運作。

您不需要針對只撥打電話的使用者允許最低主控台權限 AWS CLI 或 AWS API。而是只允許存取符合他們嘗試執行之API作業的動作。

為確保使用者和角色仍然可以使用 Amazon Lex V2 主控台，使用者必須擁有主控台存取權。如需有關建立具有 Console 存取權的使用者的詳細資訊，請參閱在您的 IAM AWSIAM使用者指南中的帳號。

允許使用者將函數新增至機器人

此範例顯示允許IAM使用者將 Amazon Comprehend、情緒分析和 Amazon Kendra 查詢許可新增至 Amazon Lex V2 機器人的政策。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Id1",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
        },
        {
            "Sid": "Id2",
            "Effect": "Allow",
            "Action": "iam:GetRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lexv2.amazonaws.com/AWSServiceRoleForLexV2Bots*"
        }
    ]
}

允許使用者將頻道新增至機器人

此範例是允許IAM使用者將訊息通道新增至機器人的原則。使用者必須先制定此原則，才能在訊息平台上部署 Bot。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Id1",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
        },
        {
            "Sid": "Id2",
            "Effect": "Allow",
            "Action": "iam:GetRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/channels.lexv2.amazonaws.com/AWSServiceRoleForLexV2Channels*"
        }
    ]
}

允許使用者建立和更新機器人

此範例顯示範例原則，允許IAM使用者建立和更新任何機器人。該策略包括在控制台上完成此操作或使用的權限 AWS CLI 或 AWS API.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "lex:CreateBot",
        "lex:UpdateBot".
        "iam:PassRole"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:lex:Region:123412341234:bot/*]
    }
  ]
}

允許使用者使用自動 Chatbot 設計工具

此範例顯示範例原則，允許IAM使用者執行自動 Chatbot 設計工具。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::<customer-bucket>/<bucketName>",
                # Resource should point to the bucket or an explicit folder.
                # Provide this to read the entire bucket
                "arn:aws:s3:::<customer-bucket>/<bucketName>/*",
                # Provide this to read a specifc folder
                "arn:aws:s3:::<customer-bucket>/<bucketName>/<pathFormat>/*"
            ]
        },
        {
            # Use this if your S3 bucket is encrypted with a KMS key.
            "Effect": "Allow", 
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:<Region>:<customerAccountId>:key/<kmsKeyId>"
            ]
    ]
}

允許使用者使用 AWS KMS 用於加密和解密文件的密鑰

此範例顯示範例原則，允許使用IAM者使用 AWS KMS 用於加密和解密資料的客戶管理金鑰。

{
    "Version": "2012-10-17",
    "Id": "sample-policy",
    "Statement": [
        {
            "Sid": "Allow Lex access",
            "Effect": "Allow",
            "Principal": {
                "Service": "lexv2.amazonaws.com"
            },
            "Action": [
                # If the key is for encryption
                "kms:Encrypt",
                "kms:GenerateDataKey"
                # If the key is for decryption
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
   ]
}

允許使用者刪除機器人

此範例顯示允許IAM使用者刪除任何機器人的範例原則。該策略包括在控制台上完成此操作或使用的權限 AWS CLI 或 AWS API.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
          "lex:DeleteBot", 
          "lex:DeleteBotLocale", 
          "lex:DeleteBotAlias", 
          "lex:DeleteIntent", 
          "lex:DeleteSlot", 
          "lex:DeleteSlottype"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:lex:Region:123412341234:bot/*", 
                   "arn:aws:lex:Region:123412341234:bot-alias/*"]
    }
  ]
}

允許使用者與機器人進行對話

此範例顯示範例原則，允許IAM使用者與任何機器人進行對話。該策略包括在控制台上完成此操作或使用的權限 AWS CLI 或 AWS API.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
          "lex:StartConversation", 
          "lex:RecognizeText", 
          "lex:RecognizeUtterance", 
          "lex:GetSession", 
          "lex:PutSession", 
          "lex:DeleteSession"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:lex:Region:123412341234:bot-alias/*"
    }
  ]
}

允許特定使用者管理以資源為基礎的政策

下列範例授與特定使用者管理以資源為基礎之策略的權限。它允許控制台和API訪問與機器人和機器人別名相關聯的策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ResourcePolicyEditor",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/ResourcePolicyEditor"
            },
            "Action": [
                "lex:CreateResourcePolicy",
                "lex:UpdateResourcePolicy",
                "lex:DeleteResourcePolicy",
                "lex:DescribeResourcePolicy"
            ]
        }
    ]
}

允許使用者匯出機器人和機器人語言環境

下列IAM權限原則可讓使用者建立、更新及取得機器人或機器人地區設定的匯出。

{
    "Version": "2012-10-17", 
    "Statement": [ 
        {
            "Action": [ 
                "lex:CreateExport", 
                "lex:UpdateExport",
                "lex:DescribeExport", 
                "lex:DescribeBot",
                "lex:DescribeBotLocale", 
                "lex:ListBotLocales",
                "lex:DescribeIntent", 
                "lex:ListIntents",
                "lex:DescribeSlotType", 
                "lex:ListSlotTypes",
                "lex:DescribeSlot", 
                "lex:ListSlots",
                "lex:DescribeCustomVocabulary"
            ], 
            "Effect": "Allow", 
            "Resource": ["arn:aws:lex:Region:123456789012:bot/*"]
        } 
    ]
}

允許使用者匯出自訂字彙

下列IAM權限原則可讓使用者從機器人地區設定匯出自訂字彙。

{"Version": "2012-10-17", 
    "Statement": [ 
        {"Action": [ 
                "lex:CreateExport", 
                "lex:UpdateExport",
                "lex:DescribeExport", 
                "lex:DescribeCustomVocabulary"
            ], 
            "Effect": "Allow", 
            "Resource": ["arn:aws:lex:Region:123456789012:bot/*"]
        } 
    ]
}

允許使用者匯入機器人和機器人語言環境

下列IAM權限原則可讓使用者匯入機器人或機器人地區設定，並檢查匯入狀態。

{
    "Version": "2012-10-17", 
    "Statement": [ 
        {
            "Action": [ 
                "lex:CreateUploadUrl", 
                "lex:StartImport",
                "lex:DescribeImport",
                "lex:CreateBot",
                "lex:UpdateBot", 
                "lex:DeleteBot",
                "lex:CreateBotLocale",
                "lex:UpdateBotLocale", 
                "lex:DeleteBotLocale",
                "lex:CreateIntent",
                "lex:UpdateIntent", 
                "lex:DeleteIntent",
                "lex:CreateSlotType",
                "lex:UpdateSlotType", 
                "lex:DeleteSlotType",
                "lex:CreateSlot",
                "lex:UpdateSlot", 
                "lex:DeleteSlot",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomVocabulary",
                "iam:PassRole", 
            ], 
            "Effect": "Allow", 
            "Resource": [
                "arn:aws:lex:Region:123456789012:bot/*", 
                "arn:aws:lex:Region:123456789012:bot-alias/*"
            ]
        } 
    ]
}

允許使用者匯入自訂字彙

下列IAM權限原則可讓使用者將自訂字彙匯入機器人地區設定。

{
    "Version": "2012-10-17", 
    "Statement": [ 
        {
            "Action": [ 
                "lex:CreateUploadUrl", 
                "lex:StartImport",
                "lex:DescribeImport",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomVocabulary"
 
            ], 
            "Effect": "Allow", 
            "Resource": [
                "arn:aws:lex:Region:123456789012:bot/*" 
            ]
        } 
    ]
}

允許使用者將機器人從 Amazon Lex 遷移到 Amazon Lex V2

下列IAM權限政策允許使用者開始將機器人從 Amazon Lex 遷移到 Amazon Lex V2。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "startMigration",
            "Effect": "Allow",
            "Action": "lex:StartMigration",
            "Resource": "arn:aws:lex:>Region<:>123456789012<:bot:*"
        },
        {
            "Sid": "passRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::>123456789012<:role/>v2 bot role<"
        },
        {
            "Sid": "allowOperations",
            "Effect": "Allow",
            "Action": [
                "lex:CreateBot",
                "lex:CreateIntent",
                "lex:UpdateSlot",
                "lex:DescribeBotLocale",
                "lex:UpdateBotAlias",
                "lex:CreateSlotType",
                "lex:DeleteBotLocale",
                "lex:DescribeBot",
                "lex:UpdateBotLocale",
                "lex:CreateSlot",
                "lex:DeleteSlot",
                "lex:UpdateBot",
                "lex:DeleteSlotType",
                "lex:DescribeBotAlias",
                "lex:CreateBotLocale",
                "lex:DeleteIntent",
                "lex:StartImport",
                "lex:UpdateSlotType",
                "lex:UpdateIntent",
                "lex:DescribeImport",
                "lex:CreateCustomVocabulary",
                "lex:UpdateCustomVocabulary",
                "lex:DeleteCustomvocabulary",
                "lex:DescribeCustomVocabulary",
                "lex:DescribeCustomVocabularyMetadata"
            ],
            "Resource": [
                "arn:aws:lex:>Region<:>123456789012<:bot/*",
                "arn:aws:lex:>Region<:>123456789012<:bot-alias/*/*"
            ]
        },
        {
            "Sid": "showBots",
            "Effect": "Allow",
            "Action": [
                "lex:CreateUploadUrl",
                "lex:ListBots"
            ],
            "Resource": "*"
        }
    ]
}

允許使用者檢視他們自己的許可

此範例顯示如何建立原則，讓使IAM用者檢視附加至其使用者身分識別的內嵌和受管理原則。此原則包含在主控台上完成此動作的權限，或以程式設計方式使用 AWS CLI 或 AWS API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

允許使用者在 Amazon Lex V2 中使用視覺交談建立器繪製對話流程

下列IAM權限原則可讓使用者在 Amazon Lex V2 中繪製與視覺交談產生器的對話流程。

{
    "Version": "2012-10-17",
    "Statement": [
        {"Action": [ 
                "lex:UpdateIntent ", 
                "lex:DescribeIntent "
            ], 
            "Effect": "Allow", 
            "Resource": ["arn:aws:lex:Region:123456789012:bot/*"]
        } 
    ]
}

允許使用者建立和檢視機器人複本，但不能刪除它們

您可以將下列權限附加至IAM角色，以僅允許該角色建立和檢視機器人複本。藉由省略lex:DeleteBotReplica，您可以防止角色刪除機器人複本。如需詳細資訊，請參閱在 Lex V2 中複寫機器人和管理機器人複本的權限。

{
    "Version": "2012-10-17",
    "Statement": [
      {
         "Effect": "Allow",
         "Action": [
            "lex:CreateBotReplica",
            "lex:DescribeBotReplica",
            "lex:ListBotReplica",
            "lex:ListBotVersionReplicas",
            "lex:ListBotAliasReplicas",
         ],
         "Resource": [
             "arn:aws:lex:*:*:bot/*",
             "arn:aws:lex:*:*:bot-alias/*"
         ]
    	},
      {
         "Effect": "Allow",
         "Action": [
             "iam:GetRole" 
         ],
         "Resource": [
             "arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
         ]
      },
      {
         "Effect": "Allow",
         "Action": [                
             "iam:CreateServiceLinkedRole",                
         ],
         "Resource": [
             "arn:aws:iam::*:role/aws-service-role/replication.lexv2.amazonaws.com/AWSServiceRoleForLexV2Replication*"
         ],
         "Condition": {
             "StringEquals": {
                 "iam:AWSServiceName": "lexv2.amazonaws.com"
             }
         } 
      }
    ]            
}