AWS SDK for Java 1.x 已end-of-support
本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
存取控制政策
AWS 存取控制原則可讓您針對 AWS 資源指定精細的存取控制。存取控制原則是由陳述式集合所組成,這些陳述式採用下列格式:
帳號 A 有權在適用條件 D 的資源 C 上執行動作 B。
其中:
-
A 是主體-正在 AWS 帳戶 提出要求以存取或修改其中一個 AWS 資源的主體。
-
B 是動作-訪問或修改 AWS 資源的方式,例如向 Amazon SQS 隊列發送消息或將對象存儲在存儲 Amazon S3 桶中。
-
C 是資源-主 AWS 體想要訪問的實體,例如 Amazon SQS 隊列或存儲在其中的對象 Amazon S3。
-
D 是一組條件-可選限制,用於指定何時允許或拒絕主參與者存取您的資源的存取權限。許多表現條件都可用,有些特定於每個服務。例如,您可以使用日期條件,只允許在特定時間之後或之前存取資源。
Amazon S3 範例
下列範例示範一項政策,允許任何人存取讀取值區中的所有物件,但將上傳物件至該值區的存取權限限制為兩個特定 AWS 帳戶 s (除了值區擁有者的帳戶之外)。
Statement allowPublicReadStatement = new Statement(Effect.Allow) .withPrincipals(Principal.AllUsers) .withActions(S3Actions.GetObject) .withResources(new S3ObjectResource(myBucketName, "*")); Statement allowRestrictedWriteStatement = new Statement(Effect.Allow) .withPrincipals(new Principal("123456789"), new Principal("876543210")) .withActions(S3Actions.PutObject) .withResources(new S3ObjectResource(myBucketName, "*")); Policy policy = new Policy() .withStatements(allowPublicReadStatement, allowRestrictedWriteStatement); AmazonS3 s3 = AmazonS3ClientBuilder.defaultClient(); s3.setBucketPolicy(myBucketName, policy.toJson());
Amazon SQS 範例
政策的一個常見用途是授權 Amazon SQS 佇列接收來自 Amazon SNS 主題的訊息。
Policy policy = new Policy().withStatements( new Statement(Effect.Allow) .withPrincipals(Principal.AllUsers) .withActions(SQSActions.SendMessage) .withConditions(ConditionFactory.newSourceArnCondition(myTopicArn))); Map queueAttributes = new HashMap(); queueAttributes.put(QueueAttributeName.Policy.toString(), policy.toJson()); AmazonSQS sqs = AmazonSQSClientBuilder.defaultClient(); sqs.setQueueAttributes(new SetQueueAttributesRequest(myQueueUrl, queueAttributes));
Amazon SNS 示例
某些服務提供額外的條件,可以在政策中使用。SNSAmazon 根據訂閱SNS主題的請求 (例如電子郵件、、 Amazon SQS) 和端點 (例如 HTTPHTTPS,電子郵件地址等 Amazon SQS ARN)URL,提供允許或拒絕訂閱主題的條件。
Condition endpointCondition = SNSConditionFactory.newEndpointCondition("*@mycompany.com"); Policy policy = new Policy().withStatements( new Statement(Effect.Allow) .withPrincipals(Principal.AllUsers) .withActions(SNSActions.Subscribe) .withConditions(endpointCondition)); AmazonSNS sns = AmazonSNSClientBuilder.defaultClient(); sns.setTopicAttributes( new SetTopicAttributesRequest(myTopicArn, "Policy", policy.toJson()));