使用身分驗證政策控制對 VPC Lattice 服務的存取

VPC Lattice 身分驗證政策是您連接到服務網路或服務的 IAM 政策文件，以控制指定的委託人是否可以存取一組服務或特定服務。您可以將一個身分驗證政策連接到您要控制存取的每個服務網路或服務。

驗證政策與 IAM 身分型政策不同。IAM 身分型政策會連接到 IAM 使用者、群組或角色，並定義這些身分可以對哪些資源執行哪些動作。驗證政策會連接到 服務和服務網路。若要成功授權，身分驗證政策和身分型政策都需要有明確的允許陳述式。如需詳細資訊，請參閱授權的運作方式。

您可以使用 AWS CLI 和 主控台來檢視、新增、更新或移除 服務和服務網路上的身分驗證政策。當您新增、更新或移除身分驗證政策時，可能需要幾分鐘的時間才能準備就緒。使用 時 AWS CLI，請確定您位於正確的區域。您可以變更設定檔的預設區域，或搭配 命令使用 --region 參數。

若要開始使用身分驗證政策，請依照程序建立套用至服務網路的身分驗證政策。如需您不希望套用至其他服務的更嚴格許可，您可以選擇在個別服務上設定身分驗證政策。

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

如果您啟用需要對服務進行驗證請求的身分驗證政策，對該服務的任何請求都必須包含使用 Signature 第 4 版 (SigV4) 計算的有效請求簽章。如需詳細資訊，請參閱Amazon VPC Lattice 的 SIGv4 驗證請求。

驗證政策中的常見元素

VPC Lattice 驗證政策是使用與 IAM 政策相同的語法來指定。如需詳細資訊，請參閱《IAM 使用者指南》中的身分型政策和資源型政策。

驗證政策包含下列元素：

當您建立和管理身分驗證政策時，建議您使用 IAM 政策產生器。

需求

JSON 中的政策不得包含換行或空白行。

驗證政策的資源格式

您可以透過建立身分驗證政策來限制對特定資源的存取，該政策使用相符的結構描述搭配<serviceARN>/<path>模式和 Resource元素的程式碼，如下列範例所示。

使用下列 Amazon Resource Name (ARN) 資源格式<serviceARN>：

arn:aws:vpc-lattice:region:account-id:service/service-id

例如：

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

可用於身分驗證政策的條件索引鍵

身分驗證政策的條件元素中的條件索引鍵可以進一步控制存取。這些條件索引鍵會根據通訊協定以及請求是使用 Signature 第 4 版 (SigV4) 還是匿名簽署來進行評估。條件金鑰名稱有區分大小寫。

AWS 提供全域條件金鑰，您可以用來控制存取，例如 aws:PrincipalOrgID和 aws:SourceIp。若要查看 AWS 全域條件索引鍵的清單，請參閱《IAM 使用者指南》中的AWS 全域條件內容索引鍵。

下列故事列出 VPC Lattice 條件索引鍵。如需詳細資訊，請參閱《服務授權參考》中的 Amazon VPC Lattice Services 的條件金鑰。

匿名 （未驗證） 主體

匿名主體是未使用 Signature 第 4 版 (SigV4) 簽署其 AWS 請求的發起人，且位於連接到服務網路的 VPC 內。如果身分驗證政策允許，匿名主體可以對服務網路中的服務提出未經驗證的請求。

驗證政策範例

以下是要求已驗證主體提出請求的身分驗證政策範例。

所有範例都使用 us-west-2區域，並包含虛構的帳戶 IDs。

範例 1：限制特定 AWS 組織對 服務的存取

下列身分驗證政策範例授予許可給任何已驗證的請求，以存取政策適用的服務網路中的任何服務。不過，請求必須來自屬於 條件中指定 AWS 組織的委託人。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "aws:PrincipalOrgID": [ 
                  "o-123456example"
               ]
            }
         }
      }
   ]
}

範例 2：限制特定 IAM 角色對服務的存取

下列身分驗證政策範例會授予許可給任何使用 IAM 角色對 Resource元素中指定的服務rates-client提出 HTTP GET 請求的已驗證請求。Resource 元素中的資源與附加政策的服務相同。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": [
               "arn:aws:iam::123456789012:role/rates-client"
            ]
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": [
            "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*"
         ],
         "Condition": {
            "StringEquals": {
               "vpc-lattice-svcs:RequestMethod": "GET"
            }
         }
      }
   ]
}

範例 3：限制特定 VPC 中已驗證主體對 服務的存取

下列身分驗證政策範例僅允許來自 VPC 中 VPC ID 為 之主體的已驗證請求vpc-1a2b3c4d。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringNotEquals": {
               "aws:PrincipalType": "Anonymous"
            },
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpc": "vpc-1a2b3c4d"
            }
         }
      }
   ]
}

授權的運作方式

當 VPC Lattice 服務收到請求時， AWS 強制執行程式碼會一起評估所有相關許可政策，以決定是否授權或拒絕請求。它會評估授權期間在請求內容中適用的所有 IAM 身分型政策和身分驗證政策。根據預設，當身分驗證類型為 時，所有請求都會隱含拒絕AWS_IAM。所有相關政策的明確允許會覆寫預設值。

授權包括：

圖表顯示授權工作流程。提出請求時，相關政策會允許或拒絕對指定服務的請求存取。