Políticas administradas por AWS para Amazon Connect

Para agregar permisos a usuarios, grupos y roles, es más eficiente utilizar las políticas administradas por AWS que escribirlas uno mismo. Se necesita tiempo y experiencia para crear políticas administradas por el cliente de IAM que proporcionen a su equipo solo los permisos necesarios. Para comenzar rápidamente, puede utilizar políticas administradas de AWS. Estas políticas cubren casos de uso comunes y están disponibles en su cuenta de AWS. Para obtener más información sobre las políticas administradas por AWS, consulte Políticas administradas por AWS en la Guía del usuario de IAM.

Los servicios de AWS mantienen y actualizan las políticas administradas por AWS. No puede cambiar los permisos en las políticas administradas de AWS. En ocasiones, los servicios agregan permisos adicionales a una política administrada por AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada por AWScuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no quitan los permisos de una política administrada de AWS, por lo tanto, las actualizaciones de las políticas no deteriorarán los permisos existentes.

Además, AWS admite políticas administradas para funciones de trabajo que abarcan varios servicios. Por ejemplo, la política administrada por AWS ReadOnlyAccess proporciona acceso de solo lectura a todos los servicios y los recursos de AWS. Cuando un servicio lanza una nueva característica, AWS agrega permisos de solo lectura para las operaciones y los recursos nuevos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte Políticas administradas de AWS para funciones de trabajo en la Guía del usuario de IAM.

Política administrada por AWS: AmazonConnect_FullAccess

Para permitir el acceso completo de lectura y escritura a Amazon Connect, debe asociar dos políticas a sus usuarios, grupos o roles de IAM. Asocie la política AmazonConnect_FullAccess y una política personalizada al siguiente contenido:

Política personalizada

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "AttachAnyPolicyToAmazonConnectRole", 
            "Effect": "Allow", 
            "Action": "iam:PutRolePolicy", 
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*" 
        } 
    ] 
} 

Política AmazonConnect_FullAccess

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect:*",
                "ds:CreateAlias",
                "ds:AuthorizeApplication",
                "ds:CreateIdentityPoolDirectory",
                "ds:DeleteDirectory",
                "ds:DescribeDirectories",
                "ds:UnauthorizeApplication",
                "firehose:DescribeDeliveryStream",
                "firehose:ListDeliveryStreams",
                "kinesis:DescribeStream",
                "kinesis:ListStreams",
                "kms:DescribeKey",
                "kms:ListAliases",
                "lex:GetBots",
                "lex:ListBots",
                "lex:ListBotAliases",
                "logs:CreateLogGroup",
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets",
                "lambda:ListFunctions",
                "ds:CheckAlias",
                "profile:ListAccountIntegrations",
                "profile:GetDomain",
                "profile:ListDomains",
                "profile:GetProfileObjectType",
                "profile:ListProfileObjectTypeTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "profile:AddProfileKey",
                "profile:CreateDomain",
                "profile:CreateProfile",
                "profile:DeleteDomain",
                "profile:DeleteIntegration",
                "profile:DeleteProfile",
                "profile:DeleteProfileKey",
                "profile:DeleteProfileObject",
                "profile:DeleteProfileObjectType",
                "profile:GetIntegration",
                "profile:GetMatches",
                "profile:GetProfileObjectType",
                "profile:ListIntegrations",
                "profile:ListProfileObjects",
                "profile:ListProfileObjectTypes",
                "profile:ListTagsForResource",
                "profile:MergeProfiles",
                "profile:PutIntegration",
                "profile:PutProfileObject",
                "profile:PutProfileObjectType",
                "profile:SearchProfiles",
                "profile:TagResource",
                "profile:UntagResource",
                "profile:UpdateDomain",
                "profile:UpdateProfile"
            ],
            "Resource": "arn:aws:profile:*:*:domains/amazon-connect-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl"
            ],
            "Resource": "arn:aws:s3:::amazon-connect-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "servicequotas:GetServiceQuota"
            ],
            "Resource": "arn:aws:servicequotas:*:*:connect/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "connect.amazonaws.com"
                }
            }
        },

        {
            "Effect": "Allow",
            "Action": "iam:DeleteServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/profile.amazonaws.com/*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "profile.amazonaws.com"
                }
            }
        }
    ]
}            

Para permitir que un usuario de IAM cree una instancia, asegúrese de que dispone de los permisos concedidos por la política AmazonConnect_FullAccess.

Cuando utilice la política AmazonConnect_FullAccess, tenga en cuenta lo siguiente:

Para obtener más información y permisos detallados, consulte Permisos necesarios para utilizar políticas de IAM personalizadas para administrar el acceso al sitio web de administración de Amazon Connect.

Política administrada por AWS: AmazonConnectReadOnlyAccess

Para permitir el acceso de solo lectura, debe asociar únicamente la política AmazonConnectReadOnlyAccess.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "AllowConnectReadOnly",
         "Effect": "Allow",
         "Action": [
            "connect:Get*",
            "connect:Describe*",
            "connect:List*",
            "ds:DescribeDirectories"
         ],
         "Resource": "*"
      },
      {
         "Sid": "DenyConnectEmergencyAccess",
         "Effect": "Deny",
         "Action": "connect:AdminGetEmergencyAccessToken",
         "Resource": "*"
      }
   ]
}  

Política administrada por AWS: AmazonConnectServiceLinkedrolePolicy

La política de permisos del rol AmazonConnectServiceLinkedRolePolicy permite que Amazon Connect realice las siguientes acciones en los recursos especificados. A medida que se habilitan las características adicionales en Amazon Connect, se agregan permisos adicionales para el rol vinculado al servicio AWSServiceRoleForAmazonConnect para acceder a los recursos asociados con estas características:

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "AllowConnectActions",
			"Effect": "Allow",
			"Action": [
				"connect:*"
			],
			"Resource": [
				"*"
			]
		},
		{
			"Sid": "AllowDeleteSLR",
			"Effect": "Allow",
			"Action": [
				"iam:DeleteRole"
			],
			"Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect_*"
		},
		{
			"Sid": "AllowS3ObjectForConnectBucket",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:GetObjectAcl",
				"s3:PutObject",
				"s3:PutObjectAcl",
				"s3:DeleteObject"
			],
			"Resource": [
				"arn:aws:s3:::amazon-connect-*/*"
			]
		},
		{
			"Sid": "AllowGetBucketMetadataForConnectBucket",
			"Effect": "Allow",
			"Action": [
				"s3:GetBucketLocation",
				"s3:GetBucketAcl"
			],
			"Resource": [
				"arn:aws:s3:::amazon-connect-*"
			]
		},
		{
			"Sid": "AllowConnectLogGroupAccess",
			"Effect": "Allow",
			"Action": [
				"logs:CreateLogStream",
				"logs:DescribeLogStreams",
				"logs:PutLogEvents"
			],
			"Resource": [
				"arn:aws:logs:*:*:log-group:/aws/connect/*:*"
			]
		},
		{
			"Sid": "AllowListLexBotAccess",
			"Effect": "Allow",
			"Action": [
				"lex:ListBots",
				"lex:ListBotAliases"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowCustomerProfilesForConnectDomain",
			"Effect": "Allow",
			"Action": [
				"profile:SearchProfiles",
				"profile:CreateProfile",
				"profile:UpdateProfile",
				"profile:AddProfileKey",
				"profile:ListProfileObjectTypes",
				"profile:ListCalculatedAttributeDefinitions",
				"profile:ListCalculatedAttributesForProfile",
				"profile:GetDomain",
				"profile:ListIntegrations",
				"profile:ListSegmentDefinitions",
				"profile:ListProfileAttributeValues",
				"profile:CreateSegmentEstimate",
				"profile:GetSegmentEstimate",
				"profile:BatchGetProfile",
				"profile:BatchGetCalculatedAttributeForProfile",
				"profile:GetSegmentMembership"
			],
			"Resource": "arn:aws:profile:*:*:domains/amazon-connect-*"
		},
		{
			"Sid": "AllowReadPermissionForCustomerProfileObjects",
			"Effect": "Allow",
			"Action": [
				"profile:ListProfileObjects",
				"profile:GetProfileObjectType",
				"profile:ListObjectTypeAttributes"
			],
			"Resource": [
				"arn:aws:profile:*:*:domains/amazon-connect-*/object-types/*"
			]
		},
		{
			"Sid": "AllowListIntegrationForCustomerProfile",
			"Effect": "Allow",
			"Action": [
				"profile:ListAccountIntegrations"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowReadForCustomerProfileObjectTemplates",
			"Effect": "Allow",
			"Action": [
				"profile:ListProfileObjectTypeTemplates",
				"profile:GetProfileObjectTypeTemplate"
			],
			"Resource": "arn:aws:profile:*:*:/templates*"
		},
		{
			"Sid": "AllowWisdomForConnectEnabledTaggedResources",
			"Effect": "Allow",
			"Action": [
				"wisdom:CreateContent",
				"wisdom:DeleteContent",
				"wisdom:CreateKnowledgeBase",
				"wisdom:GetAssistant",
				"wisdom:GetKnowledgeBase",
				"wisdom:GetContent",
				"wisdom:GetRecommendations",
				"wisdom:GetSession",
				"wisdom:NotifyRecommendationsReceived",
				"wisdom:QueryAssistant",
				"wisdom:StartContentUpload",
				"wisdom:UpdateContent",
				"wisdom:UntagResource",
				"wisdom:TagResource",
				"wisdom:CreateSession",
				"wisdom:CreateQuickResponse",
				"wisdom:GetQuickResponse",
				"wisdom:SearchQuickResponses",
				"wisdom:StartImportJob",
				"wisdom:GetImportJob",
				"wisdom:ListImportJobs",
				"wisdom:ListQuickResponses",
				"wisdom:UpdateQuickResponse",
				"wisdom:DeleteQuickResponse",
				"wisdom:PutFeedback",
				"wisdom:ListContentAssociations",
				"wisdom:CreateMessageTemplate",
				"wisdom:UpdateMessageTemplate",
				"wisdom:UpdateMessageTemplateMetadata",
				"wisdom:GetMessageTemplate",
				"wisdom:DeleteMessageTemplate",
				"wisdom:ListMessageTemplates",
				"wisdom:SearchMessageTemplates",
				"wisdom:ActivateMessageTemplate",
				"wisdom:DeactivateMessageTemplate",
				"wisdom:CreateMessageTemplateVersion",
				"wisdom:ListMessageTemplateVersions",
				"wisdom:CreateMessageTemplateAttachment",
				"wisdom:DeleteMessageTemplateAttachment",
				"wisdom:RenderMessageTemplate"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceTag/AmazonConnectEnabled": "True"
				}
			}
		},
		{
			"Sid": "AllowListOperationForWisdom",
			"Effect": "Allow",
			"Action": [
				"wisdom:ListAssistants",
				"wisdom:ListKnowledgeBases"
			],
			"Resource": "*"
		},
		{
			"Sid": "AllowCustomerProfilesCalculatedAttributesForConnectDomain",
			"Effect": "Allow",
			"Action": [
				"profile:GetCalculatedAttributeForProfile",
				"profile:CreateCalculatedAttributeDefinition",
				"profile:DeleteCalculatedAttributeDefinition",
				"profile:GetCalculatedAttributeDefinition",
				"profile:UpdateCalculatedAttributeDefinition"
			],
			"Resource": [
				"arn:aws:profile:*:*:domains/amazon-connect-*/calculated-attributes/*"
			]
		},
		{
			"Sid": "AllowCustomerProfilesSegmentationForConnectDomain",
			"Effect": "Allow",
			"Action": [
				"profile:CreateSegmentDefinition",
				"profile:GetSegmentDefinition",
				"profile:DeleteSegmentDefinition",
				"profile:CreateSegmentSnapshot",
				"profile:GetSegmentSnapshot"
			],
			"Resource": [
				"arn:aws:profile:*:*:domains/amazon-connect-*/segment-definitions/*"
			]
		},
		{
			"Sid": "AllowPutMetricsForConnectNamespace",
			"Effect": "Allow",
			"Action": "cloudwatch:PutMetricData",
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"cloudwatch:namespace": "AWS/Connect"
				}
			}
		},
		{
			"Sid": "AllowSMSVoiceOperationsForConnect",
			"Effect": "Allow",
			"Action": [
				"sms-voice:SendTextMessage",
				"sms-voice:DescribePhoneNumbers"
			],
			"Resource": "arn:aws:sms-voice:*:*:phone-number/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "AllowCognitoForConnectEnabledTaggedResources",
			"Effect": "Allow",
			"Action": [
				"cognito-idp:DescribeUserPool",
				"cognito-idp:ListUserPoolClients"
			],
			"Resource": "arn:aws:cognito-idp:*:*:userpool/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceTag/AmazonConnectEnabled": "True"
				}
			}
		},
		{
			"Sid": "AllowWritePermissionForCustomerProfileObjects",
			"Effect": "Allow",
			"Action": [
				"profile:PutProfileObject"
			],
			"Resource": [
				"arn:aws:profile:*:*:domains/amazon-connect-*/object-types/*"
			]
		},
		{
			"Sid": "AllowChimeSDKVoiceConnectorGetOperationForConnect",
			"Effect": "Allow",
			"Action": [
				"chime:GetVoiceConnector"
			],
			"Resource": "arn:aws:chime:*:*:vc/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceTag/AmazonConnectEnabled": "True",
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
		},
		{
			"Sid": "AllowChimeSDKVoiceConnectorListOperationForConnect",
			"Effect": "Allow",
			"Action": [
				"chime:ListVoiceConnectors"
			],
			"Resource": "arn:aws:chime:*:*:vc/*",
			"Condition": {
				"StringEquals": {
					"aws:ResourceAccount": "${aws:PrincipalAccount}"
				}
			}
	     }
	]
}  

Política administrada por AWS: AmazonConnectCampaignsServiceLinkedRolePolicy

La política de permisos de rol AmazonConnectCampaignsServiceLinkedRolePolicy permite a las campañas externas de Amazon Connect realizar las siguientes acciones en los recursos especificados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect-campaigns:ListCampaigns"
            ],
            "Resource" : "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "connect:BatchPutContact",
                "connect:StopContact"
            ],
            "Resource": "arn:aws:connect:*:*:instance/*"
    ]
}   

Política administrada por AWS: AmazonConnectVoiceIDFullAccess

Para permitir el acceso completo a Amazon Connect Voice ID, debe asociar dos políticas a sus usuarios, grupos o roles. Asocie la política AmazonConnectVoiceIDFullAccess y los siguientes contenidos de política personalizados para acceder a Voice ID a través del sitio web de administración de Amazon Connect:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "AttachAnyPolicyToAmazonConnectRole", 
            "Effect": "Allow", 
            "Action": "iam:PutRolePolicy", 
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*" 
        },
        {
            "Effect": "Allow",
            "Action": [
                "connect:CreateIntegrationAssociation",
                "connect:DeleteIntegrationAssociation",
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "connect.amazonaws.com"
                }
            }
        }
    ] 
} 

La política manual configura lo siguiente:

Dado que no existe una opción de cifrado predeterminada, para utilizar su clave administrada por el cliente con su Amazon Connect Voice ID, deben permitirse las siguientes operaciones de API en la política de claves. Además, debe agregar estos permisos en la clave pertinente. No se incluyen en la política administrada.

Para obtener más información sobre la creación de dominios y claves de KMS, consulte Activación de Voice ID en Amazon Connect y Cifrado en reposo en Amazon Connect.

Política administrada por AWS: CustomerProfilesServiceLinkedRolePolicy

Para permitir que Perfiles de clientes de Amazon Connect publique métricas de CloudWatch en su cuenta de AWS, debe asociar la política administrada por CustomerProfilesServiceLinkedRolePolicy:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/CustomerProfiles"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole"
            ],
            "Resource": "arn:aws:iam:::role/aws-service-role/profile.amazonaws.com/AWSServiceRoleForProfile_*"
        }
    ]
}         

Política administrada por AWS: AmazonConnectSynchronizationServiceRolePolicy

La política de permisos AmazonConnectSynchronizationServiceRolePolicy permite a la sincronización administrada por Amazon Connect realizar las siguientes acciones de lectura, escritura, actualización y eliminación en los recursos especificados. A medida que se habilita la sincronización de recursos para más recursos, se agregan permisos adicionales al rol vinculado al servicio AWSServiceRoleForAmazonConnectSynchronization para acceder a estos recursos.

La política de permisos AmazonConnectSynchronizationServiceRolePolicy se agrupa en los siguientes conjuntos de permisos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowConnectActions",
            "Effect": "Allow",
            "Action": [
                "connect:CreateUser*",
                "connect:UpdateUser*",
                "connect:DeleteUser*",
                "connect:DescribeUser*",
                "connect:ListUser*",
                "connect:CreateRoutingProfile",
                "connect:UpdateRoutingProfile*",
                "connect:DeleteRoutingProfile",
                "connect:DescribeRoutingProfile",
                "connect:ListRoutingProfile*",
                "connect:CreateAgentStatus",
                "connect:UpdateAgentStatus",
                "connect:DescribeAgentStatus",
                "connect:ListAgentStatuses",
                "connect:CreateQuickConnect",
                "connect:UpdateQuickConnect*",
                "connect:DeleteQuickConnect",
                "connect:DescribeQuickConnect",
                "connect:ListQuickConnects",
                "connect:CreateHoursOfOperation",
                "connect:UpdateHoursOfOperation",
                "connect:DeleteHoursOfOperation",
                "connect:DescribeHoursOfOperation",
                "connect:ListHoursOfOperations",
                "connect:CreateQueue",
                "connect:UpdateQueue*",
                "connect:DeleteQueue",
                "connect:DescribeQueue",
                "connect:ListQueue*",
                "connect:CreatePrompt",
                "connect:UpdatePrompt",
                "connect:DeletePrompt",
                "connect:DescribePrompt",
                "connect:ListPrompts",
                "connect:GetPromptFile",
                "connect:CreateSecurityProfile",
                "connect:UpdateSecurityProfile",
                "connect:DeleteSecurityProfile",
                "connect:DescribeSecurityProfile",
                "connect:ListSecurityProfile*",
                "connect:CreateContactFlow*",
                "connect:UpdateContactFlow*",
                "connect:DeleteContactFlow*",
                "connect:DescribeContactFlow*",
                "connect:ListContactFlow*",
                "connect:BatchGetFlowAssociation",
                "connect:CreatePredefinedAttribute",
                "connect:UpdatePredefinedAttribute",
                "connect:DeletePredefinedAttribute",
                "connect:DescribePredefinedAttribute",
                "connect:ListPredefinedAttributes",
                "connect:ListTagsForResource",
                "connect:TagResource",
                "connect:UntagResource",
                "connect:ListTrafficDistributionGroups",
                "connect:ListPhoneNumbersV2",
                "connect:UpdatePhoneNumber",
                "connect:DescribePhoneNumber",
                "connect:AssociatePhoneNumberContactFlow",
                "connect:DisassociatePhoneNumberContactFlow",
                "connect:AssociateRoutingProfileQueues",
                "connect:DisassociateQueueQuickConnects",
                "connect:AssociateQueueQuickConnects",
                "connect:DisassociateUserProficiencies",
                "connect:AssociateUserProficiencies",
                "connect:DisassociateRoutingProfileQueues",
                "connect:CreateAuthenticationProfile",
                "connect:UpdateAuthenticationProfile",
                "connect:DescribeAuthenticationProfile",
                "connect:ListAuthenticationProfiles",
                "connect:CreateHoursOfOperationOverride",
                "connect:UpdateHoursOfOperationOverride",
                "connect:DeleteHoursOfOperationOverride",
                "connect:DescribeHoursOfOperationOverride",
                "connect:ListHoursOfOperationOverrides"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowPutMetricsForConnectNamespace",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/Connect"
                }
            }
        }
    ]
}

Actualizaciones de Amazon Connect a las políticas administradas por AWS

Es posible consultar los detalles sobre las actualizaciones de las políticas administradas por AWS para Amazon Connect debido a que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de Historial de documentos de Amazon Connect.