Menggunakan kebijakan berbasis identitas dengan Amazon SNS

Amazon Simple Notification Service terintegrasi dengan AWS Identity and Access Management (IAM) sehingga Anda dapat menentukan SNS tindakan Amazon mana yang Akun AWS dapat dilakukan pengguna dengan SNS sumber daya Amazon. Anda dapat menentukan topik tertentu dalam kebijakan. Misalnya, Anda dapat menggunakan variabel saat membuat IAM kebijakan yang memberikan izin kepada pengguna tertentu di organisasi Anda untuk menggunakan Publish tindakan dengan topik tertentu di organisasi Anda Akun AWS. Untuk informasi selengkapnya, lihat Variabel Kebijakan dalam IAM panduan Menggunakan.

Untuk contoh kebijakan yang mencakup SNS tindakan dan sumber daya Amazon, lihatContoh kebijakan untuk Amazon SNS.

IAMdan SNS kebijakan Amazon bersama-sama

Anda menggunakan IAM kebijakan untuk membatasi akses pengguna ke SNS tindakan dan topik Amazon. IAMKebijakan dapat membatasi akses hanya untuk pengguna dalam AWS akun Anda, bukan untuk yang lain Akun AWS.

Anda menggunakan SNS kebijakan Amazon dengan topik tertentu untuk membatasi siapa yang dapat bekerja dengan topik itu (misalnya, siapa yang dapat mempublikasikan pesan ke sana, siapa yang dapat berlangganan, dll.). SNSKebijakan Amazon dapat memberikan akses ke orang lain Akun AWS, atau kepada pengguna di dalam milik Anda Akun AWS.

Untuk memberikan izin kepada pengguna untuk SNS topik Amazon, Anda dapat menggunakan IAM kebijakan, SNS kebijakan Amazon, atau keduanya. Umumnya, Anda dapat mencapai hasil yang sama dengan baik. Misalnya, diagram berikut menunjukkan IAM kebijakan dan SNS kebijakan Amazon yang setara. IAMKebijakan ini memungkinkan SNS Subscribe tindakan Amazon untuk topik yang disebut topic_xyz dalam IAM Kebijakan Anda Akun AWS dilampirkan ke pengguna Bob dan Susan (yang berarti bahwa Bob dan Susan memiliki izin yang dinyatakan dalam kebijakan). SNSKebijakan Amazon juga memberikan izin kepada Bob dan Susan Subscribe untuk mengakses topic_xyz.

Ada satu perbedaan antara AWS IAM dan SNS kebijakan Amazon: Sistem SNS kebijakan Amazon memungkinkan Anda memberikan izin kepada yang lain Akun AWS, sedangkan IAM kebijakan tidak.

Terserah Anda bagaimana Anda menggunakan kedua sistem bersama-sama untuk mengelola izin Anda, berdasarkan kebutuhan Anda. Contoh berikut menunjukkan cara sistem dua kebijakan bekerja sama.

contoh 1

Dalam contoh ini, IAM kebijakan dan SNS kebijakan Amazon berlaku untuk Bob. IAMKebijakan tersebut memberinya izin untuk Subscribe topik apa pun, sedangkan SNS kebijakan Amazon memberinya izin untuk menggunakan Publish topik tertentu (topic_xyz). Akun AWS Diagram berikut menggambarkan konsep.

Jika Bob mengirim permintaan untuk berlangganan topik apa pun di AWS akun, IAM kebijakan tersebut akan memungkinkan tindakan tersebut. Jika Bob mengirim permintaan untuk mempublikasikan pesan ke topic_xyz, SNS kebijakan Amazon akan mengizinkan tindakan tersebut.

contoh 2

Dalam contoh ini, kita mengembangkan contoh 1 (ada dua kebijakan yang diterapkan pada Bob). Katakanlah bahwa Bob memublikasikan pesan ke topic_xyz yang seharusnya tidak dia lakukan, jadi Anda ingin sepenuhnya menghapus kemampuannya memublikasikan ke topik. Hal termudah untuk dilakukan adalah menambahkan IAM kebijakan yang menolaknya mengakses Publish tindakan pada semua topik. Kebijakan ketiga ini mengesampingkan SNS kebijakan Amazon yang awalnya memberinya izin untuk mempublikasikan ke topic_xyz, karena penolakan eksplisit selalu mengesampingkan izin (untuk informasi lebih lanjut tentang logika evaluasi kebijakan, lihat). Logika evaluasi Diagram berikut menggambarkan konsep.

Untuk contoh kebijakan yang mencakup SNS tindakan dan sumber daya Amazon, lihatContoh kebijakan untuk Amazon SNS. Untuk informasi lebih lanjut tentang menulis SNS kebijakan Amazon, buka dokumentasi teknis untuk Amazon SNS.

ARNFormat SNS sumber daya Amazon

Untuk AmazonSNS, topik adalah satu-satunya jenis sumber daya yang dapat Anda tentukan dalam kebijakan. Berikut ini adalah format Amazon Resource Name (ARN) untuk topik.

arn:aws:sns:region:account_ID:topic_name

Untuk informasi lebih lanjut tentangARNs, buka Panduan IAM Pengguna. ARNs

arn:aws:sns:us-east-2:123456789012:MyTopic

arn:aws:sns:*:123456789012:MyTopic

Anda dapat menggunakan wildcard * dan ? dalam nama topik. Sebagai contoh, yang berikut ini dapat merujuk pada semua topik yang dibuat oleh Bob yang telah dia awali dengan bob_.

arn:aws:sns:*:123456789012:bob_*

Sebagai kenyamanan bagi Anda, saat Anda membuat topik, Amazon SNS mengembalikan topik sebagai tanggapan. ARN

SNSAPITindakan Amazon

Dalam IAM kebijakan, Anda dapat menentukan tindakan apa pun yang SNS ditawarkan Amazon. Namun, Unsubscribe tindakan ConfirmSubscription dan tindakan tidak memerlukan otentikasi, yang berarti bahwa meskipun Anda menentukan tindakan tersebut dalam kebijakan, tidak IAM akan membatasi akses pengguna ke tindakan tersebut.

Setiap tindakan yang Anda tentukan dalam kebijakan harus diawali dengan string huruf kecil sns:. Untuk menentukan semua SNS tindakan Amazon, misalnya, Anda akan menggunakansns:*. Untuk daftar tindakan, buka APIReferensi Layanan Pemberitahuan Sederhana Amazon.

Kunci SNS kebijakan Amazon

Amazon SNS menerapkan kunci kebijakan AWS lebar berikut, ditambah beberapa kunci khusus layanan.

Untuk daftar kunci kondisi yang didukung oleh masing-masing Layanan AWS, lihat Tindakan, sumber daya, dan kunci kondisi Layanan AWS di Panduan IAM Pengguna. Untuk daftar kunci kondisi yang dapat digunakan dalam beberapa Layanan AWS, lihat kunci konteks kondisi AWS global di Panduan IAM Pengguna.

Amazon SNS menggunakan kunci khusus layanan berikut. Gunakan kunci ini dalam kebijakan yang membatasi akses ke permintaan Subscribe.

Contoh kebijakan untuk Amazon SNS

Bagian ini menunjukkan beberapa kebijakan sederhana untuk mengontrol akses pengguna ke AmazonSNS.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:CreateTopic", "sns:ListTopics", "sns:SetTopicAttributes", "sns:DeleteTopic"],
    "Resource": "*"
  }]
}

{
  "Statement": [{
    "Effect": "Allow",
    "Action": "sns:Publish",
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

{
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sns:Subscribe"],
    "Resource": "*",
    "Condition": {
      "StringLike": {
        "SNS:Endpoint": "*@example.com"
      },
      "StringEquals": {
        "sns:Protocol": "email"
      }
    }
  }]
}

{
  "Statement": [{
      "Effect": "Allow",
      "Action": "sns:Publish",
      "Resource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    },
    {
      "Effect": "Deny",
      "NotAction": "sns:Publish",
      "NotResource": "arn:aws:sns:*:123456789012:WidgetPartnerTopic"
    }
  ]
}