Grundlegende Beispiele für Amazon-SQS-Richtlinien

Dieser Abschnitt zeigt Richtlinienbeispiele für allgemeine Amazon-SQS-Anwendungsfälle.

Während Sie dem Benutzer die Richtlinien zuweisen, können Sie die Konsole verwenden, um die Auswirkungen der einzelnen Richtlinien zu überprüfen. Zunächst verfügt der Benutzer über keine Berechtigungen und kann in der Konsole keine Aktionen ausführen. Während Sie dem Benutzer Richtlinien zuweisen, können Sie überprüfen, ob der Benutzer die verschiedenen Aktionen in der Konsole ausführen kann.

Anmerkung

Es wird empfohlen, zwei Browserfenster zu verwenden: eines, um Berechtigungen zu erteilen, und das andere, um sich AWS Management Console mit den Anmeldeinformationen des Benutzers anzumelden, um die Berechtigungen zu überprüfen, während Sie sie dem Benutzer gewähren.

Beispiel 1: Erteilen Sie einem Benutzer eine Berechtigung AWS-Konto

Die folgende Beispielrichtlinie gewährt AWS-Konto Number 111122223333 die SendMessage Berechtigung für die Warteschlange, die 444455556666/queue1 in der Region USA Ost (Ohio) benannt ist.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_SendMessage",
      "Effect": "Allow",
      "Principal": {
         "AWS": [ 
            "111122223333"
         ]
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:us-east-2:444455556666:queue1"
   }]  
}

Beispiel 2: Erteilen Sie einer Person zwei Berechtigungen AWS-Konto

Die folgende Beispielrichtlinie gewährt der genannten Warteschlange 111122223333 SendMessage sowohl die AWS-Konto Nummer als auch die ReceiveMessage Berechtigung444455556666/queue1.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_Send_Receive",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333"
         ]
      },
      "Action": [
         "sqs:SendMessage",
         "sqs:ReceiveMessage"
      ],
      "Resource": "arn:aws:sqs:*:444455556666:queue1"
   }]
}

Beispiel 3: Erteilen Sie zwei Personen alle Berechtigungen AWS-Konten

Die folgende Beispielrichtlinie gewährt zwei verschiedene AWS-Konten Nummern (111122223333und444455556666) die Erlaubnis, alle Aktionen zu verwenden, für die Amazon SQS gemeinsamen Zugriff für die Warteschlange gewährt, die 123456789012/queue1 in der Region USA Ost (Ohio) benannt ist.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "111122223333",
            "444455556666"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Beispiel 4: Einer Rolle und einem Benutzernamen kontenübergreifende Berechtigungen erteilen

Die folgende Beispielrichtlinie gewährt role1 einer Person username1 unter der AWS-Konto Nummer 111122223333 kontoübergreifend die Erlaubnis, alle Aktionen zu verwenden, für die Amazon SQS gemeinsamen Zugriff auf die Warteschlange gewährt, die 123456789012/queue1 in der Region USA Ost (Ohio) benannt ist.

Kontoübergreifende Berechtigungen gelten nicht für die folgenden Aktionen:

• AddPermission

• CancelMessageMoveTask

• CreateQueue

• DeleteQueue

• ListMessageMoveTask

• ListQueues

• ListQueueTags

• RemovePermission

• SetQueueAttributes

• StartMessageMoveTask

• TagQueue

• UntagQueue

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AllActions",
      "Effect": "Allow",
      "Principal": {
         "AWS": [
            "arn:aws:iam::111122223333:role/role1",
            "arn:aws:iam::111122223333:user/username1"
         ]
      },
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:us-east-2:123456789012:queue1"
   }]
}

Beispiel 5: Allen Benutzern eine Berechtigung erteilen

Mit der folgenden Beispielrichtlinie wird allen Benutzern (anonymen Benutzern) die Berechtigung ReceiveMessage für die Warteschlange mit dem Namen 111122223333/queue1 erteilt.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1"
   }]
}

Beispiel 6: Allen Benutzern eine zeitlich begrenzte Berechtigung erteilen

Das folgende Beispiel gewährt die Berechtigung ReceiveMessage allen Benutzern (anonymen Benutzern) der Warteschlange mit dem Namen 111122223333/queue1, aber nur zwischen 12:00 Uhr und 15:00 Uhr am 31. Januar 2009.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_ReceiveMessage_TimeLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:ReceiveMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "DateGreaterThan" : {
            "aws:CurrentTime":"2009-01-31T12:00Z"
         },
         "DateLessThan" : {
            "aws:CurrentTime":"2009-01-31T15:00Z"
         }
      }
   }]
}

Beispiel 7: Allen Benutzern in einem CIDR-Bereich sämtliche Berechtigungen erteilen

Die folgende Beispielrichtlinie erteilt allen Benutzern (anonymen Benutzern) die Berechtigung zur Verwendung aller möglichen Amazon-SQS-Aktionen, die für die Warteschlange mit dem Namen 111122223333/queue1 gemeinsam genutzt werden können, jedoch nur, wenn die Anfrage aus dem 192.0.2.0/24-CIDR-Bereich kommt.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_AllActions_AllowlistIP",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         }
      }
   }]
}

Beispiel 8: Berechtigungen für Benutzer in verschiedenen CIDR-Bereichen über Zulassungslisten und Sperrlisten

Die folgende Beispielrichtlinie enthält zwei Anweisungen:

• Die erste Anweisung gewährt allen Benutzer (anonymen Benutzern) im CIDR-Bereich 192.0.2.0/24 (mit Ausnahme von 192.0.2.188) die Berechtigung zur Verwendung der Aktion SendMessage für die Warteschlange mit dem Namen 111122223333/queue1.

• Die zweite Anweisung verwehrt allen Benutzern (anonyme Benutzer) im CIDR-Bereich 12.148.72.0/23 die Nutzung der Warteschlange.

{
   "Version": "2012-10-17",
   "Id": "Queue1_Policy_UUID",
   "Statement": [{
      "Sid":"Queue1_AnonymousAccess_SendMessage_IPLimit",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"192.0.2.0/24"
         },
         "NotIpAddress" : {
            "aws:SourceIp":"192.0.2.188/32"
         }
      }
   }, {
      "Sid":"Queue1_AnonymousAccess_AllActions_IPLimit_Deny",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "sqs:*",
      "Resource": "arn:aws:sqs:*:111122223333:queue1",
      "Condition" : {
         "IpAddress" : {
            "aws:SourceIp":"12.148.72.0/23"
         }
      }
   }]
}