Anmeldeinformationen für die Sitzung einrichten

Schritt 1: Erstellen einer IAM-Rolle

Erstellen Sie in Ihrem Konto eine IAM-Rolle, deren Name mit beginnt, GameLiftStreams- und eine Vertrauensrichtlinie, die es dem gameliftstreams.amazonaws.com Service Principal ermöglicht, diese Rolle zu übernehmen.

Wichtig

Der Rollenname muss mit GameLiftStreams- anfangen. Sie können eine Rolle nach der Erstellung nicht umbenennen. Wenn Sie eine Rolle ohne dieses Präfix verwenden, wird ein Fehler StartStreamSession zurückgegeben. Weitere Informationen finden Sie unter Problembehandlung bei Anmeldeinformationen für Sitzungen.

Wir empfehlen, Ihrer Vertrauensrichtlinie weitere aws:SourceArn Bedingungen hinzuzufügenaws:SourceAccount. Diese Bedingungen verwenden Ihre AWS-Konto-ID und schränken ein, welche Sitzungen diese Rolle übernehmen können. Weitere Informationen zum Schutz vor dienstübergreifendem Identitätswechsel finden Sie unter Cross-service Confused Deputy Prevention im IAM-Benutzerhandbuch.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "gameliftstreams.amazonaws.com" },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "aws:SourceAccount": "123456789012"
      },
      "ArnLike": {
        "aws:SourceArn": "arn:aws:gameliftstreams:*:123456789012:streamsession/*"
      }
    }
  }]
}

Ersetzen Sie beide Vorkommen von durch Ihre ID. 123456789012 AWS-Konto

Anmerkung

Service-linked Rollen (identifiziert durch ARNs, die enthalten/aws-service-role/) können mit dieser Funktion nicht verwendet werden. Erstellen Sie stattdessen eine IAM-Rolle.

Schritt 2: Fügen Sie der Rolle Berechtigungen hinzu

Hängen Sie der Rolle IAM-Richtlinien an, die nur die Berechtigungen gewähren, die Ihre Anwendung benötigt. Eine Anleitung zur Festlegung des Gültigkeitsbereichs von Berechtigungen finden Sie im IAM-Benutzerhandbuch unter Gewähren der geringsten Rechte.

Wenn Ihre Anwendung beispielsweise aus einem Amazon S3-Bucket lesen muss:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "s3:GetObject",
      "s3:ListBucket"
    ],
    "Resource": [
      "arn:aws:s3:::my-game-assets-bucket",
      "arn:aws:s3:::my-game-assets-bucket/*"
    ]
  }]
}

Schritt 3: Erteilen Sie iam: Erlaubnis PassRole

Der IAM-Principal, der anruft, StartStreamSession muss die Erlaubnis haben, die Rolle an Amazon GameLift Streams zu übergeben. Fügen Sie der IAM-Richtlinie des Principals die folgende Anweisung hinzu. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Gewähren von Benutzerberechtigungen zum Übergeben einer Rolle an einen AWS Dienst.

{
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::123456789012:role/GameLiftStreams-MyAppRole",
  "Condition": {
    "StringEquals": {
      "iam:PassedToService": "gameliftstreams.amazonaws.com"
    }
  }
}

Schritt 4: Starten Sie eine Stream-Sitzung mit der Rolle

Übergeben Sie den Rollen-ARN, wenn Sie Folgendes aufrufen StartStreamSession:

aws gameliftstreams start-stream-session \
    --stream-group-identifier sg-1AB2C3De4 \
    --application-identifier a-9ZY8X7Wv6 \
    --protocol WebRTC \
    --signal-request "[webrtc-ice-offer json string]" \
    --user-id myUserId \
    --role-arn arn:aws:iam::123456789012:role/GameLiftStreams-MyAppRole

Wenn die Rolle nicht übernommen werden kann (z. B. weil die Vertrauensrichtlinie falsch konfiguriert ist), wird ein StartStreamSession ValidationException zurückgegeben. Die Sitzung wird nicht gestartet. Weitere Informationen finden Sie unter Problembehandlung bei Anmeldeinformationen für Sitzungen.