IAM-Richtlinien zum Abfragen von Amazon-Pinpoint-Analysedaten

Mithilfe der Amazon Pinpoint Pinpoint-API können Sie Analysedaten für eine Teilmenge von Standardmetriken abfragen, die auch als Key Performance Indicators (KPIs) bezeichnet werden und für Amazon Pinpoint Pinpoint-Projekte, -Kampagnen und Journeys gelten. Diese Metriken können Ihnen helfen, die Leistung von Projekten, Kampagnen und Journey zu überwachen und zu bewerten.

Um den Zugriff auf diese Daten zu verwalten, können Sie AWS Identity and Access Management (IAM-) Richtlinien erstellen, die Berechtigungen für IAM-Rollen oder Benutzer definieren, die berechtigt sind, auf die Daten zuzugreifen. Um eine detaillierte Kontrolle des Zugriffs auf diese Daten zu unterstützen, bietet Amazon Pinpoint mehrere verschiedene Aktionen, die Sie in IAM-Richtlinien angeben können. Es gibt eine eindeutige Aktion zum Anzeigen von Analysedaten auf der Amazon-Pinpoint-Konsole (mobiletargeting:GetReports) und es gibt andere Aktionen für den programmatischen Zugriff auf Analysedaten mithilfe der Amazon-Pinpoint-API.

Um IAM-Richtlinien zu erstellen, die den Zugriff auf Analysedaten verwalten, können Sie die AWS Management Console AWS CLI, oder die IAM-API verwenden. Beachten Sie, dass die Registerkarte Visueller Editor auf der AWS Management Console derzeit keine Aktionen zum Anzeigen oder Abfragen von Amazon-Pinpoint-Analysedaten enthält. Sie können jedoch die erforderlichen Aktionen manuell zu IAM-Richtlinien hinzufügen, indem Sie die Registerkarte JSON auf der Konsole verwenden.

Die folgende Richtlinie ermöglicht beispielsweise den programmatischen Zugriff auf alle Analysedaten für all Ihre Projekte, Kampagnen und Journeys in allen Regionen: AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryAllAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:*:accountId:apps/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Wo accountId ist Ihre AWS Konto-ID.

Als bewährte Methode sollten Sie jedoch Richtlinien erstellen, die dem Prinzip der geringsten Rechte folgen. Mit anderen Worten, Sie sollten Richtlinien erstellen, die nur die Berechtigungen enthalten, die zum Ausführen einer bestimmten Aufgabe erforderlich sind. Um diese Vorgehensweise zu unterstützen und eine detailliertere Steuerung zu implementieren, können Sie den programmatischen Zugriff auf die Analysedaten nur für ein bestimmtes Projekt in einer bestimmten AWS Region einschränken, zum Beispiel:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryProjectAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Wobei gilt:

• regionist der Name der AWS Region, in der das Projekt gehostet wird.

• accountIdist Ihre AWS Konto-ID.

• projectIdist die Kennung für das Projekt, für das Sie Zugriff gewähren möchten.

Ebenso ermöglicht die folgende Beispielrichtlinie den programmatischen Zugriff auf die Analysedaten nur für eine bestimmte Kampagne:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryCampaignAnalytics",
            "Effect": "Allow",
            "Action": "mobiletargeting:GetCampaignDateRangeKpi",
            "Resource": "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/campaignId/kpis/*"
        }
    ]
}

Wobei gilt:

• regionist der Name der AWS Region, in der das Projekt gehostet wird.

• accountIdist deine AWS-Konto ID.

• projectIdist die Kennung für das Projekt, das mit der Kampagne verknüpft ist.

• campaignIdist die Kennung für die Kampagne, für die Sie Zugriff gewähren möchten.

Und die folgende Beispielrichtlinie ermöglicht den programmgesteuerten Zugriff auf alle Analysedaten, sowohl Engagement- als auch Ausführungsdaten, für eine bestimmte Journey und die Aktivitäten, die diese Journey umfassen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryJourneyAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/activities/*/execution-metrics"
            ]
        }
    ]
}

Wobei gilt:

• regionist der Name der AWS Region, die das Projekt hostet.

• accountIdist Ihre AWS Konto-ID.

• projectIdist die Kennung für das Projekt, das mit der Reise verknüpft ist.

• journeyIdist die Kennung für die Reise, zu der Sie Zugriff gewähren möchten.

Eine vollständige Liste der Amazon-Pinpoint-API-Aktionen, die Sie in IAM-Richtlinien verwenden können, finden Sie unter Amazon-Pinpoint-Aktionen für IAM-Richtlinien. Ausführliche Informationen zum Erstellen und Verwalten von IAM-Richtlinien finden Sie im IAM-Benutzerhandbuch.