Beispiele für Richtlinien auf der Grundlage von Bedingungsschlüsseln für AWS Proton

Die folgende IAM Beispielrichtlinie verweigert den Zugriff auf AWS Proton Aktionen, die den im Block angegebenen Vorlagen entsprechen. Condition Beachten Sie, dass diese Bedingungsschlüssel nur von den Aktionen unterstützt werden, die unter Aktionen, Ressourcen und Bedingungsschlüssel für AWS Proton aufgeführt sind. Um Berechtigungen für andere Aktionen zu verwalten, müssen Sie z. DeleteEnvironmentTemplate B. die Zugriffskontrolle auf Ressourcenebene verwenden.

Beispielrichtlinie, die AWS Proton Vorlagenaktionen für eine bestimmte Vorlage verweigert:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": ["proton:*"],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:EnvironmentTemplate": ["arn:aws:proton:region_id:123456789012:environment-template/my-environment-template"]
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": ["proton:*"],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": ["arn:aws:proton:region_id:123456789012:service-template/my-service-template"]
                }
            }
        }
    ]
}

In der nächsten Beispielrichtlinie verweigert die erste Anweisung auf Ressourcenebene den Zugriff auf AWS Proton VorlagenaktionenListServiceTemplates, die nicht mit der im Block aufgeführten Dienstvorlage übereinstimmen. Resource Die zweite Anweisung verweigert den Zugriff auf AWS Proton Aktionen, die der im Block aufgeführten Vorlage entsprechen. Condition

Beispielrichtlinie, die AWS Proton Aktionen verweigert, die einer bestimmten Vorlage entsprechen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "proton:*"
            ],
            "Resource": "arn:aws:region_id:123456789012:service-template/my-service-template"
        },
        {
            "Effect": "Deny",
            "Action": [
                "proton:*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": [
                        "arn:aws:proton:region_id:123456789012:service-template/my-service-template"
                    ]
                }
            }
        }
    ]
}

Das letzte Richtlinienbeispiel erlaubt AWS Proton Entwickleraktionen, die der spezifischen Dienstvorlage entsprechen, die im Condition Block aufgeführt ist.

Beispielrichtlinie, um AWS Proton Entwickleraktionen zuzulassen, die einer bestimmten Vorlage entsprechen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "proton:ListServiceTemplates",
                "proton:ListServiceTemplateVersions",
                "proton:ListServices",
                "proton:ListServiceInstances",
                "proton:ListEnvironments",
                "proton:GetServiceTemplate",
                "proton:GetServiceTemplateVersion",
                "proton:GetService",
                "proton:GetServiceInstance",
                "proton:GetEnvironment",
                "proton:CreateService",
                "proton:UpdateService",
                "proton:UpdateServiceInstance",
                "proton:UpdateServicePipeline",
                "proton:DeleteService",
                "codestar-connections:ListConnections"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIfExists": {
                    "proton:ServiceTemplate": "arn:aws:proton:region_id:123456789012:service-template/my-service-template"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "codestar-connections:PassConnection"
            ],
            "Resource": "arn:aws:codestar-connections:*:*:connection/*",
            "Condition": {
                "StringEquals": {
                    "codestar-connections:PassedToService": "proton.amazonaws.com"
                }
            }
        }

    ]
}