Ejemplos de políticas para AWS Data Pipeline

Los siguientes ejemplos muestran cómo conceder a los usuarios acceso completo o restringido a canalizaciones.

Ejemplo 1: Otorgar a los usuarios acceso de solo lectura basado en una etiqueta

La siguiente política permite a los usuarios utilizar las acciones de la API de AWS Data Pipeline de solo lectura, pero solo con las canalizaciones que tengan la etiqueta "environment=production".

La acción de la API ListPipelines no es compatible con la autorización basada en etiquetas.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "datapipeline:Describe*",
        "datapipeline:GetPipelineDefinition",
        "datapipeline:ValidatePipelineDefinition",
        "datapipeline:QueryObjects"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "datapipeline:Tag/environment": "production"
        }
      }
    }
  ]
}

Ejemplo 2: Otorgar a los usuarios acceso completo basado en una etiqueta

La siguiente política permite a los usuarios utilizar todas las acciones de la API de AWS Data Pipeline, a excepción de ListPipelines, pero solo con canalizaciones que tengan la etiqueta "environment=test".

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "datapipeline:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "datapipeline:Tag/environment": "test"
        }
      }
    }
  ]
}

Ejemplo 3: Otorgar acceso completo al propietario de la canalización

La siguiente política permite a los usuarios utilizar todas las acciones de la API de AWS Data Pipeline, pero solo con sus propias canalizaciones.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "datapipeline:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "datapipeline:PipelineCreator": "${aws:userid}"
        }
      }
    }
  ]
}

Ejemplo 4: Otorgar acceso a los usuarios a la consola de AWS Data Pipeline

La siguiente política permite a los usuarios crear y administrar una canalización mediante la consola de AWS Data Pipeline.

Esta política incluye la acción para los permisos PassRole para recursos específicos vinculados al roleARN que necesita AWS Data Pipeline. Para obtener más información sobre el permiso PassRole basado en identidad (IAM), consulte la entrada de blog Granting Permission to Launch EC2 Instances with IAM Roles (PassRole Permission).

{
	"Version": "2012-10-17",
	"Statement": [{
			"Action": [
				"cloudwatch:*",
				"datapipeline:*",
				"dynamodb:DescribeTable",
				"elasticmapreduce:AddJobFlowSteps",
				"elasticmapreduce:ListInstance*",
				"iam:AddRoleToInstanceProfile",
				"iam:CreateInstanceProfile",
				"iam:GetInstanceProfile",
				"iam:GetRole",
				"iam:GetRolePolicy",
				"iam:ListInstanceProfiles",
				"iam:ListInstanceProfilesForRole",
				"iam:ListRoles",
				"rds:DescribeDBInstances",
				"rds:DescribeDBSecurityGroups",
				"redshift:DescribeClusters",
				"redshift:DescribeClusterSecurityGroups",
				"s3:List*",
				"sns:ListTopics"
			],
			"Effect": "Allow",
			"Resource": [
				"*"
			]
		},
		{
			"Action": "iam:PassRole",
			"Effect": "Allow",
			"Resource": [
				"arn:aws:iam::*:role/DataPipelineDefaultResourceRole",
				"arn:aws:iam::*:role/DataPipelineDefaultRole"
			]
		}
	]
}