Control del acceso a los recursos de Kinesis Video Streams mediante IAM

Puede usar AWS Identity and Access Management (IAM) con Amazon Kinesis Video Streams para controlar si los usuarios de su organización pueden realizar una tarea mediante operaciones específicas de la API de Kinesis Video Streams y si pueden usar recursos específicos. AWS

Para obtener más información sobre IAM, consulte lo siguiente:

• AWS Identity and Access Management (IAM)

• Introducción

• Guía del usuario de IAM

Sintaxis de la política

Una política de IAM es un documento JSON que contiene una o varias instrucciones. Cada instrucción tiene la estructura siguiente:

{
  "Statement":[{
    "Effect":"effect",
    "Action":"action",
    "Resource":"arn",
    "Condition":{
      "condition":{
        "key":"value"
        }
      }
    }
  ]
}

Una instrucción está compuesta por varios elementos:

• Efecto: el efecto puede ser o. Allow Deny De forma predeterminada, los usuarios no tienen permiso para utilizar los recursos y las acciones de la API, por lo que se deniegan todas las solicitudes. Si se concede un permiso explícito se anula el valor predeterminado. Una denegación explícita invalida cualquier permiso concedido.

• Acción: la acción es la acción específica de la API para la que se concede o deniega el permiso.

• Recurso: el recurso al que afecta la acción. Para especificar un recurso en la instrucción debe utilizar el nombre de recurso de Amazon (ARN).

• Condición: las condiciones son opcionales. Se pueden usar para controlar cuándo está en vigor la política.

Al crear y gestionar las políticas de IAM, le recomendamos que utilice el generador de políticas de IAM y el simulador de políticas de IAM.

Acciones para Kinesis Video Streams

En una instrucción de política de IAM, puede especificar cualquier acción de API de cualquier servicio que sea compatible con IAM. Para Kinesis Video Streams, utilice el siguiente prefijo con el nombre de la acción de la API:. kinesisvideo: Por ejemplo, kinesisvideo:CreateStream, kinesisvideo:ListStreams y kinesisvideo:DescribeStream.

Para especificar varias acciones en una única instrucción, sepárelas con comas del siguiente modo:

"Action": ["kinesisvideo:action1", "kinesisvideo:action2"]

También puede utilizar caracteres comodín para especificar varias acciones. Por ejemplo, puede especificar todas las acciones cuyo nombre comience por la palabra "Get" del siguiente modo:

"Action": "kinesisvideo:Get*"

Para especificar todas las operaciones de Kinesis Video Streams, utilice el asterisco (*) como se indica a continuación:

"Action": "kinesisvideo:*"

Para ver la lista completa de acciones de la API de Kinesis Video Streams, consulte la referencia de la API de Kinesis Video Streams.

Nombres de recursos de Amazon (ARN) para Kinesis Video Streams

Cada instrucción de política de IAM se aplica a los recursos especificados utilizando sus ARN.

Utilice el siguiente formato de recursos ARN para Kinesis Video Streams:

arn:aws:kinesisvideo:region:account-id:stream/stream-name/code

Por ejemplo:

"Resource": arn:aws:kinesisvideo:*:111122223333:stream/my-stream/0123456789012

Puede obtener el ARN de una transmisión usando. DescribeStream

Otorgar acceso a otras cuentas de IAM a una transmisión de vídeo de Kinesis

Puede que necesite conceder permiso a otras cuentas de IAM para realizar operaciones en las transmisiones de vídeo de Kinesis. En la siguiente información general se describen los pasos generales para conceder acceso a las transmisiones de vídeo a otras cuentas:

1. Obtenga el ID de cuenta de 12 dígitos de la cuenta a la que desee conceder permisos para realizar operaciones en la transmisión (por ejemplo, 111111111111).

2. Cree una política administrada en la cuenta que posea la transmisión que permita el nivel de acceso que desee conceder. Para ver ejemplos de políticas para los recursos de Kinesis Video Streams, Ejemplos de políticas consulte la siguiente sección.

3. Cree un rol y especifique la cuenta para la que quiere conceder permisos. A continuación, adjunte la política que creó en el paso anterior.

4. Cree una política gestionada que permita realizar AssumeRole acciones en el rol que creó en el paso anterior. Por ejemplo, el rol podría tener el siguiente aspecto:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Action": "sts:AssumeRole",
       "Resource": "arn:aws:iam::123456789012:role/CustomRole"
     }
   }

Para step-by-step obtener instrucciones sobre cómo conceder el acceso a varias cuentas, consulte Delegar el acceso a Cuentas de AWS través de funciones de IAM.

Ejemplos de políticas para Kinesis Video Streams

Los siguientes ejemplos de políticas demuestran cómo puede controlar el acceso de los usuarios a sus Kinesis Video Streams.

ejemplo 1: Permita a los usuarios obtener datos de cualquier transmisión de vídeo de Kinesis

Esta política permite a un usuario o grupo realizar las ListTagsForStream operacionesDescribeStream, GetDataEndpoint GetMediaListStreams, y en cualquier transmisión de vídeo de Kinesis. Esta política es adecuada para los usuarios que pueden recibir datos de cualquier transmisión de vídeo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:Describe*",
                "kinesisvideo:Get*",
                "kinesisvideo:List*"
            ],
            "Resource": "*"
        }
    ]
}

ejemplo 2: Permitir a un usuario crear una transmisión de vídeo de Kinesis y escribir datos en ella

Esta política permite a un usuario o grupo realizar las operaciones CreateStream y PutMedia. Esta política es adecuada para una cámara de seguridad que pueda crear una transmisión de vídeo y enviar datos a la misma.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kinesisvideo:CreateStream",
                "kinesisvideo:PutMedia"            
            ],
            "Resource": "*"
        }
    ]
}

ejemplo 3: Permitir a un usuario el acceso total a todos los recursos de Kinesis Video Streams

Esta política permite a un usuario o grupo realizar cualquier operación de Kinesis Video Streams en cualquier recurso. Esta política es adecuada para los administradores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kinesisvideo:*",
            "Resource": "*"
        }
    ]
}

ejemplo 4: Permitir a un usuario escribir datos en una transmisión de vídeo de Kinesis específica

Esta política permite a un usuario o a un grupo escribir datos en una transmisión de vídeo específica. Esta política es adecuada para un dispositivo que pueda enviar datos a una única transmisión.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kinesisvideo:PutMedia",
            "Resource": "arn:aws:kinesisvideo:us-west-2:123456789012:stream/your_stream/0123456789012"
        }
    ]
}