Políticas de IAM para consultar datos de análisis de Amazon Pinpoint

Con la API de Amazon Pinpoint, puede consultar los datos de análisis de un subconjunto de métricas estándar, también denominadas indicadores clave de rendimiento (KPIs), que se aplican a los proyectos, campañas y recorridos de Amazon Pinpoint. Estas métricas pueden ayudarle a supervisar y evaluar el rendimiento de los proyectos, las campañas y los recorridos.

Para administrar el acceso a estos datos, puede crear políticas AWS Identity and Access Management (de IAM) que definan los permisos para las funciones de IAM o los usuarios que están autorizados a acceder a los datos. Para permitir el control detallado del acceso a estos datos, Amazon Pinpoint proporciona varias acciones distintas que se pueden especificar en las políticas de IAM. Hay una acción determinada para ver los datos de análisis en la consola de Amazon Pinpoint (mobiletargeting:GetReports) y hay otras acciones para acceder a los datos de análisis mediante programación con la API de Amazon Pinpoint.

Para crear políticas de IAM que gestionen el acceso a los datos de análisis, puede utilizar la AWS Management Console, la o la API AWS CLI de IAM. Tenga en cuenta que la pestaña Editor visual en la AWS Management Console actualmente no incluye acciones para ver o consultar los datos de análisis de Amazon Pinpoint. Sin embargo, puede agregar las acciones necesarias a las políticas de IAM manualmente desde la pestaña JSON de la consola.

Por ejemplo, la siguiente política permite el acceso programático a todos los datos de análisis de todos sus proyectos, campañas y recorridos en todas las regiones: AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryAllAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:*:accountId:apps/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

¿Dónde accountId está el ID de tu AWS cuenta?

Sin embargo, recomendamos que las políticas se creen según el principio de privilegios mínimos. En otras palabras, debe crear políticas que incluyan solo los permisos necesarios para realizar una tarea específica. Para respaldar esta práctica e implementar un control más detallado, puede restringir el acceso programático a los datos de análisis únicamente para un proyecto concreto en una AWS región específica, por ejemplo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryProjectAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Donde:

• regiones el nombre de la AWS región que aloja el proyecto.

• accountIdes el ID AWS de tu cuenta.

• projectIdes el identificador del proyecto al que quieres proporcionar acceso.

Del mismo modo, la política de ejemplo siguiente permite el acceso mediante programación a los datos de análisis solo para una campaña concreta:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryCampaignAnalytics",
            "Effect": "Allow",
            "Action": "mobiletargeting:GetCampaignDateRangeKpi",
            "Resource": "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/campaignId/kpis/*"
        }
    ]
}

Donde:

• regiones el nombre de la AWS región que aloja el proyecto.

• accountIdes tu Cuenta de AWS ID.

• projectIdes el identificador del proyecto asociado a la campaña.

• campaignIdes el identificador de la campaña a la que quieres proporcionar acceso.

Y la siguiente política de ejemplo permite el acceso mediante programación a todos los datos de análisis, tanto datos de interacción como de ejecución, de un recorrido particular y las actividades que lo componen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryJourneyAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/activities/*/execution-metrics"
            ]
        }
    ]
}

Donde:

• regiones el nombre de la AWS región que aloja el proyecto.

• accountIdes el ID AWS de tu cuenta.

• projectIdes el identificador del proyecto asociado al viaje.

• journeyIdes el identificador del viaje al que quieres dar acceso.

Para obtener una lista completa de las acciones de la API de Amazon Pinpoint que puede utilizar en las políticas de IAM, consulte Acciones de Amazon Pinpoint para las políticas de IAM. Para obtener más información sobre cómo crear y administrar políticas de IAM, consulte la Guía del usuario de IAM.