Autorisations requises pour utiliser des IAM politiques personnalisées pour gérer les dossiers

Si vous utilisez des IAM politiques personnalisées pour gérer l'accès aux Amazon Connect Cases, vos utilisateurs ont besoin de certaines ou de toutes les autorisations répertoriées dans cet article, en fonction des tâches qu'ils doivent effectuer.

Affichage des détails du domaine Cas

Il existe deux options pour autoriser les utilisateurs IAM à consulter les détails du domaine Cases sur la console Amazon Connect.

Option 1 : IAM autorisations minimales requises

Pour consulter les détails du domaine Cases dans la console Amazon Connect, les utilisateurs doivent disposer des IAM autorisations suivantes :

• connect:ListInstances

• ds:DescribeDirectories

• connect:ListIntegrationAssociations

• cases:GetDomain

Voici un exemple de IAM politique comportant les autorisations suivantes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowsViewingConnectConsole",
            "Effect": "Allow",
            "Action": [
                "connect:ListInstances",
                "ds:DescribeDirectories"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIntegrationAssociations",
            "Effect": "Allow",
            "Action": [
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        }
    ]
}  

Notez ce qui suit :

• L'action cases:GetDomain est requise sur la ressource *

• L'action connect:ListIntegrationAssociations prend en charge le type de ressource instance. Consultez le tableau dans Actions définies par Amazon Connect.

Option 2 : mettre à jour la politique Amazon Connect existante avec cases:GetDomain et profile:SearchProfiles

Incluez la AmazonConnectReadOnlyAccesspolitique et cases:GetDomain ajoutez-la, comme indiqué dans l'exemple suivant.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        }        
    ]
}    

Intégration à la fonctionnalité Cas

Il existe deux options pour autoriser les utilisateurs IAM à intégrer Cases à l'aide de la console Amazon Connect.

Option 1 : autorisations minimales requises

Pour intégrer Cases à l'aide de la console Amazon Connect, les utilisateurs doivent disposer des IAM autorisations suivantes :

• connect:ListInstances

• ds:DescribeDirectories

• connect:ListIntegrationAssociations

• cases:GetDomain

• cases:CreateDomain

• connect:CreateIntegrationAssociation

• connect:DescribeInstance

• iam:PutRolePolicy

• profile:SearchProfiles

Voici un exemple de IAM politique comportant les autorisations suivantes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowsViewingConnectConsole",
            "Effect": "Allow",
            "Action": [
                "connect:ListInstances",
                "ds:DescribeDirectories"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIntegrationAssociations",
            "Effect": "Allow",
            "Action": [
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesGetDomain",
            "Effect": "Allow",
            "Action": [
                "cases:GetDomain"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CasesCreateDomain",
            "Effect": "Allow",
            "Action": [
                "cases:CreateDomain"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CreateIntegrationAssociationsAndDependencies",
            "Effect": "Allow",
            "Action": [
                "connect:CreateIntegrationAssociation",
                "connect:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AttachAnyPolicyToAmazonConnectRole",
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
        },
        {
            "Sid": "ProfileSearchProfiles",
            "Effect": "Allow",
            "Action": [
                "profile:SearchProfiles"
            ],
            "Resource": "*"
        }
    ]
}   

Notez ce qui suit :

• L'action cases:GetDomain est requise sur la ressource *

• Vous pouvez étendre les autorisations à des tâches Amazon Connect spécifiques en utilisant les informations contenues dans Actions, ressources et clés de condition pour Amazon Connect.

• profile:SearchProfilesUne action est requise car les CreateCase API appels SearchProfiles API permettent de rechercher des profils clients par rapport auxquels valider, puis d'associer le profil au dossier.

Option 2 : utiliser une combinaison de politiques existantes

La combinaison de politiques suivante fonctionnera également :

• AmazonConnect_ FullAccess politique

• iam:PutRolePolicy pour modifier le rôle lié à un service. Pour obtenir un exemple, consultez AmazonConnect_ FullAccess politique.

• La IAM politique suivante :

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "CasesGetDomain",
              "Effect": "Allow",
              "Action": [
                  "cases:GetDomain",
                  "cases:CreateDomain"
              ],
              "Resource": "*"
          },
          {
              "Sid": "ProfileSearchProfiles",
              "Effect": "Allow",
              "Action": [
                  "profile:SearchProfiles"
              ],
              "Resource": "*"
          }
      ]
  }