Exemples de politiques au niveau des ressources Amazon Connect

Amazon Connect prend en charge les autorisations au niveau des ressources pour les utilisateurs, de sorte que vous pouvez spécifier des actions pour eux pour une instance, comme indiqué dans la politique suivante.

Refuser les actions « Supprimer » et « Mettre à jour »

Cet exemple de politique refuse les actions « delete » et « update » pour les utilisateurs dans une instance Amazon Connect. Il utilise un caractère générique à la fin de l'ARN d'utilisateur Amazon Connect afin que les actions « delete user » et « update user » soient refusées sur l'ARN d'utilisateur complet (c'est-à-dire tous les utilisateurs Amazon Connect de l'instance fournie, comme arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/agent/00dtcddd1-123e-111e-93e3-11111bfbfcc1).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "connect:DeleteUser",
                "connect:UpdateUser*"
            ],
            "Resource": "arn:aws:connect:us-east-1:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/agent/*"
        }
    ]
}            

Autoriser des actions pour les intégrations portant des noms spécifiques

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllAppIntegrationsActions",
            "Effect": "Allow",
            "Action": [
                "app-integrations:ListEventIntegrations",
                "app-integrations:CreateEventIntegration",
                "app-integrations:GetEventIntegration",
                "app-integrations:UpdateEventIntegration",
                "app-integartions:DeleteEventIntegration"
            ],
"Resource":"arn:aws:appintegrations:*:*:event-integration/MyNamePrefix-*"
	}
    ]
}            

Autoriser « Créer des utilisateurs » mais refuser si vous êtes affecté à un profil de sécurité spécifique

L'exemple de politique suivant permet de « créer des utilisateurs » mais interdit explicitement d'utiliser arn:aws:connect:us-west- 2:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc1/security-profile/11dtcggg1-123e-111e-93e3-11111bfbfcc17 comme paramètre du profil de sécurité dans la demande. CreateUser

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",        
            "Action": [
                "connect:CreateUser"
             ],
            "Resource": "*",
        },
        {
            "Effect": "Deny",
            "Action": [
                "connect:CreateUser"
             ],
            "Resource": "arn:aws:connect:us-west-2:123456789012:instance/00fbeee1-123e-111e-93e3-11111bfbfcc17/security-profile/11dtcggg1-123e-111e-93e3-11111bfbfcc17",
        } 
    ]
}            

Autoriser les actions d'enregistrement sur un contact

L'exemple de politique suivant permet l'action « start contact recording » sur un contact dans une instance spécifique. contactID étant dynamique, * est utilisé.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
          "connect:StartContactRecording"
      ],
      "Resource": "arn:aws:connect:us-west-2:accountID:instance/instanceId/contact/*",
      "Effect": "Allow"
    }
  ]
}            

Établissez une relation de confiance avec accountID.

Les actions suivantes sont définies pour les API d'enregistrement :

• « connect : StartContact Enregistrement »

• « connect : StopContact Enregistrement »

• « connect : SuspendContact Enregistrement »

• « connect : ResumeContact Enregistrement »

Autoriser un plus grand nombre d'actions de contact dans le même rôle

Si le même rôle est utilisé pour appeler d'autres API de contact, vous pouvez répertorier les actions de contact suivantes :

• GetContactAttributs

• ListContactFlux

• StartChatContacter

• StartOutboundVoiceContact

• StopContact

• UpdateContactAttributs

Vous pouvez également utiliser un caractère générique pour autoriser toutes les actions de contact, par exemple : « connect:* »

Autoriser davantage de ressources

Vous pouvez également utiliser un caractère générique pour autoriser davantage de ressources. Par exemple, voici comment autoriser toutes les actions de connexion sur toutes les ressources de contact :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "connect:*"
            ],
            "Resource": "arn:aws:connect:us-west-2:accountID:instance/*/contact/*",
            "Effect": "Allow"
        }
    ]
}       

Autoriser ou refuser les actions d'API de file d'attente pour les numéros de téléphone dans une région de réplica

Les API CreateQueueand UpdateQueueOutboundCallerConfig contiennent un champ de saisie nomméOutboundCallerIdNumberId. Cette zone représente une ressource de numéro de téléphone qui peut être demandée à un groupe de répartition du trafic. Il prend en charge à la fois le format ARN V1 du numéro de téléphone renvoyé par ListPhoneNumbers et le format ARN V2 renvoyé par ListPhoneNumberSV2.

Les formats ARN V1 et V2 pris en charge par OutboundCallerIdNumberId sont les suivants :

• Format ARN V1 : arn:aws:connect:your-region:your-account_id:instance/instance_id/phone-number/resource_id

• Format ARN V2 : arn:aws:connect:your-region:your-account_id:phone-number/resource_id

Note

Nous vous recommandons d'utiliser le format ARN V2. Le format ARN V1 sera obsolète à l'avenir.

Fournir les deux formats ARN pour les ressources de numéro de téléphone dans la région de réplica

Si le numéro de téléphone est demandé à un groupe de répartition du trafic, pour autoriser/refuser correctement l'accès aux actions d'API de file d'attente pour les ressources de numéro de téléphone lorsque vous opérez dans la région de réplica, vous devez fournir la ressource de numéro de téléphone aux formats ARN V1 et V2. Si vous fournissez la ressource de numéro de téléphone dans un seul format ARN, le comportement d'autorisation/de refus n'est pas correct lors du fonctionnement dans la région de réplica.

Exemple 1 : Refuser l'accès à CreateQueue

Par exemple, vous opérez dans la région de réplica us-west-2 avec un compte 123456789012 et une instance aaaaaaaa-bbbb-cccc-dddd-0123456789012. Vous souhaitez refuser l'accès à l'CreateQueueAPI lorsque la OutboundCallerIdNumberId valeur est un numéro de téléphone réclamé à un groupe de distribution de trafic avec un ID de ressourceaaaaaaaa-eeee-ffff-gggg-0123456789012. Dans ce scénario, vous devez utiliser la stratégie suivante :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyCreateQueueForSpecificNumber",
            "Effect": "Deny",
            "Action": "connect:CreateQueue",
            "Resource": [
                "arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
                "arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
            ]
        }
    ]
}

Où us-west-2 est la région où la demande est effectuée.

Exemple 2 : autoriser uniquement l'accès à UpdateQueueOutboundCallerConfig

Par exemple, vous opérez dans la région de réplica us-west-2 avec un compte 123456789012 et une instance aaaaaaaa-bbbb-cccc-dddd-0123456789012. Vous souhaitez autoriser l'accès à l'API UpdateQueueOutboundCallerConfig uniquement lorsque la OutboundCallerIdNumberId valeur est un numéro de téléphone revendiqué auprès d'un groupe de distribution de trafic avec un identifiant de ressourceaaaaaaaa-eeee-ffff-gggg-0123456789012. Dans ce scénario, vous devez utiliser la stratégie suivante :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "OnlyAllowUpdateQueueOutboundCallerConfigForSpecificNumber",
            "Effect": "Allow",
            "Action": "connect:UpdateQueueOutboundCallerConfig",
            "Resource": [
                "arn:aws:connect:us-east-1:123456789012:phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012",
                "arn:aws:connect:us-west-2:123456789012:instance/aaaaaaaa-bbbb-cccc-dddd-0123456789012/phone-number/aaaaaaaa-eeee-ffff-gggg-0123456789012"
            ]
        }
    ]
}

Afficher des AppIntegrations ressources Amazon spécifiques

L'exemple de politique suivant permet de récupérer des intégrations d'événements spécifiques.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "app-integrations:GetEventIntegration"
            ],
            "Resource": "arn:aws:app-integrations:us-west-2:accountID:event-integration/Name"
        }
    ]
}   

Accorder l'accès à la fonctionnalité Profils des clients Amazon Connect

La fonctionnalité Profils des clients Amazon Connect utilise profile comme préfixe pour les actions au lieu de connect. La stratégie suivante accorde l'accès total à un domaine spécifique dans la fonctionnalité Profils des clients Amazon Connect.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
          "profile:*"
      ],
      "Resource": "arn:aws:profile:us-west-2:accountID:domains/domainName",
      "Effect": "Allow"
    }
  ]
}            

Établissez une relation de confiance avec accountID pour le domaine domainName.

Accorder un accès en lecture seule aux données de la fonctionnalité Profils des clients

Vous trouverez ci-dessous un exemple d'autorisation d'accès en lecture aux données de la fonctionnalité Profils des clients Amazon Connect.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "profile:SearchProfiles",
                "profile:ListObjects"
            ],
            "Resource": "arn:aws:profile:us-west-2:accountID:domains/domainName",
            "Effect": "Allow"
        }
    ]
}            

Interrogation d’Amazon Q in Connect uniquement pour un assistant spécifique

L'exemple de politique suivant permet de n'interroger qu'un assistant spécifique.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "wisdom:QueryAssistant "
            ],
            "Resource": "arn:aws:wisdom:us-west-2:accountID:assistant/assistantID"
        }
    ]
} 

Accorder l'accès complet à Amazon Connect Voice ID

Amazon Connect Voice ID utilise voiceid comme préfixe pour les actions au lieu de connect. La stratégie suivante accorde l'accès total à un domaine spécifique dans Amazon Connect Voice ID :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
          "voiceid:*"
      ],
      "Resource": "arn:aws:voiceid:us-west-2:accountID:domain/domainName",
      "Effect": "Allow"
    }
  ]
}  

Établissez une relation de confiance avec accountID pour le domaine domainName.

Accorder l'accès aux ressources des campagnes sortantes Amazon Connect

Les campagnes sortantes utilisent connect-campaign comme préfixe pour les actions au lieu de connect. La stratégie suivante accorde l'accès total à une campagne sortante spécifique.

{
    "Sid": "AllowConnectCampaignsOperations",
    "Effect": "Allow",
    "Action": [
        "connect-campaigns:DeleteCampaign",
        "connect-campaigns:DescribeCampaign",
        "connect-campaigns:UpdateCampaignName",
        "connect-campaigns:GetCampaignState"
        "connect-campaigns:UpdateOutboundCallConfig",
        "connect-campaigns:UpdateDialerConfig",
        "connect-campaigns:PauseCampaign",
        "connect-campaigns:ResumeCampaign",
        "connect-campaigns:StopCampaign"
    ],
    "Resource": "arn:aws:connect-campaigns:us-west-2:accountID:campaign/campaignId",
    }

Limitation de la capacité à rechercher dans les transcriptions analysées par Amazon Connect Contact Lens

La politique suivante permet de rechercher et de décrire des contacts, mais interdit de rechercher un contact à l’aide des transcriptions analysées par Amazon Connect Contact Lens.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "connect:DescribeContact"
            ],
            "Resource": "arn:aws:connect:region:account-id:instance/instance-id/contact/*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "connect:SearchContacts"
            ],
            "Resource": "arn:aws:connect:region:account-id:instance/instance-id"
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Deny",
            "Action": [
                "connect:SearchContacts"
            ],
            "Resource": "arn:aws:connect:region:account-id:instance/instance-id",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "connect:SearchContactsByContactAnalysis": [
                        "Transcript"
                    ]
                }
            }
        }
    ]
}