Politiques basées sur les ressources pour les schémas Amazon EventBridge

Le registre de schémas EventBridge prend en charge les politiques basées sur les ressources. Une politique basée sur les ressources est une politique qui est attachée à une ressource et non à une identité IAM. Par exemple, dans Amazon Simple Storage Service (Amazon S3), une politique de ressource est attachée à un compartiment Amazon S3.

Pour plus d'informations sur les schémas EventBridge et les politiques basées sur les ressources, consultez les documents suivants.

• Référence des API REST de schémas Amazon EventBridge

• Politiques basées sur l'identité et politiques basées sur les ressources dans le guide de l'utilisateur IAM

API prises en charge pour les politiques basées sur les ressources

Voici les API que vous pouvez utiliser avec les politiques basées sur les ressources pour le registre de schémas EventBridge.

• DescribeRegistry

• UpdateRegistry

• DeleteRegistry

• ListSchemas

• SearchSchemas

• DescribeSchema

• CreateSchema

• DeleteSchema

• UpdateSchema

• ListSchemaVersions

• DeleteSchemaVersion

• DescribeCodeBinding

• GetCodeBindingSource

• PutCodeBinding

Exemple de politique accordant toutes les actions prises en charge à un compte AWS

Pour le registre de schémas EventBridge, vous devez toujours attacher une politique basée sur les ressources à un registre. Pour accorder un accès à un schéma, vous devez spécifier l'ARN du schéma et l'ARN du registre dans la politique.

Pour accorder à un utilisateur un accès à toutes les API disponibles pour les schémas EventBridge, utilisez une politique similaire à la suivante, en remplaçant la valeur de "Principal" par l'ID du compte auquel vous souhaitez accorder l'accès.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Test",
            "Effect": "Allow",
            "Action": [
                "schemas:*"
            ],
            "Principal": {
                "AWS": [
                    "109876543210" 
                ]
            },
            "Resource": [
                "arn:aws:schemas:us-east-1:012345678901:registry/default",
                "arn:aws:schemas:us-east-1:012345678901:schema/default*"
            ]
        }
    ]
}

Exemple de politique accordant les actions en lecture seule à un compte AWS

L'exemple suivant accorde un accès à un compte uniquement pour les API en lecture seule qui concernent les schémas EventBridge.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Test",
            "Effect": "Allow",
            "Action": [
                "schemas:DescribeRegistry",
                "schemas:ListSchemas",
                "schemas:SearchSchemas",
                "schemas:DescribeSchema",
                "schemas:ListSchemaVersions",
                "schemas:DescribeCodeBinding",
                "schemas:GetCodeBindingSource"
            ],
            "Principal": {
                "AWS": [
                    "109876543210"
                ]
            },
            "Resource": [
                "arn:aws:schemas:us-east-1:012345678901:registry/default",
                "arn:aws:schemas:us-east-1:012345678901:schema/default*"
            ]
        }
    ]
}

Exemple de politique accordant toutes les actions à une organisation

Vous pouvez utiliser des politiques basées sur les ressources avec le registre de schémas EventBridge pour accorder un accès à une organisation. Pour plus d'informations, consultez le Guide de l'utilisateur AWS Organizations. L'exemple suivant accorde à l'organisation ayant pour ID o-a1b2c3d4e5 un accès au registre de schémas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Test",
            "Effect": "Allow",
            "Action": [
                "schemas:*"
            ],
            "Principal": "*",
            "Resource": [
                "arn:aws:schemas:us-east-1:012345678901:registry/default",
                "arn:aws:schemas:us-east-1:012345678901:schema/default*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": [
                        "o-a1b2c3d4e5"
                    ]
                }
            }
        }
    ]
}