AWS IoT SiteWise politiques basées sur l'identité

Les politiques IAM vous permettent de contrôler qui peut faire quoi. AWS IoT SiteWise Vous pouvez décider quelles actions sont autorisées ou non et définir des conditions spécifiques pour ces actions. Par exemple, vous pouvez définir des règles concernant les personnes autorisées à consulter ou à modifier des informations dans AWS IoT SiteWise. AWS IoT SiteWise prend en charge des actions, des ressources et des clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une politique JSON, consultez Références des éléments de politique JSON IAM dans le Guide de l'utilisateur IAM.

Actions de politique

Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Action d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Les actions de stratégie portent généralement le même nom que l'opération AWS d'API associée. Il existe quelques exceptions, telles que les actions avec autorisations uniquement qui n’ont pas d’opération API correspondante. Certaines opérations nécessitent également plusieurs actions dans une politique. Ces actions supplémentaires sont nommées actions dépendantes.

Intégration d’actions dans une stratégie afin d’accorder l’autorisation d’exécuter les opérations associées.

Les actions de politique en AWS IoT SiteWise cours utilisent le préfixe suivant avant l'action :iotsitewise:. Par exemple, pour autoriser une personne à télécharger les données relatives AWS IoT SiteWise aux propriétés des actifs dans le cadre de l'opération d'BatchPutAssetPropertyValueAPI, vous devez inclure l'iotsitewise:BatchPutAssetPropertyValueaction dans sa politique. Les déclarations de politique doivent inclure un NotAction élément Action ou. AWS IoT SiteWise définit son propre ensemble d'actions décrivant les tâches que vous pouvez effectuer avec ce service.

Pour spécifier plusieurs actions  dans une seule instruction, séparez-les par des virgules, comme suit :

"Action": [
  "iotsitewise:action1",
  "iotsitewise:action2"
]

Vous pouvez aussi préciser plusieurs actions à l’aide de caractères génériques (*). Par exemple, pour spécifier toutes les actions qui commencent par le mot Describe, incluez l’action suivante.

"Action": "iotsitewise:Describe*"

Pour consulter la liste des AWS IoT SiteWise actions, reportez-vous à la section Actions définies par AWS IoT SiteWise dans le guide de l'utilisateur IAM.

BatchPutAssetPropertyValue autorisation

AWS IoT SiteWise autorise l'accès à l'BatchPutAssetPropertyValueaction de manière inhabituelle. Pour la plupart des actions, lorsque vous autorisez ou refusez l'accès, cette action renvoie une erreur si les autorisations ne sont pas accordées. AvecBatchPutAssetPropertyValue, vous pouvez envoyer plusieurs entrées de données à différents actifs et propriétés d'actifs dans une seule demande d'API. AWS IoT SiteWise autorise chaque saisie de données de manière indépendante. Pour toute entrée individuelle dont l'autorisation échoue dans la demande, AWS IoT SiteWise inclut une erreur AccessDeniedException dans la liste d'erreurs renvoyée. AWS IoT SiteWise reçoit les données pour toute entrée autorisée et réussie, même si une autre entrée dans la même demande échoue.

Important

Avant d'ingérer des données dans un flux de données, procédez comme suit :

• Autorisez la time-series ressource si vous utilisez un alias de propriété pour identifier le flux de données.

• Autorisez la asset ressource si vous utilisez un ID d'actif pour identifier l'actif qui contient la propriété d'actif associée.

Ressources de politique

Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément de politique JSON Resource indique le ou les objets auxquels l’action s’applique. Les instructions doivent inclure un élément Resource ou NotResource. Il est recommandé de définir une ressource à l’aide de son Amazon Resource Name (ARN). Vous pouvez le faire pour des actions qui prennent en charge un type de ressource spécifique, connu sous la dénomination autorisations de niveau ressource.

Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, telles que les opérations de liste, utilisez un caractère générique (*) afin d’indiquer que l’instruction s’applique à toutes les ressources.

"Resource": "*"

Chaque déclaration de politique IAM s’applique aux ressources que vous spécifiez à l’aide de leur ARN. Un ARN a la syntaxe générale suivante :

arn:${Partition}:${Service}:${Region}:${Account}:${ResourceType}/${ResourcePath}

Pour plus d'informations sur le format des ARN, consultez Amazon Resource Names (ARN) et espaces de noms de AWS services.

Par exemple, pour spécifier l'actif avec l'ID a1b2c3d4-5678-90ab-cdef-22222EXAMPLE dans votre instruction, utilisez l'ARN suivant :

"Resource": "arn:aws:iotsitewise:region:123456789012:asset/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE"

Pour spécifier tous les flux de données appartenant à un compte spécifique, utilisez le caractère générique (*) :

"Resource": "arn:aws:iotsitewise:region:123456789012:time-series/*"

Pour spécifier tous les actifs appartenant à un compte spécifique, utilisez le caractère générique (*) :

"Resource": "arn:aws:iotsitewise:region:123456789012:asset/*"

Certaines AWS IoT SiteWise actions, telles que celles relatives à la création de ressources, ne peuvent pas être effectuées sur une ressource spécifique. Dans ces cas-là, vous devez utiliser le caractère générique (*).

"Resource": "*"

Pour spécifier plusieurs ressources dans une seule instruction, séparez leurs ARN par des virgules.

"Resource": [
  "resource1",
  "resource2"
]

Pour consulter la liste des types de AWS IoT SiteWise ressources et de leurs ARN, consultez la section Ressources définies par AWS IoT SiteWise dans le guide de l'utilisateur IAM. Pour savoir grâce à quelles actions vous pouvez spécifier l'ARN de chaque ressource, consultez Actions définies par AWS IoT SiteWise.

Clés de condition d’une politique

Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel principal peut effectuer des actions sur quelles ressources et dans quelles conditions.

L’élément Condition (ou le bloc Condition) vous permet de spécifier des conditions lorsqu’une instruction est appliquée. L’élément Condition est facultatif. Vous pouvez créer des expressions conditionnelles qui utilisent des opérateurs de condition, tels que les signes égal ou inférieur à, pour faire correspondre la condition de la politique aux valeurs de la demande.

Si vous spécifiez plusieurs éléments Condition dans une instruction, ou plusieurs clés dans un seul élément Condition, AWS les évalue à l’aide d’une opération AND logique. Si vous spécifiez plusieurs valeurs pour une seule clé de condition, AWS évalue la condition à l'aide d'une OR opération logique. Toutes les conditions doivent être remplies avant que les autorisations associées à l’instruction ne soient accordées.

Vous pouvez aussi utiliser des variables d’espace réservé quand vous spécifiez des conditions. Par exemple, vous pouvez accorder à un utilisateur IAM l’autorisation d’accéder à une ressource uniquement si elle est balisée avec son nom d’utilisateur IAM. Pour plus d’informations, consultez Éléments d’une politique IAM : variables et identifications dans le Guide de l’utilisateur IAM.

AWS prend en charge les clés de condition globales et les clés de condition spécifiques au service. Pour voir toutes les clés de condition AWS globales, voir les clés de contexte de condition AWS globales dans le guide de l'utilisateur IAM.

Important

Plusieurs clés de condition sont propres à une ressource et certaines actions d’API utilisent plusieurs ressources. Si vous écrivez une déclaration de stratégie avec une clé de condition, utilisez l'élément Resource de la déclaration pour spécifier la ressource à laquelle la clé de condition s'applique. Dans le cas contraire, la stratégie peut empêcher totalement les utilisateurs d'exécuter l'action, car le contrôle de la condition échoue pour les ressources auxquelles la clé de condition ne s'applique pas. Si vous ne voulez pas spécifier de ressource ou si vous avez écrit l'élément Action de votre stratégie pour inclure plusieurs actions d'API, vous devez utiliser le type de condition ...IfExists pour garantir que la clé de condition est ignorée pour les ressources qui ne l'utilisent pas. Pour plus d'informations, voir... IfExists conditions énoncées dans le guide de l'utilisateur IAM.

AWS IoT SiteWise définit son propre ensemble de clés de condition et prend également en charge l'utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, voir les clés de contexte de condition AWS globales dans le guide de l'utilisateur IAM.

AWS IoT SiteWise clés de condition
Clé de condition	Description	Types
iotsitewise:isAssociatedWithAssetProperty	Si les flux de données sont associés à une propriété d'actif. Utilisez cette clé de condition pour définir les autorisations en fonction de l'existence d'une propriété d'actif associée pour les flux de données. Exemple de valeur : true	Chaîne
iotsitewise:assetHierarchyPath	Chemin de hiérarchie de l'actif, qui est une chaîne d'ID d'actif séparés par une barre oblique. Utilisez cette clé de condition pour définir des autorisations en fonction d'un sous-ensemble de votre hiérarchie de tous les actifs de votre compte. Exemple de valeur : /a1b2c3d4-5678-90ab-cdef-22222EXAMPLE/a1b2c3d4-5678-90ab-cdef-66666EXAMPLE	Chaîne
iotsitewise:propertyId	ID d'une propriété d'actif. Utilisez cette clé de condition pour définir des autorisations basées sur une propriété spécifiée d'un modèle de ressource. Cette clé de condition s'applique à tous les actifs de ce modèle. Exemple de valeur : a1b2c3d4-5678-90ab-cdef-33333EXAMPLE	Chaîne
iotsitewise:childAssetId	ID d'une ressource associée en tant qu'enfant à une autre ressource. Utilisez cette clé de condition pour définir les autorisations en fonction des ressources enfants. Pour définir des autorisations en fonction des ressources parent, utilisez la section ressource d'une instruction de stratégie. Exemple de valeur : a1b2c3d4-5678-90ab-cdef-66666EXAMPLE	Chaîne
iotsitewise:iam	L'ARN d'une identité IAM lors de la liste des politiques d'accès. Utilisez cette clé de condition pour définir les autorisations de politique d'accès pour une identité IAM. Exemple de valeur : arn:aws:iam::123456789012:user/JohnDoe	Chaîne, null
iotsitewise:propertyAlias	Alias qui identifie une propriété d'actif ou un flux de données. Utilisez cette clé de condition pour définir les autorisations en fonction de l'alias.	Chaîne
iotsitewise:user	ID d'un utilisateur du IAM Identity Center lors de la liste des politiques d'accès. Utilisez cette clé de condition pour définir les autorisations de politique d'accès pour un utilisateur d'IAM Identity Center. Exemple de valeur : a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE	Chaîne, null
iotsitewise:group	ID d'un groupe IAM Identity Center lors de la liste des politiques d'accès. Utilisez cette clé de condition pour définir les autorisations de politique d'accès pour un groupe IAM Identity Center. Exemple de valeur : a1b2c3d4e5-a1b2c3d4-5678-90ab-cdef-bbbbbEXAMPLE	Chaîne, null
iotsitewise:portal	ID d'un portail dans une stratégie d'accès. Utilisez cette clé de condition pour définir les autorisations de stratégie d'accès basées sur un portail. Exemple de valeur : a1b2c3d4-5678-90ab-cdef-77777EXAMPLE	Chaîne, null
iotsitewise:project	ID d'un projet dans une stratégie d'accès ou ID d'un projet pour un tableau de bord. Utilisez cette clé de condition pour définir des autorisations de stratégie d'accès ou de tableau de bord en fonction d'un projet. Exemple de valeur : a1b2c3d4-5678-90ab-cdef-88888EXAMPLE	Chaîne, null

Pour savoir avec quelles actions et ressources vous pouvez utiliser une clé de condition, voir Actions définies par AWS IoT SiteWise.

Exemples

Pour consulter des exemples de politiques AWS IoT SiteWise basées sur l'identité, consultez. AWS IoT SiteWise exemples de politiques basées sur l'identité