Politiques IAM pour l'interrogation de données analytiques Amazon Pinpoint

À l'aide de l'API Amazon Pinpoint, vous pouvez interroger les données d'analyse pour un sous-ensemble de mesures standard, également appelées indicateurs de performance clés (KPIs) qui s'appliquent aux projets, campagnes et parcours Amazon Pinpoint. Ces métriques peuvent vous aider à surveiller et à évaluer les performances des projets, campagnes et parcours.

Pour gérer l'accès à ces données, vous pouvez créer des politiques AWS Identity and Access Management (IAM) qui définissent les autorisations pour les rôles IAM ou les utilisateurs autorisés à accéder aux données. Pour prendre en charge le contrôle granulaire de l'accès à ces données, Amazon Pinpoint fournit plusieurs actions distinctes que vous pouvez spécifier dans les politiques IAM. Il existe une action distincte pour afficher les données analytiques sur la console Amazon Pinpoint (mobiletargeting:GetReports), et il existe d'autres actions pour accéder aux données analytiques par programmation à l'aide de l'API Amazon Pinpoint.

Pour créer des politiques IAM qui gèrent l'accès aux données d'analyse, vous pouvez utiliser l' AWS Management Console API AWS CLI, ou l'API IAM. Notez que l'onglet Éditeur visuel de la AWS Management Console n'inclut pas actuellement les actions permettant d'afficher ou d'interroger les données analytiques Amazon Pinpoint. Toutefois, vous pouvez ajouter manuellement les actions nécessaires aux stratégies IAM à l'aide de l'onglet JSON de la console.

Par exemple, la politique suivante autorise l'accès programmatique à toutes les données d'analyse pour tous vos projets, campagnes et voyages dans toutes les AWS régions :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryAllAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:*:accountId:apps/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:*:accountId:apps/*/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Où se accountId trouve votre identifiant de AWS compte ?

Cependant, une bonne pratique consiste à créer des stratégies qui suivent le principe du moindre privilège. En d'autres termes, vous devez créer des stratégies qui incluent uniquement les autorisations requises pour effectuer une tâche spécifique. Pour soutenir cette pratique et mettre en œuvre un contrôle plus précis, vous pouvez restreindre l'accès programmatique aux données d'analyse uniquement pour un projet spécifique dans une AWS région spécifique, par exemple :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryProjectAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetApplicationDateRangeKpi",
                "mobiletargeting:GetCampaignDateRangeKpi",
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/*/activities/*/execution-metrics"
            ]
        }
    ]
}

Où :

• regionest le nom de la AWS région qui héberge le projet.

• accountIdest votre identifiant de AWS compte.

• projectIdest l'identifiant du projet auquel vous souhaitez donner accès.

De même, l'exemple de stratégie suivant autorise l'accès par programmation aux données analytiques pour une campagne donnée uniquement :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryCampaignAnalytics",
            "Effect": "Allow",
            "Action": "mobiletargeting:GetCampaignDateRangeKpi",
            "Resource": "arn:aws:mobiletargeting:region:accountId:apps/projectId/campaigns/campaignId/kpis/*"
        }
    ]
}

Où :

• regionest le nom de la AWS région qui héberge le projet.

• accountIdest votre Compte AWS identifiant.

• projectIdest l'identifiant du projet associé à la campagne.

• campaignIdest l'identifiant de la campagne à laquelle vous souhaitez donner accès.

Et l'exemple de stratégie suivant permet l'accès programmatique à toutes les données d'analyse, les données d'engagement et d'exécution, pour un parcours particulier et les activités qui composent ce parcours :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "QueryJourneyAnalytics",
            "Effect": "Allow",
            "Action": [
                "mobiletargeting:GetJourneyDateRangeKpi",
                "mobiletargeting:GetJourneyExecutionMetrics",
                "mobiletargeting:GetJourneyExecutionActivityMetrics"
            ],
            "Resource": [
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/kpis/*",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/execution-metrics",
                "arn:aws:mobiletargeting:region:accountId:apps/projectId/journeys/journeyId/activities/*/execution-metrics"
            ]
        }
    ]
}

Où :

• regionest le nom de la AWS région qui héberge le projet.

• accountIdest votre identifiant de AWS compte.

• projectIdest l'identifiant du projet associé au voyage.

• journeyIdest l'identifiant du trajet auquel vous souhaitez donner accès.

Pour obtenir la liste complète des actions d'API Amazon Pinpoint que vous pouvez utiliser dans les politiques IAM, reportez-vous à la section Actions Amazon Pinpoint pour les politiques IAM. Pour plus d'informations sur la création et la gestion de politiques IAM, consultez le Guide de l'utilisateur IAM.